La Commissione Europea ha proposto una revisione della direttiva sulla sicurezza delle reti e dei sistemi informativi, la direttiva NIS2, che è entrata in vigore a Gennaio 2023 e deve essere recepita dai singoli stati membri entro il 17 Ottobre 2024 . La sua adozione rappresenta un passo importante per la realizzazione di uno spazio europeo di sicurezza cibernetica, che sia in grado di affrontare le sfide e le opportunità della trasformazione digitale. Ecco cosa cambia e perché è importante per le imprese e i cittadini.
Cos'è la direttiva NIS2 e perché è necessaria
La direttiva NIS2 è la proposta di revisione della direttiva NIS, adottata nel 2016, che stabilisce le norme comuni per la sicurezza delle reti e dei sistemi informativi nell’Unione Europea. La direttiva NIS ha introdotto per la prima volta l’obbligo per gli Stati membri di adottare una strategia nazionale per la sicurezza cibernetica, di designare le autorità competenti e i punti di contatto, di istituire un sistema di cooperazione a livello europeo e di imporre ai fornitori di servizi essenziali e ai fornitori di servizi digitali di adottare misure appropriate per gestire i rischi e segnalare gli incidenti.
La direttiva NIS2 mira a rafforzare il quadro normativo esistente, adeguandolo alle nuove sfide e minacce che emergono nel panorama digitale. La sicurezza cibernetica è infatti una priorità strategica per l’UE, che vuole garantire un livello elevato e uniforme di protezione per le infrastrutture critiche, i servizi essenziali e i dati sensibili dei cittadini e delle imprese.
A chi si rivolge la direttiva NIS2
La direttiva NIS2 amplia il campo di applicazione della direttiva NIS, includendo nuovi settori e attori che sono esposti a rischi cibernetici o che svolgono un ruolo chiave nella resilienza digitale. Tra questi, ci sono:
- le infrastrutture critiche, come le reti elettriche, le reti di trasporto, le reti di comunicazione, le reti idriche, le reti sanitarie, le reti spaziali e le reti nucleari;
- i servizi essenziali, come i servizi finanziari, i servizi sanitari, i servizi di trasporto, i servizi di gestione delle acque, i servizi di gestione dei rifiuti, i servizi postali, i servizi di pubblica amministrazione e i servizi elettorali;
- i fornitori di servizi digitali, come i mercati online, i motori di ricerca, i servizi di cloud computing, i social network, i servizi di messaggistica, i servizi di videoconferenza, i servizi di streaming, i servizi di e-learning e i servizi di e-health;
- i fornitori di servizi di sicurezza cibernetica, come i centri di operazioni di sicurezza, i centri di risposta agli incidenti, i fornitori di soluzioni di sicurezza e i fornitori di servizi di certificazione;
- le autorità pubbliche, come le istituzioni, gli organi e le agenzie dell’UE, le autorità nazionali e locali, le forze dell’ordine, i servizi di intelligence e i servizi di difesa;
- gli enti di ricerca e innovazione, come le università, i centri di ricerca, i laboratori e i progetti finanziati dall’UE.
Tutti questi soggetti sono tenuti a rispettare gli obblighi previsti dalla direttiva NIS2, che riguardano la gestione dei rischi, la segnalazione degli incidenti, la cooperazione e lo scambio di informazioni, la conformità e le sanzioni.
Quali sono le principali novità della direttiva NIS2
La direttiva NIS2 introduce diverse novità rispetto alla direttiva NIS, tra cui:
- un approccio basato sul rischio, che tiene conto della natura, della portata, del contesto e degli impatti potenziali degli incidenti cibernetici;
- un elenco armonizzato di settori e attori rilevanti, che sostituisce la discrezionalità degli Stati membri nella definizione dei servizi essenziali;
- un sistema di classificazione degli incidenti, che prevede quattro livelli di gravità (basso, sostanziale, elevato e critico) e criteri comuni per la valutazione;
- un meccanismo di revisione periodica, che consente di aggiornare il campo di applicazione e gli obblighi della direttiva in base all’evoluzione tecnologica e normativa;
- un rafforzamento della cooperazione e del coordinamento a livello europeo, attraverso il ruolo dell’Agenzia dell’Unione Europea per la Cybersecurity (ENISA), il Gruppo di cooperazione, la Rete dei punti di contatto e il Sistema di allarme rapido;
- un inasprimento delle sanzioni, che devono essere effettive, proporzionate e dissuasive, e che possono raggiungere il 2% del fatturato annuo dei soggetti inadempienti.
Vuoi essere sicuro che la tua attività sia conforme alla direttiva NIS2? Contattaci per saperne di più, insieme troveremo le soluzioni più adatte alla tua attività!
