La direttiva NIS2: rafforzare la cybersecurity contro il crimine informatico

Nel 2024, la criminalità informatica ha raggiunto nuove vette di pericolosità, attaccando governi e multinazionali, arrivando anche a minacciare la sicurezza di dati e infrastrutture critiche. Secondo un rapporto di Cybersecurity Ventures, entro il 2025 i costi legati alla criminalità informatica sono destinati a raggiungere i 10,5 trilioni di dollari annui, rispetto ai 3 trilioni di dollari del 2015{{Footnote.A74148}}.

Questa impennata si deve ad attacchi informatici sempre più sofisticati, con una frequenza e una gravità di minacce ransomware ed episodi di data breach ogni anno in aumento. Il Global Risk Report 2023 del World Economic Forum{{Footnote.A74149}} mette in risalto la pericolosità delle minacce informatiche, considerandole uno fra i principali rischi globali, che necessita urgentemente di solide contromisure di sicurezza informatica.

Per contrastare questa crescente minaccia, l'Unione Europea ha adottato la Direttiva NIS2, che riforma in modo significativo la precedente Direttiva NIS (Network and Information Systems) del 2016, ampliando il campo di applicazione, che arriva ora ad interessare un maggior numero di infrastrutture critiche e di fornitori di servizi essenziali.

La direttiva NIS2 ha l'obiettivo di rafforzare la sicurezza informatica delle infrastrutture critiche in tutta l'UE, garantendo una maggiore resilienza e una protezione più efficace contro le violazioni dei dati e le interferenze attuate da malintenzionati.

L'esperto di sicurezza David Clarke spiega le principali differenze tra NIS e NIS2

Ambito e destnatari: la precedente versione della direttiva NIS si concentrava sostanzialmente sugli operatori di servizi essenziali e sui fornitori di servizi digitali. La versione NIS2 amplia il suo ambito di applicazione, arrivando a includere enti di medie e grandi dimensioni in una gamma più ampia di settori, tra cui sanità, trasporti, energia, banche e pubblica amministrazione. DI conseguenza, cresce il numero di organizzazioni ed enti governativi che ora sono tenuti a rispettare standard di cybersecurity rigorosi.

Requisiti di sicurezza: la direttiva NIS2 introduce requisiti di sicurezza più dettagliati. Le organizzazioni devono adottare misure di gestione del rischio, compiere periodiche analisi sulla sicurezza e dotarsi di strategie di reazione agli incidenti. La direttiva rende obbligatori il controlli degli accessi e la crittografia per la protezione dei dati sensibili.

Segnalazione degli incidenti: la precedente versione della direttiva NIS obbligava gli enti a rendere noti gli incidenti di significativa importanza, senza ritardi ingiustificati. La nuova versione NIS2 rende più incisivo questo obbligo, stabilendo che gli incidenti debbano essere segnalati entro 24 ore dal rilevamento e che venga data risposta più rapidamente agli attacchi e alle relative intrusioni.

Controlli e applicazione: la direttiva NIS2 rafforza il ruolo delle autorità nazionali nella supervisione e nel controllo della conformità. Anche le conseguenze previste in caso di mancata conformità si fanno più severe, con sanzioni che possono arrivare fino a 10 milioni di euro o al 2% dei ricavi annui globali dell'azienda, se superiori.

Sicurezza della catena di approvvigionamento: la direttiva NIS2 sottolinea l'importanza di mettere in sicurezza le catene di approvvigionamento strategiche, imponendo ad aziende e governi di valutare e gestire i rischi di cybersecurity che potrebbero derivare dai loro fornitori e prestatori di servizi.

Chi sarà interessato?

L'ampliamento del campo di applicazione della direttiva NIS2 comporta una significativa estensione dei settori interessati, che comprendono energia, trasporti, banche, infrastrutture dei mercati finanziari, sanità, fornitura e distribuzione di acqua potabile, infrastrutture digitali, governi e settore aerospaziale. Le medie e grandi imprese operanti in questi settori sono tenute a conseguire la conformità alla nuova direttiva entro il 17 ottobre 2024.

Multe e sanzioni previste

La mancata conformità alla direttiva NIS2 può portare all'applicazione di pesanti sanzioni. Alle organizzazioni che non si allineano agli standard richiesti o non segnalano tempestivamente gli incidenti possono essere comminate sanzioni fino a 10 milioni di euro o al 2% del loro fatturato annuo globale. La particolare severità delle sanzioni evidenzia l'importanza di rispettare la direttiva per evitare danni finanziari e di reputazione.

Fuori dall'UE?

Anche chi ha sede fuori dall'UE è interessato dalla direttiva NIS2. Se l'organizzazione opera in UE o con un qualsiasi ente dell'UE – è tenuta a rispettare questa normativa e a sopportare le conseguenti sanzioni nel caso di mancata conformità.