Direttiva NIS 2

La direttiva NIS 2 è una direttiva UE che ha l’obiettivo di garantire un livello comune elevato di cibersicurezza all’interno dell’Unione Europea. Essa abroga la direttiva NIS originale del 2016 e rafforza i requisiti di sicurezza, affronta la sicurezza della catena di approvvigionamento e introduce sanzioni armonizzate. La direttiva NIS 2 è stata approvata dal Parlamento europeo e dal Consiglio dell’Unione Europea a fine 2022 e deve essere applicata a decorrere dal 18 ottobre 2024. Gli Stati membri hanno l’obbligo di convertire la direttiva in legge nazionale.

La NIS 2 affronta principalmente i requisiti per le aziende:

Mentre la direttiva NIS 1 aveva validità prevalentemente per infrastrutture critiche e fornitori di relativi servizi digitali, la direttiva NIS 2 estende i settori anche all’industria manifatturiera: costruzione di macchine, fabbricazione di dispositivi di elaborazione dati, prodotti elettronici e di ottica, apparecchiature elettriche, automobili e accessori auto, nonché costruzione di altri veicoli. All’interno di questi settori, sono interessate aziende con più di 50 dipendenti o un fatturato annuo e/o bilancio annuale di oltre 10 milioni di Euro.

Per conseguire la conformità rispetto alla NIS 2, le organizzazioni interessate sono tenute ad adottare diverse misure tra cui:

• Gestione dei rischi: implementazione di processi volti a individuare e valutare i rischi.
• Misure di sicurezza: introduzione di misure tecniche e organizzative per la riduzione del rischio.
• Segnalazione di incidenti: creazione di procedure per la notifica di incidenti di sicurezza alle autorità competenti.
• Monitoraggio e audit: controllo e valutazione regolari delle misure di sicurezza.

L’attuazione della direttiva NIS 2 avviene mediante autorità nazionali all’interno degli Stati membri dell’Unione Europea che hanno la responsabilità della vigilanza e dell’osservanza della direttiva. In Germania, l’autorità di competenza è il Bundesamt für Sicherheit in der Informationstechnik (BSI).

Misure per l’esecuzione:

1. Obblighi di segnalazione: le aziende sono tenute a notificare incidenti di sicurezza. La direttiva NIS 2 introduce un sistema di segnalazione a tre livelli con l’obiettivo di migliorare la trasparenza e la capacità di risposta.
2. Misure di vigilanza: l’Ufficio Federale per la Sicurezza Informatica tedesco (BSI) ha poteri più ampi in merito all’esecuzione di audit e ispezioni, con l’obiettivo di verificare il rispetto dei requisiti di sicurezza.
3. Sanzioni: in caso di mancata osservanza della direttiva, possono essere comminate sanzioni che variano a seconda della gravità della violazione.

Supporto e consulenza:
Il BSI offre alle aziende interessate supporto e consulenza allo scopo di facilitare l’implementazione della NIS 2. Le aziende dovrebbero adottare proattivamente misure mirate al miglioramento della propria sicurezza informatica e prepararsi ai nuovi requisiti. L’ENISA, l’Agenza dell’Unione Europea per la cibersicurezza, fornisce informazioni utili sul tema della cybersecurity.

La direttiva NIS 2, il Cyber Resilience Act e il Regolamento Macchine fanno parte di un ampio quadro normativo dell’Unione Europea volto a rafforzare la cibersicurezza e la resilienza. La direttiva NIS 2 si focalizza sulla sicurezza di reti, sistemi informativi e requisiti a livello aziendale; il Cyber Resilience Act mira invece a migliorare e incrementare la cybersecurity di prodotti con elementi digitali. Il Regolamento Macchine integra tali misure stabilendo requisiti di sicurezza per macchine e prodotti industriali.

• Altre disposizioni di Industrial Security (tra cui: IEC 62443)
• Agenzia dell’Unione Europea per la cibersicurezza (ENISA)