Direttiva NIS 2

Principali Adempimenti della Direttiva NIS 2

La Direttiva NIS 2 impone ai soggetti essenziali e importanti di adottare misure tecniche, operative e organizzative adeguate e proporzionate per gestire i rischi legati alla sicurezza dei sistemi informatici e delle reti utilizzati nelle loro attività o nella fornitura dei servizi. Tali misure sono finalizzate a prevenire o minimizzare l'impatto degli incidenti sui destinatari dei servizi e su altri servizi interconnessi. La direttiva adotta un approccio "multirischio", che richiede l'integrazione di elementi chiave:

Governance

Il management sarà responsabile delle misure e delle politiche adottate al fine di:

• Accountability dell’organo di gestione​;
• Formazione dei membri dell’organo di gestione​;
• Formazione ai dipendenti​.

Gestione Rischi di Cyber Sicurezza​

Le aziende dovranno adottare adeguate misure:

• Strategie e procedure per valutare l'efficacia delle misure di gestione dei rischi di cyber-sicurezza;
• Pratiche di igiene informatica di base e formazione in materia di cyber-sicurezza;
• Politiche e procedure relative all'uso della crittografia e, se applicabile, della cifratura;
• Sicurezza delle risorse umane, strategie di controllo degli accessi e gestione degli attivi;
• Sicurezza nell'acquisizione, nello sviluppo e nella manutenzione dei sistemi informatici e di rete, comprese la gestione e la divulgazione delle vulnerabilità;
• Utilizzo di soluzioni di autenticazione a più fattori o di autenticazione continua, di comunicazioni protette (vocali, video e testuali) e di sistemi di comunicazione di emergenza protetti all'interno dell'organizzazione, se del caso.

‍

Gestione degli Incidenti

Le società saranno tenute a notificare gli incidenti di sicurezza al CSIRT ITALIA (team di risposta degli incidenti di cyber sicurezza presso ACN).

Per determinare quando un incidente debba essere considerato significativo, bisogna valutare se:

1. abbia causato o possa causare una grave interruzione operativa dei servizi o perdite finanziarie per il soggetto interessato;
2. se si sia ripercosso o possa ripercuotersi su altre persone fisiche o giuridiche, provocando perdite materiali o immateriali considerevoli.

In questo contesto, i soggetti coinvolti in qualsiasi "incidente significativo" devono seguire un iter di notifica alle autorità competenti, articolato in più fasi:

- NOTIFICA DELL'INCIDENTE

I soggetti essenziali o importanti dovrebbero presentare, al proprio CSIRT o alla propria autorità competente, un preallarme entro 24 ore dalla conoscenza dell’incidente che ha un impatto significativo sulla fornitura dei loro servizi. I soggetti interessati dovrebbero presentare notifica dell’incidente entro 72 ore dalla conoscenza di tale incidente.

- TRASMISSIONE RELAZIONE INTERMEDIA

I soggetti interessati trasmettono a CSIRT o all’autorità competente una relazione intermedia sugli aggiornamenti della situazione richiesta di questi ultimi.

- TRASMISSIONE RELAZIONE FINALE

Alla notifica iniziale segue una relazione finale entro un mese dalla notifica, con una descrizione dettagliata dell’incidente, della sua gravità e dell’impatto, il tipo di minaccia o la causa che ha innescato l’incidente e le misure di attenuazione adottate e in corso di adozione.

Sicurezza della Supply-Chain

Sicurezza della catena di approvvigionamento, Inclusi gli aspetti di sicurezza legati ai rapporti con fornitori diretti o fornitori di servizi.

Continuità Operativa

• Business Impact Analysis, che valuti in particolare l’impatto sui processi operativi dell’indisponibilità di parte o di tutto il sistema informativo aziendale
• Gestione dei backup, il ripristino in caso di disastro e la gestione delle crisi;

‍

Di particolare importanza è anche la disposizione che invita gli Stati membri a prevedere che gli organi di gestione dei soggetti essenziali e importanti approvino le misure di governance dei rischi precedentemente menzionate e ne supervisionino l'attuazione. Gli stessi organi di gestione potrebbero essere ritenuti responsabili in caso di violazione di tale obbligo, qualora ciò venga previsto nella fase di recepimento della direttiva.