Direttiva NIS2: un “new normal” per la cybersecurity europea

Il 10 novembre il Parlamento Europeo ha approvato, a larga maggioranza, la Direttiva NIS2 (Network and Information System Security). Si tratta del primo tentativo di rafforzare il livello globale di cybersicurezza tra i 27 Paesi e di determinare una base di garanzie destinate a sviluppare un ecosistema di fiducia.

I principali destinatari di questa misura sono i cosiddetti Operatori dei Servizi Essenziali: quelle aziende che, secondo la definizione dell’Anssi, “forniscono un servizio essenziale la cui interruzione avrebbe un impatto significativo sull’andamento dell’economia o della società”, che la NIS si propone di difendere dalle le minacce informatiche diffuse in tutta l’Unione.

Tuttavia, tali minacce hanno continuato a trasformarsi e si è dunque reso necessario ampliare il campo di applicazione e preparare le aziende alle sfide attuali e future della cybersicurezza. In particolare, la direttiva NIS2 è chiamata a reinterpretare le disposizioni per adeguarsi ai flussi digitali post pandemia Covid-19, che hanno visto il considerevole aumento di traffico nella rete e delle relative superfici di attacco, e ad ampliare i settori di attività per coinvolgere un numero e una varietà sempre maggiore di organizzazioni.

L’ampliamento delle responsabilità è sicuramente la novità più importante e per la quale sarà interessante vederne l’introduzione nei diversi Paesi membri.

Le PMI, che di fatto erano rimaste ben al di fuori della portata della NIS originale, potrebbero ora ritrovarsi nella situazione di dover rispondere in solido nel caso in cui si verifichino delle violazioni dei dati e dei sistemi in cui hanno voce in capitolo per via di un contratto di fornitura. In altri termini, nella malaugurata ipotesi in cui dovesse verificarsi un incidente di sicurezza informatica, a risponderne non sarà più soltanto l’azienda titolare del servizio, ma anche gli altri stakeholder che intervengono lungo la supply chain.

L’elenco di settori di attività che si prevede saranno coinvolti nel recepimento della normativa comprende industrie critiche di ogni tipo, dai digital provider alla finanza, dalla salute all’energia. E tutti dovranno garantire requisiti minimi quali l’analisi e valutazione dei rischi di sicurezza dei sistemi informativi, la gestione continua tramite sistemi di monitoraggio e piani di incident response, la verifica regolare dell’efficacia delle misure di gestione del rischio e la compliance ai requisiti di sicurezza per tutti gli attori coinvolti nella relativa supply chain.

È evidente come l’obiettivo del legislatore sia mirato, pur con molta gradualità, ad estendere la cultura e gli obblighi in materia di sicurezza informatica a tutti gli attori coinvolti, per creare un clima di responsabilità condivisa nei confronti della gestione del rischio e dell’adozione delle necessarie misure di prevenzione e rimedio agli attacchi informatici.

In conclusione: è opportuno rilevare come molte delle disposizioni contenute nella nuova Direttiva coincidano di fatto con quelle attività di cybersecurity che la maggior parte delle organizzazioni oggi dovrebbe attivare per garantire la sicurezza del proprio business e la protezione dei dati dei propri clienti.

La direzione a cui le aziende dovrebbero progressivamente tendere non dipende quindi strettamente dai termini che la legge stabilirà anche tardivamente, ma dovrebbe essere saggiamente orientata a favorire l’aumento dei requisiti minimi in materia di sicurezza informatica, con il relativo stanziamento di risorse economiche e di competenze necessarie.
L’obbligo, a maggior ragione in questo caso, dovrebbe essere innanzitutto interpretato come un buon consiglio, che vede l’esigenza di associare a una condotta reattiva anche una componente proattiva, soprattutto nell’ottica che sarà sempre più difficile rimanere immuni rispetto all’offensiva dei cybercriminali.

Saper identificare in tempi brevi la natura di un attacco e adottare le misure efficaci per mitigarlo costituisce un valore che va associato all’efficacia dei sistemi di cybersecurity e all’organizzazione dei propri dipendenti, che andrebbero continuamente formati affinché sviluppino e migliorino nel tempo un adeguato atteggiamento di igiene informatica. Per questo, risulterà sempre più strategico, soprattutto in un mercato a risorse professionali scarse come quello della cyber security, orientare sempre più strategie ed investimenti nella ricerca di partner e fornitori affidabili ed efficaci.

Fonte foto Pixabay_gregroose

Di Andrea Lambiase, Chief Digital Strategist & Innovation Officer, Axitea

Contenuti correlati

• 
  Zanardi Fonderie trasforma i processi e le modalità di lavoro con WeAreProject

  Zanardi Fonderie, storica società veronese specializzata nelle fusioni in Fonderia di ghisa sferoidale e ghisa sferoidale austemperata, con un’offerta a ciclo completo che include attività di progettazione, fusione, trattamento termico, sbavatura, lavorazione meccanica, verniciatura, controllo e certificazione...
• 
  6 errori di cybersecurity che espongono le imprese agli attacchi

  Di Angelo Rosiello, Partner Utilities & Digital Oliver Wyman Ormai da molti anni, il sistema economico in cui viviamo, ma anche le nostre stesse vite, sono stati investiti da una crescente digitalizzazione, che ci ha resi sempre...
• 
  TXOne Networks: la cybersecurity in ambito OT

  Nata da una joint venture fra Moxa, realtà di riferimento nel campo delle soluzioni di connessione, e Trend Micro, esperta nell’ambito della cybersecurity, TXOne Networks opera specificatamente nel campo della sicurezza delle reti industriali, tema sempre più al centro dei pensieri...
• 
  Clusit, l’Italia nel mirino degli hacker: +169% gli attacchi nel 2022 rispetto al 2021

  È stato presentato da Clusit, l’Associazione Italiana per la Sicurezza Informatica, il Rapporto Clusit 2023, in apertura dell’evento Security Summit.  Con 2.489 incidenti gravi a livello globale, il 2022 si caratterizza per l’ennesima volta come l’anno peggiore da sempre...
• 
  Clusit: buon lavoro al neodirettore di ACN Bruno Frattasi

  Nel ringraziare il professor Baldoni per aver avviato e indirizzato il lavoro fondamentale dell’Agenzia per la Cybersicurezza Nazionale dalla sua costituzione, Clusit – Associazione Italiana per la Sicurezza Informatica, accoglie con soddisfazione la nomina del prefetto di...
• 
  Novità Trend Micro: nasce #TechYourTrend

  Trend Micro annuncia #TechYourTrend, la webinar series del 2023 che approfondisce le ultime novità in campo cybersecurity. Questa serie di webinar è un’attività formativa che si rivolge a clienti, partner e a tutti coloro che desiderano approfondire...
• 
  Industry 4.0 e cybercrime: aumentano le interruzioni causate dai ransomware che colpiscono le supply chain e le infrastrutture critiche

  Industry 4.0: crescono le estorsioni ransomware e gli attacchi alle supply chain e alle infrastrutture critiche. Il dato emerge da “Insights Into ICS/OT Cybersecurity 2022”, il report annuale di TXOne Networks, leader globale nella sicurezza IIoT (Industrial...
• 
  Sicurezza di impianto e a bordo macchina

  Parlare genericamente di sicurezza di impianti e macchine può risultare dispersivo, specie in rapporto all’analisi globale delle cause degli incidenti e delle misure preventive. È utile, perciò, riepilogare quali sono i domini della sicurezza riconosciuti in ambito...
• 
  Le cinque funzionalità chiave delle soluzioni ITDR per le aziende

  La sicurezza incentrata sulle identità sarà sulla bocca di tutti nel 2023. Negli ultimi anni le aziende sono passate a modelli più flessibili per adattarsi alla così detta epoca della “nuova normalità”. Il risultato? Gli ambienti cloud...
• 
  Verso il 6G

  Al via il nuovo progetto ‘Deterministic6G’ dell’Unione Europea per sviluppare parti critiche delle reti 6G di prossima generazione Leggi l’articolo