Direttiva NIS2: un “new normal” per la cybersecurity europea

Il 10 novembre il Parlamento Europeo ha approvato, a larga maggioranza, la Direttiva NIS2 (Network and Information System Security). Si tratta del primo tentativo di rafforzare il livello globale di cybersicurezza tra i 27 Paesi e di determinare una base di garanzie destinate a sviluppare un ecosistema di fiducia.

I principali destinatari di questa misura sono i cosiddetti Operatori dei Servizi Essenziali: quelle aziende che, secondo la definizione dell’Anssi, “forniscono un servizio essenziale la cui interruzione avrebbe un impatto significativo sull’andamento dell’economia o della società”, che la NIS si propone di difendere dalle le minacce informatiche diffuse in tutta l’Unione.

Tuttavia, tali minacce hanno continuato a trasformarsi e si è dunque reso necessario ampliare il campo di applicazione e preparare le aziende alle sfide attuali e future della cybersicurezza. In particolare, la direttiva NIS2 è chiamata a reinterpretare le disposizioni per adeguarsi ai flussi digitali post pandemia Covid-19, che hanno visto il considerevole aumento di traffico nella rete e delle relative superfici di attacco, e ad ampliare i settori di attività per coinvolgere un numero e una varietà sempre maggiore di organizzazioni.

L’ampliamento delle responsabilità è sicuramente la novità più importante e per la quale sarà interessante vederne l’introduzione nei diversi Paesi membri.

Le PMI, che di fatto erano rimaste ben al di fuori della portata della NIS originale, potrebbero ora ritrovarsi nella situazione di dover rispondere in solido nel caso in cui si verifichino delle violazioni dei dati e dei sistemi in cui hanno voce in capitolo per via di un contratto di fornitura. In altri termini, nella malaugurata ipotesi in cui dovesse verificarsi un incidente di sicurezza informatica, a risponderne non sarà più soltanto l’azienda titolare del servizio, ma anche gli altri stakeholder che intervengono lungo la supply chain.

L’elenco di settori di attività che si prevede saranno coinvolti nel recepimento della normativa comprende industrie critiche di ogni tipo, dai digital provider alla finanza, dalla salute all’energia. E tutti dovranno garantire requisiti minimi quali l’analisi e valutazione dei rischi di sicurezza dei sistemi informativi, la gestione continua tramite sistemi di monitoraggio e piani di incident response, la verifica regolare dell’efficacia delle misure di gestione del rischio e la compliance ai requisiti di sicurezza per tutti gli attori coinvolti nella relativa supply chain.

È evidente come l’obiettivo del legislatore sia mirato, pur con molta gradualità, ad estendere la cultura e gli obblighi in materia di sicurezza informatica a tutti gli attori coinvolti, per creare un clima di responsabilità condivisa nei confronti della gestione del rischio e dell’adozione delle necessarie misure di prevenzione e rimedio agli attacchi informatici.

In conclusione: è opportuno rilevare come molte delle disposizioni contenute nella nuova Direttiva coincidano di fatto con quelle attività di cybersecurity che la maggior parte delle organizzazioni oggi dovrebbe attivare per garantire la sicurezza del proprio business e la protezione dei dati dei propri clienti.

La direzione a cui le aziende dovrebbero progressivamente tendere non dipende quindi strettamente dai termini che la legge stabilirà anche tardivamente, ma dovrebbe essere saggiamente orientata a favorire l’aumento dei requisiti minimi in materia di sicurezza informatica, con il relativo stanziamento di risorse economiche e di competenze necessarie.
L’obbligo, a maggior ragione in questo caso, dovrebbe essere innanzitutto interpretato come un buon consiglio, che vede l’esigenza di associare a una condotta reattiva anche una componente proattiva, soprattutto nell’ottica che sarà sempre più difficile rimanere immuni rispetto all’offensiva dei cybercriminali.

Saper identificare in tempi brevi la natura di un attacco e adottare le misure efficaci per mitigarlo costituisce un valore che va associato all’efficacia dei sistemi di cybersecurity e all’organizzazione dei propri dipendenti, che andrebbero continuamente formati affinché sviluppino e migliorino nel tempo un adeguato atteggiamento di igiene informatica. Per questo, risulterà sempre più strategico, soprattutto in un mercato a risorse professionali scarse come quello della cyber security, orientare sempre più strategie ed investimenti nella ricerca di partner e fornitori affidabili ed efficaci.

Fonte foto Pixabay_gregroose

Di Andrea Lambiase, Chief Digital Strategist & Innovation Officer, Axitea

Contenuti correlati

• 
  Le previsioni di Unit 42: Il 2025 sarà l’anno della disruption

  Sam Rubin di Unit 42 di Palo Alto Networks analizza e condivide le tendenze di cybersecurity del 2025: “Anno delle interruzioni delle attività”, è questo il termine che contraddistinguerà il 2025, che si presenta come un periodo...
• 
  Investimenti digitali in Italia, +1,5% nel 2025 secondo gli Osservatori del PoliMi

  Nonostante l’incertezza economica, le aziende italiane confermano gli investimenti nel digitale, ritenuto essenziale per mantenere competitività. Secondo i dati della ricerca degli Osservatori Startup Thinking e Digital Transformation Academy del Politecnico di Milano, per il 2025 si...
• 
  Digitalizzazione, IoT e cybersecurity: il nuovo volto del mobile hydraulics

  Grazie alle tecnologie IoT, il comparto mobile hydraulics si dirige verso una continua integrazione tra automazione, connettività e gestione intelligente dei dati. Il settore mobile hydraulics sta attraversando una trasformazione senza precedenti. L’integrazione delle tecnologie IoT e...
• 
  Scuole e cybersecurity, ecco il patentino di cittadinanza digitale per gli studenti

  “Noi cittadini digitali” è la nuova iniziativa di education di Trend Micro indirizzata agli studenti delle scuole italiane in collaborazione con Junior Achievement Italia, parte di Junior Achievement Worldwide, la più vasta organizzazione non profit al mondo...
• 
  Zero Trust e la segmentazione della rete

  Un approccio alla sicurezza Zero Trust e una corretta segmentazione della rete garantiscono la conformità alla direttiva NIS2 e proteggono le reti OT in caso di accessi da remoto da parte di fornitori terzi I professionisti della...
• 
  Mancano 5 milioni di esperti di cybersecurity – e adesso?

  ISC2, la principale organizzazione non-profit al mondo per i professionisti della sicurezza informatica, ha stimato che quest’anno la carenza di professionisti della cybersecurity raggiungerà quota 4,8 milioni, segnando una crescita del 19% su base annua. Il gap...
• 
  Non c’è innovazione senza cybersecurity: il caso Dolomiti Energia

  La cybersecurity è diventata una priorità per le aziende, da quando la tecnologia e l’innovazione hanno permeato i processi di produzione e di comunicazione. Da questa consapevolezza è nata la necessità del Gruppo Dolomiti Energia, a seguito...
• 
  Omron Europe ottiene la certificazione IEC 62443-4-1

  Il reparto di ricerca e sviluppo di Omron Europe BV ha ottenuto la certificazione per lo standard IEC 62443-4-1 sui requisiti per lo sviluppo sicuro dei prodotti durante il loro intero ciclo di vita. Questa certificazione, rilasciata dall’ente riconosciuto a...
• 
  Advantech lancia il servizio di certificazione IEC 62443

  Advantech lancia il servizio di certificazione IEC 62443, pensato per le esigenze di certificazione delle apparecchiature di edge computing in conformità alla norma IEC 62443 e agli standard correlati. Advantech offre una soluzione completa per aumentare la...
• 
  Il passaporto digitale dei prodotti

  Il DPP è uno strumento informatico che accompagnerà ogni tipo di prodotto per facilitarne la tracciabilità e favorirne il corretto utilizzo, manutenzione, riciclo o smaltimento. Diverrà gradualmente obbligatorio per qualunque tipo di prodotto commercializzato nell’Unione Europea Il...