On this page:
Che cos'è la conformità NIS 2?
La conformità NIS 2 si riferisce all'allineamento con la Direttiva sulla sicurezza delle reti e dei sistemi informativi dell'Unione europea (NIS 2), progettata per migliorare la sicurezza informatica per le entità essenziali e importanti.
La Direttiva NIS è entrata in vigore per la prima volta nel 2016. Il suo obiettivo specifico era quello di raggiungere un elevato livello comune di sicurezza informatica in tutti i Paesi membri. Tuttavia, le lacune nella sua attuazione hanno frammentato le regole tra i Paesi, aumentando i rischi informatici.
Al fine di colmare queste lacune, la Commissione ha proposto di avere una direttiva più solida e precisa. Una direttiva che estende il suo campo di applicazione a più settori. È stato allora che è stata introdotta la direttiva NIS 2.
Diamo un'occhiata alla differenza tra NIS e NIS 2
| NIS | NIS 2 |
|---|---|
| Adottata nel 2016, si è concentrata sul miglioramento della sicurezza informatica in tutta l'UE per i servizi essenziali (ad esempio, energia, trasporti, banche). | È entrata in vigore il 16 gennaio 2023, con un ambito di applicazione più ampio con misure di sicurezza più severe. Gli Stati membri dell'UE devono recepire i requisiti NIS 2 nelle loro legislazioni nazionali entro il 17 ottobre 2024. |
| L'ambito di applicazione della NIS riguardava settori come l'energia, i trasporti, l'acqua, la sanità e le infrastrutture digitali. | L'ambito di applicazione della NIS 2 è più ampio. È stato ampliato per includere più settori come la pubblica amministrazione e altri servizi infrastrutturali come i fornitori di servizi di data center, ecc. |
| Ha imposto requisiti di sicurezza di base agli operatori di servizi essenziali e ai fornitori di servizi digitali. | Ha introdotto requisiti di sicurezza informatica più dettagliati e completi, compresa la sicurezza della catena di approvvigionamento. |
| Ha imposto l'obbligo di segnalazione degli incidenti che hanno avuto un impatto significativo sulla continuità dei servizi essenziali. | Ha reso più rigorosi i requisiti di segnalazione degli incidenti, tra cui scadenze più rigorose e obblighi di segnalazione più dettagliati. |
| L'attuazione e l'applicazione variano notevolmente tra gli Stati membri dell'UE. | Prevede meccanismi di applicazione rafforzati con maggiori poteri per le autorità nazionali. |
La NIS 2 mira a colmare le lacune della direttiva NIS originaria, garantendo un livello più elevato di sicurezza informatica e un'attuazione più uniforme in tutta l'UE.
Perché la conformità alla NIS 2 è importante?
Garantire la conformità alla NIS 2 è essenziale per proteggere le infrastrutture critiche e mantenere la continuità operativa. La mancata conformità può comportare multe ingenti e danni alla reputazione. La direttiva afferma: "Le entità essenziali non conformi ai sensi della NIS 2 possono essere multate fino a 10 milioni di euro o il 2% del loro fatturato annuo".
Capire i capitoli della NIS 2
Esplora le disposizioni e i requisiti specifici della NIS 2 approfondendo i suoi capitoli:
Disposizioni generali
La direttiva si applica alle organizzazioni pubbliche e private; la NIS 2 si applica a determinati soggetti del settore critico, indipendentemente dalle loro dimensioni. Queste entità sono classificate come entità essenziali e importanti. Tuttavia, nell'ambito della NIS 2, le misure di sicurezza informatica per i soggetti essenziali e importanti sono allineate, il che significa che devono seguire gli stessi requisiti di base. Enti importanti riguardano l'alimentazione, l'assistenza sanitaria, ecc.
Ai sensi della NIS 2, se le misure di gestione della sicurezza informatica e gli obblighi di notifica degli incidenti previsti da un diritto settoriale dell'Unione (legge a livello dell'UE) sono in linea con i requisiti di cui alla NIS 2, i soggetti di tale settore devono seguire solo le misure di gestione della sicurezza informatica e gli obblighi di notifica degli incidenti previsti dal diritto dell'Unione specifico di tale settore.
La NIS 2 stabilisce una base di riferimento standard per tutti gli Stati membri dell'UE. Gli Stati membri possono stabilire delle regole di sicurezza informatica più rigorose, se necessario, a condizione che rispettino i requisiti di base esistenti.
Quadro coordinato per la sicurezza informatica
Gli Stati membri devono designare una o più autorità competenti che saranno responsabili della sicurezza informatica e svolgeranno compiti di vigilanza all'interno dei loro confini. Gli Stati membri devono inoltre garantire che le loro autorità competenti dispongano di risorse adeguate.
I Computer Security Incident Response Team (CSIRT) svolgono un ruolo importante nella gestione degli incidenti, nella raccolta di informazioni e nella comunicazione con le organizzazioni. Monitorano le minacce, analizzano gli incidenti e condividono avvisi e dati in tempo reale con la rete e le autorità. Il coordinatore designato per i CSIRT fungerà da intermediario di fiducia, facilitando l'interazione tra la persona giuridica che segnala una vulnerabilità e l'OEM.
Cooperazione a livello dell'Unione e internazionale
Si concentra sul rafforzamento della sicurezza informatica collaborando a livello nazionale e internazionale. Il gruppo di cooperazione facilita la condivisione di informazioni e strategie tra gli Stati membri.
La rete CSIRT comprende i CSIRT nazionali e il CERT-UE. Si scambieranno informazioni sulle capacità, le vulnerabilità, gli incidenti e le minacce del CSIRT. Per affrontare le minacce informatiche, i CSIRT stabiliranno nuovi metodi per la cooperazione operativa, concentrandosi sugli avvisi precoci, sul sostegno durante gli attacchi informatici e sulla pianificazione della risposta alle minacce.
Misure di gestione dei rischi di sicurezza informatica e obblighi di segnalazione
I soggetti essenziali e importanti devono fornire un allarme tempestivo in caso di incidenti significativi ai CSIRT o alle autorità competenti entro 24 ore dal momento in cui vengono a conoscenza di un incidente significativo. Ci sono diverse fasi di segnalazione come l'avviso precoce, le notifiche di incidenti, le relazioni intermedie e i report finali.
Gli Stati membri dovrebbero garantire che i soggetti essenziali e importanti attuino misure tecniche, operative e organizzative adeguate e proporzionate per gestire i rischi posti alla sicurezza delle reti e dei sistemi informativi alle misure di gestione dei rischi di sicurezza informatica, comprese le politiche in materia di analisi dei rischi e gestione degli incidenti; continuità aziendale; sicurezza della catena di approvvigionamento e sviluppo sicuro del sistema. Altre misure comprendono la valutazione dell'efficacia delle misure di gestione dei rischi di sicurezza informatica, le pratiche di base in materia di igiene informatica, politiche per l'uso della crittografia; sicurezza delle risorse umane e autenticazione a più fattori.
Giurisdizione e registrazione
Riguarda le norme sulla giurisdizione e le procedure di registrazione per i soggetti essenziali e importanti.
Elenca i criteri per le organizzazioni per determinare il Paese che le supervisiona. Al fine di tenere traccia di queste organizzazioni, un registro delle loro informazioni viene raccolto e gestito dall'ENISA (Agenzia dell'Unione europea per la cibersicurezza). Le informazioni per il registro includono il nome dell'organizzazione, l'indirizzo dell'organizzazione, i dettagli di contatto, ecc. Inoltre, le organizzazioni che forniscono servizi di registrazione dei nomi di dominio e i registri TLD dovrebbero creare un database di dati di registrazione dei domini. Questo database ha lo scopo di migliorare l'affidabilità dei servizi dei nomi di dominio (DNS).
Condivisione delle informazioni
Le organizzazioni dell'Unione europea condividono tra loro le informazioni relative alla sicurezza informatica. Gli Stati membri hanno la responsabilità di facilitare gli scambi. Esse determinano le informazioni condivise, le piattaforme e gli strumenti TIC utilizzati e le condizioni di tale accordo. Le organizzazioni che desiderano ritirarsi da uno scambio in corso devono notificarlo all'autorità competente dello Stato membro interessato.
La direttiva incoraggia tutte le organizzazioni dell'Unione europea a notificare volontariamente ai CSIRT o alle autorità competenti le minacce e gli attacchi informatici.
Vigilanza e applicazione
Le autorità competenti del Paese sono responsabili dell'obbligo per le organizzazioni di conformarsi alla Direttiva NIS 2. Le ispezioni in loco, gli audit di sicurezza mirati e gli audit ad hoc sono le misure di supervisione delle autorità competenti discusse nel presente capitolo. Per qualsiasi violazione della Direttiva sono comminate sanzioni amministrative pecuniarie alle organizzazioni. Inoltre, le autorità competenti possono chiedere assistenza alle autorità di altri Stati per la supervisione delle organizzazioni che operano a livello transfrontaliero.
Atto di delega e di esecuzione
La Commissione europea, in qualità di uno degli organi esecutivi dell'Unione europea, garantisce il rispetto delle leggi dell'Unione in tutti i suoi Paesi. Pertanto, la Commissione europea ha il potere di adottare atti delegati. Tale autorità è esercitata per un periodo di cinque anni a decorrere dal 16 gennaio 2023. Ai sensi di tale capitolo, il Parlamento europeo e il Consiglio europeo possono revocare il potere della Commissione in qualsiasi momento. La Commissione europea dovrebbe adottare un atto delegato come richiesto dalla direttiva solo se né il Parlamento né il Consiglio sollevano obiezioni. Deve inoltre notificare tali organismi non appena adotta un atto delegato.
Disposizioni finali
I Paesi dell'Unione europea adotteranno e pubblicheranno misure per conformarsi alla presente direttiva NIS 2 e dovranno informare tali misure alla Commissione europea entro il 17 ottobre 2024. Inizieranno inoltre ad attuare tali misure a partire dal 18 ottobre 2024.
La Commissione europea riesaminerà il funzionamento della presente direttiva e riferirà al Parlamento europeo e al Consiglio entro ottobre 2027. Tale riesame sarà condotto successivamente ogni tre anni. La presente relazione comprende una valutazione della pertinenza delle dimensioni dei soggetti interessati e dei settori, sottosettori e tipi di soggetti di cui alla presente direttiva per il funzionamento dell'economia e della società in relazione alla sicurezza informatica. Può anche includere report del gruppo di cooperazione e della rete CSIRT.
Take your first step now!
Learn how ManageEngine's IAM and SIEM solutions helps you achieve this compliance
