Direttiva NIS2: prendono forma le nuove norme europee sulla sicurezza informatica e delle reti

Il Consiglio Europeo e il Parlamento europeo hanno recentemente raggiunto un’intesa politica sulle nuove misure per un livello comune elevato di cibersicurezza in tutta l’Unione, al fine di  migliorare ulteriormente la resilienza e le capacità di risposta agli incidenti del settore pubblico e privato e dell’UE nel suo insieme.

Si tratta della nuova Direttiva denominata “NIS2” che, una volta definitivamente adottata, andrà a sostituirà l’attuale Direttiva 2016/1148 sulla sicurezza delle reti e dei sistemi informativi (NIS), primo strutturato atto legislativo a livello europeo sulla sicurezza informatica, ancora in corso di vigenza. Adottata nel lontano maggio 2016 la e recepita in Italia con il D.lgs. 18 maggio 2018, n. 65 (anche detto “decreto legislativo NIS”), la NIS ha risposto alla progressiva esposizione dell’Europa alle minacce informatiche che nel corso degli anni sono diventate sempre più frequenti e pervasive, per via di un aumento esponenziale della superficie esposta nell’ecosistema digitale, ormai sempre più eterogeneamente interconnesso.

La direttiva NIS2 mira a fronteggiare ulteriormente questo trend di escalation cyber, rispondendo all’esigenza di protezione, in modo omogeneo nel lungo termine, a livello europeo, dei servizi e presidi essenziali e strategici di ciascuno Stato membro, includendo adesso anche organizzazioni di medie e grandi dimensioni di più settori critici per l’economia e la società, compresi i fornitori di servizi pubblici di comunicazione elettronica, servizi digitali, acque reflue e gestione dei rifiuti, produzione di prodotti critici, servizi postali e di corriere e pubblica amministrazione, sia a livello centrale che regionale.

Il requisito dimensionale rappresenta peraltro una delle novità maggiormente significative dell’intesa politica perché i soggetti inclusi nell’alveo applicativo della nuova Direttiva verranno espressamente indicati dal Legislatore europeo, che ne circoscriverà l’ambito sulla base dei criteri di proporzionalità, un livello di gestione del rischio e criticità.

A tal riguardo vale la pena di evidenziare che la NIS2 si applicherà agli enti della pubblica amministrazione a livello centrale e regionale, riservandosi ai singoli Stati membri l’opportunità di estenderne l’applicazione a livello più periferico. La NIS2 includerà anche l’adozione di misure di gestione del rischio di cibersicurezza per il settore sanitario, con particolare riferimento ai produttori di dispositivi medicali, proprio per rispondere alle crescenti minacce alla sicurezza rilevate durante la pandemia di Covid-19.

Dunque, la nuova direttiva intende rafforzare i requisiti di sicurezza informatica imposti alle aziende, attraverso l’introduzione di un quadro normativo che preveda un meccanismo più omogeneo ed efficace sia in termini di requisiti sia di misure di sicurezza, per la cooperazione nella gestione del rischio, degli incidenti nonché per lo snellimento degli obblighi di segnalazione in tutti i settori che rientrano nel perimetro dalla direttiva, nell’ambito di EU-CyCLONe, ossia dell’organizzata rete europea di collegamento per le crisi informatiche, che sosterrà la gestione coordinata degli incidenti di sicurezza informatica su larga scala e favorirà la condivisione di best practice a livello nazionale ed europeo.

A tal riguardo, la NIS2 nell’aggiornare l’elenco dei settori e delle attività soggetti agli obblighi di sicurezza informatica andrà anche a prevedere una serie di rimedi e sanzioni per garantirne l’effettiva applicazione. A tal proposito, di fondamentale importanza è il tema della sicurezza delle catene di approvvigionamento e delle relazioni con i fornitori che vede introdurre adesso la responsabilità del top management nel caso di mancata osservanza degli obblighi di sicurezza informatica, introducendo altresì misure di vigilanza più rigorose per le autorità nazionali.

L’accordo provvisorio raggiunto, nel caso di definitiva approvazione da parte del Consiglio europeo e del Parlamento europeo prevederà a carico degli Stati membri un generale obbligo di recepimento della nuova Direttiva negli ordinamenti giuridici nazionali nel termine dilatorio di 21 mesi dalla sua entrata in vigore.

Fonte foto Pixabay_TheDigitalArtist

di Davide Maniscalco, Legal e Privacy Officer Swascan-Tinexta Group e socio Aidr

Contenuti correlati

• 
  L’arma segreta nella corsa per la cybersecurity

  Le imprese hanno adottato ampiamente i data lake come metodo per consolidare le informazioni provenienti da più fonti e migliorare i risultati grazie ad analisi e automazione. I responsabili della sicurezza, di conseguenza, stanno lavorando per allineare...
• 
  Cybersicurezza nazionale, l’HPC avrà un ruolo chiave

  Federico Pinca, HPC Architect di E4 Computer Engineering, spiega come il calcolo ad alte prestazioni possa giocare un ruolo importante in tema di innovazione e sicurezza Noi che siamo nativi digitali (nati negli anni ‘80) almeno una...
• 
  Lapp: la connessione come ‘ponte’ fra safety e security

  Si è tenuta a Bologna la giornata di lavori intitolata “Industrial Network Security: come proteggere le infrastrutture 4.0?” organizzata da Lapp Italia e dedicata alla sicurezza. “Nata nl 1959 come azienda famigliare, Lapp conta oggi più di...
• 
  Industry 4.0: l’89% delle aziende è colpito da attacchi cyber e subisce milioni di perdite

  Nell’ultimo anno l’89% delle organizzazioni nei settori elettrico, oil&gas e manifatturiero ha subito un attacco cyber che ha danneggiato la produzione e la fornitura di energia. Il dato emerge da “The State of Industrial Cybersecurity”, l’ultimo studio...
• 
  Automation e AI sono la chiave per difendersi dalle minacce del mondo digitale

  La cybersecurity rappresenta oggi una priorità assoluta e contestuale all’implementazione di nuove tecnologie, dato il ruolo cruciale che sono arrivate ad occupare nelle nostre vite private e professionali. Smart Home, Connected Car, Delivery Robot: l’evoluzione non si...
• 
  Innovazione e ricerca, la Lombardia prima in europa nel campo della cybersicurezza

  È stato firmato nell’Aula Magna del Politecnico di Milano, l’accordo di collaborazione tra Politecnico di Milano, Regione Lombardia, Aria, Intesa Sanpaolo e il I Reggimento Trasmissioni dell’Esercito per la nascita di una rete di comunicazione quantistica a...
• 
  Sicurezza informatica, alcuni principi guida per il settore privato

  Cybereason ha pubblicato il report inaugurale del Cyber Defenders Council, un gruppo di 50 eminenze della sicurezza provenienti da organizzazioni del settore pubblico e privato in Nord America, EMEA e APAC. Il report intitolato Defend Forward: A Proactive...
• 
  Cybersecurity e convergenza IT/OT, le specificità del mercato farmaceutico

  Dall’arresto della filiera produttiva al furto di dati sanitari sensibili, fino alla manomissione di servizi pubblici primari, una cosa è certa: la continua evoluzione delle minacce digitali coinvolge sempre più i sistemi OT, con impatti devastanti sia...
• 
  A SPS Italia 2022 parliamo di cybersecurity con Stormshield

  A SPS Italia 2022 Automazione Oggi ha intervistato Davide Pala, pre-sales engineer di Stormshield. Automazione Oggi: Qual è lo stato normativo attuale in tema di cybersecurity industriale? Quali sono le conseguenze di questa situazione, quali misure e migliorie sarebbero...
• 
  IEC 62402: lo standard per gestire l’obsolescenza all’interno delle imprese

  La norma IEC 62402 tratta dell’obsolescenza degli elementi (Obsolescence Management) e considera questo fattore come “il passaggio da un articolo richiesto, ancora in uso, da disponibile a non disponibile dal produttore”. Qualsiasi elemento in uso, presto o...