Punti chiave
La direttiva NIS2 (UE 2022/2555) è la più importante normativa UE sulla cybersicurezza ad oggi, che amplia l'ambito da 7 a 18 settori e impone almeno 10 misure di gestione del rischio ai sensi dell'articolo 21. Le organizzazioni classificate come essenziali o importanti devono rispettare scadenze rigorose di notifica degli incidenti (preallarme entro 24 ore, notifica completa entro 72 ore e relazione finale entro un mese) con sanzioni che raggiungono i 10 milioni di euro o il 2% del fatturato globale. Gli organi di gestione sono soggetti a responsabilità personale per le inadempienze nella supervisione. I gruppi multi-entità devono valutare la conformità per ogni filiale in tutti gli Stati membri dell'UE pertinenti.
Che cos'è la direttiva NIS2?
Direttiva NIS2 (Direttiva (UE) 2022/2555) è il quadro rivisto dell'Unione europea per un livello comune elevato di cybersicurezza. È entrata in vigore il 16 gennaio 2023 e ha richiesto il recepimento da parte degli Stati membri entro il 17 ottobre 2024. La NIS2 sostituisce la direttiva NIS originale (2016/1148) con un ambito più ampio, obblighi più rigorosi ed esecuzione armonizzata. Testo completo della Direttiva (UE) 2022/2555 (EUR-Lex)
Quali sono le entità essenziali e quelle importanti ai sensi della NIS2?
Le entità essenziali operano nei settori elencati nell'allegato I della NIS2 (energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi ICT, pubblica amministrazione e spazio). Le entità importanti operano nei settori elencati nell'allegato II (servizi postali, gestione dei rifiuti, prodotti chimici, alimenti, fabbricazione, fornitori digitali e ricerca). La classificazione determina il regime di vigilanza e le soglie sanzionatorie. Secondo la panoramica della direttiva NIS di ENISA, la NIS2 copre circa 160.000 entità in tutta l'UE: un'espansione sostanziale rispetto agli circa 10.000 operatori coperti dalla direttiva NIS originale.
Quali sono le scadenze di notifica degli incidenti NIS2?
L'articolo 23 della NIS2 stabilisce un quadro di notifica degli incidenti in tre fasi per gli incidenti significativi:
- Preallarme: entro 24 ore dalla presa di conoscenza di un incidente significativo
- Notifica dell'incidente: entro 72 ore, compresa una valutazione iniziale della gravità e dell'impatto
- Relazione finale: entro un mese, contenente una descrizione dettagliata, un'analisi delle cause profonde e le misure di mitigazione applicate
Queste tempistiche sono obbligatorie sia per le entità essenziali sia per quelle importanti. Direttiva NIS2 articolo 23 (EUR-Lex)
Quali sono le sanzioni NIS2?
Ai sensi degli articoli 34-36 della NIS2, le sanzioni sono strutturate in base alla classificazione dell'entità:
| Tipo di entità | Sanzione massima | Tetto basato sul fatturato |
|---|
| Entità essenziale | 10.000.000 € | 2% del fatturato annuo globale |
| Entità importante | 7.000.000 € | 1,4% del fatturato annuo globale |
Oltre alle sanzioni finanziarie, l'articolo 20 della NIS2 introduce la responsabilità personale per i membri dell'organo di gestione che non supervisionano la gestione del rischio di cybersicurezza. Direttiva NIS2 articoli 20, 34-36 (EUR-Lex)
Come si confronta la NIS2 con la direttiva NIS originale?
| Aspetto | Direttiva NIS (2016/1148) | Direttiva NIS2 (2022/2555) |
|---|
| Settori coperti | 7 settori | 18 settori |
| Ambito delle entità | ~10.000 operatori (stima ENISA) | ~160.000 entità (stima ENISA) |
| Misure di gestione del rischio | Obbligo generale | 10 misure minime (articolo 21) |
| Notifica degli incidenti | Variabile per Stato membro | Armonizzata: 24h / 72h / 1 mese |
| Responsabilità della dirigenza | Non specificata | Responsabilità personale (articolo 20) |
| Sanzioni (essenziali) | Stabilite dagli Stati membri | Fino a 10 mln € o 2% del fatturato globale |
| Sicurezza della supply chain | Non esplicitamente richiesta | Obbligatoria (articolo 21(2)(d)) |
| Meccanismo di peer review | Non istituito | Istituito (articolo 19) |
Quali sono le 10 misure minime di gestione del rischio ai sensi dell'articolo 21 della NIS2?
L'articolo 21(2) della NIS2 impone che le entità essenziali e importanti attuino almeno le seguenti misure, adottando un approccio multirischio:
- Analisi del rischio e politiche di sicurezza dei sistemi informativi
- Procedure di gestione degli incidenti
- Continuità operativa e gestione delle crisi
- Sicurezza della supply chain, compresi gli aspetti relativi alla sicurezza dei rapporti con i fornitori diretti e i prestatori di servizi
- Sicurezza nell'acquisizione, sviluppo e manutenzione dei sistemi informatici e di rete, compresa la gestione e la divulgazione delle vulnerabilità
- Politiche e procedure per valutare l'efficacia delle misure di gestione del rischio di cybersicurezza
- Pratiche di base di igiene informatica e formazione sulla cybersicurezza
- Politiche e procedure relative all'uso della crittografia e della cifratura
- Sicurezza delle risorse umane, politiche di controllo degli accessi e gestione degli asset
- Uso dell'autenticazione a più fattori, comunicazioni vocali/video/testuali protette e sistemi di comunicazione di emergenza protetti
Direttiva NIS2 articolo 21(2)(a)-(j) (EUR-Lex)
La NIS2 si applica alle aziende non UE?
Sì. Ai sensi dell'articolo 26 della NIS2, le entità non stabilite nell'UE ma che forniscono servizi all'interno dell'Unione che rientrano nell'ambito della direttiva devono designare un rappresentante in uno degli Stati membri in cui forniscono servizi. Questa portata extraterritoriale rispecchia l'approccio adottato dal GDPR. Direttiva NIS2 articolo 26 (EUR-Lex)
Statistiche e contesto
Secondo il rapporto Threat Landscape 2024 di ENISA, il ransomware e gli attacchi alla supply chain restano le principali minacce alle infrastrutture critiche dell'UE, rafforzando la necessità delle misure di sicurezza della supply chain imposte dall'articolo 21(2)(d) della NIS2. L'IAPP osserva che la governance della privacy e della cybersicurezza sta convergendo sempre di più, con le organizzazioni che gestiscono sia gli obblighi GDPR sia quelli NIS2 attraverso piattaforme GRC integrate. Come citato nel considerando 1 della direttiva NIS2: "Network and information systems, and in particular the internet, play an essential role in facilitating the cross-border movement of goods, services and people. The trans-national nature of those systems means that any significant disruption, whether intentional or unintentional, in one Member State can affect other Member States and the Union as a whole."
