NIS2

Misure di gestione dei rischi di cyber sicurezza

L’articolo 21 della NIS 2 elenca le misure di gestione dei rischi di cyber sicurezza, che comprendono azioni tecniche, operative e organizzative, scelte per essere adeguate e proporzionate al fine di affrontare i rischi per la sicurezza dei sistemi e delle reti informatiche.

Queste misure sono adottate sia dai soggetti ritenuti essenziali che da quelli importanti, e vengono implementate sia nelle loro operazioni quotidiane che nella fornitura dei loro servizi. L’obiettivo principale è prevenire o, quantomeno, minimizzare l’impatto degli incidenti sia sui destinatari dei servizi offerti sia su altri servizi correlati.

L’articolo 21, inoltre, introduce al concetto che le strategie di gestione dei rischi cyber devono adottare un approccio che tenga conto di molteplici tipologie di rischio, in altre parole l’adozione di un approccio “multirischio” che mira a garantire che i soggetti essenziali e importanti siano preparati a fronteggiare un panorama di minacce in evoluzione, proteggendo le infrastrutture critiche e i servizi essenziali dell’UE.

Direttiva NIS 2: adottare un approccio multirischio

Ma, cosa significa esattamente adottare un approccio multirischio, come delineato nella Direttiva NIS 2? Tale approccio richiede che i soggetti, sia quelli essenziali che quelli importanti, preparino e implementino misure di sicurezza che affrontino un ampio spettro di rischi per la sicurezza delle reti e dei sistemi informativi.

L’obiettivo è di andare oltre la semplice difesa contro attacchi cibernetici di natura tecnica, includendo la prevenzione di rischi derivanti da cause fisiche, errori umani, sia intenzionali che accidentali, processi interni inefficienti e influenze esterne.

Elementi fondamentali dell’approccio multirischio includono:

1. Valutazione completa dei rischi: Le organizzazioni devono effettuare valutazioni dei rischi regolari e approfondite, considerando ogni possibile fonte di minaccia e vulnerabilità, sia tecnica che no.
2. Rischi fisici e ambientali: È essenziale considerare anche i rischi non digitali, come calamità naturali e guasti hardware, che possono impattare sulla sicurezza delle informazioni.
3. Risorse umane e processi interni: L’errore umano, la mancanza di formazione sulla sicurezza e la gestione inadeguata dei processi interni sono fattori di rischio significativi che devono essere affrontati.
4. Gestione della catena di approvvigionamento: Le vulnerabilità nei prodotti o servizi forniti da terzi possono rappresentare un rischio per la sicurezza, richiedendo un’attenta valutazione e mitigazione.
5. Preparazione e risposta agli incidenti: È cruciale avere piani dettagliati per rispondere efficacemente a incidenti di sicurezza di varia natura.
6. Adattabilità e resilienza: Sviluppare sistemi e processi che possano adattarsi e resistere a diversi tipi di interruzioni è fondamentale per mantenere la continuità operativa.
7. Cooperazione e condivisione delle informazioni: La condivisione di informazioni su minacce e vulnerabilità con entità simili e autorità pubbliche migliora la capacità collettiva di prevenire e rispondere agli attacchi.

Misure di sicurezza che i soggetti in perimetro NIS 2 devono adottare

Per quanto riguarda invece le misure di sicurezza specifiche (art. 21 par. 2) che i soggetti in perimetro dovranno adottare, queste includono, come minimo:

1. Politiche per l’analisi dei rischi e la sicurezza dei sistemi informatici.
2. Gestione efficace degli incidenti di sicurezza.
3. Garantire la continuità operativa dei servizi erogati.
4. Protezione della catena di approvvigionamento.
5. Sicurezza nell’acquisizione, sviluppo e manutenzione dei sistemi informatici e di rete.
6. Valutazione dell’efficacia delle misure di gestione dei rischi di cybersicurezza.
7. Implementazione di pratiche di igiene informatica di base, come l’uso di firewall.
8. Utilizzo di politiche e procedure per la crittografia.
9. Sicurezza delle risorse umane, strategie di controllo dell’accesso e gestione degli attivi.

La Commissione europea, inoltre, potrà stabilire requisiti tecnici e metodologici specifici per tali misure, tenendo conto ovviamente delle differenze tra i vari settori come, ad esempio, quello bancario rispetto al settore alimentare.

Valutazioni coordinate e obblighi di segnalazione

Le valutazioni coordinate dei rischi cyber, di cui all’art. 22, rappresentano uno strumento fondamentale per identificare vulnerabilità e minacce all’interno di specifiche catene di approvvigionamento critiche (dei servizi TIC, sistemi TIC o prodotti TIC).

Gli Stati Membri, attraverso il gruppo di cooperazione, sono chiamati a svolgere queste valutazioni, tenendo conto di una vasta gamma di fattori di rischio, sia tecnici che non.

Gli obblighi di segnalazione (art. 23), inoltre, giocano un ruolo chiave nella gestione degli incidenti cyber. I soggetti essenziali e importanti saranno tenuti a notificare senza indebito ritardo e comunque entro 24 ore dalla conoscenza dell’incidente che ha un impatto significativo sulla fornitura dei loro servizi.

I soggetti interessati dovranno presentare notifica dell’incidente entro 72 ore dalla conoscenza di tale incidente alle autorità competenti o ai CSIRT.

Le notifiche devono includere tutte le informazioni necessarie per valutare l’impatto potenziale dell’incidente, compreso l’impatto transfrontaliero.

I soggetti interessati, inoltre, trasmettono al CSIRT o all’autorità competente una relazione intermedia sugli aggiornamenti della situazione a richiesta di questi ultimi e, infine, entro un mese dalla notifica dell’incidente, producono una relazione finale, con una descrizione dettagliata dell’incidente, della sua gravità e dell’impatto, il tipo di minaccia o la causa che ha innescato l’incidente e le misure di attenuazione adottate e in corso di adozione.

Gli Stati Membri dovranno, dal canto loro, assicurare che le informazioni fornite siano gestite in modo efficace e che le entità ricevano il supporto necessario per rispondere agli incidenti.

La NIS 2 prevede inoltre anche la possibilità di notifica volontaria di incidenti (art. 30), minacce informatiche e quasi incidenti rappresenta un ulteriore strumento per migliorare la consapevolezza e la preparazione complessiva.

Gli Stati Membri sono incoraggiati a facilitare queste notifiche, garantendo al contempo la riservatezza e la protezione delle informazioni condivise.

Sanzioni previste dalla Direttiva NIS 2

A differenza di quanto precedentemente previsto dalla NIS, che all’articolo 21 delegava completamente ai singoli Stati membri la definizione delle sanzioni in caso di violazione delle disposizioni della Direttiva, richiamando solamente e semplicemente il principio di proporzionalità e di finalità dissuasiva delle stesse, con la NIS 2 il quadro sanzionatorio è estremamente più dettagliato.

All’articolo 34 della NIS 2, infatti, il legislatore europeo ha già previsto un perimetro sanzionatorio da applicare che si differenzia tra soggetti essenziali e soggetti importanti, nello specifico la norma prevede che:

• I soggetti essenziali possono essere sottoposti a sanzioni amministrative pecuniarie:
• pari a un massimo di almeno 10.000.000 di euro o a un massimo di almeno il 2% del totale del fatturato mondiale annuo per l’esercizio precedente dell’impresa cui il soggetto essenziale appartiene, se tale importo è superiore.
• I soggetti importanti possono essere sottoposti a sanzioni amministrative pecuniarie:
• pari a un massimo di almeno 7.000.000 euro o a un massimo di almeno l’1,4 % del totale del fatturato mondiale annuo per l’esercizio precedente dell’impresa cui il soggetto importante appartiene, se tale importo è superiore.

È importante sottolineare che tali sanzioni pecuniarie, si riferiscono specificamente alle violazioni degli artt. 21 (Misure di gestione dei rischi di cybersicurezza) o 23 (Obblighi di segnalazione di incidenti).

Conclusioni

La Direttiva NIS 2 segna un punto di svolta significativo nella governance della cybersicurezza all’interno dell’Unione Europea, sottolineando sia il ruolo cruciale degli Stati Membri che dei soggetti essenziali e importanti nella costruzione di un ecosistema digitale sicuro e resiliente.

Attraverso l’implementazione di misure di gestione dei rischi cyber proattive e sistematiche, la formazione mirata degli organi di gestione e dei dipendenti, e l’adozione di un approccio multirischio, la NIS 2 mira a superare quelli che erano i limiti della NIS 1 e rafforzare la protezione contro un panorama di minacce cyber in continua evoluzione.

La responsabilizzazione degli organi di gestione aziendale, l’obbligo di segnalazione degli incidenti e la promozione dell’uso di prodotti e servizi TIC certificati sono solo alcune delle iniziative chiave che evidenziano l’importanza di una collaborazione trasversale e di un impegno condiviso a tutti i livelli organizzativi.

In definitiva, la NIS 2 non solo eleva gli standard di cybersicurezza ma promuove anche una cultura della sicurezza informatica che è fondamentale per proteggere le infrastrutture critiche e garantire la continuità dei servizi essenziali nell’UE, sottolineando l’importanza di un impegno collettivo nella lotta contro le minacce cyber.