Il 28 novembre 2022, il Parlamento Europeo ha approvato la Network and Information Systems Directive 2 (NIS 2), successivamente pubblicata nella Gazzetta Ufficiale il 27 dicembre dello stesso anno. Gli Stati membri dell’Unione Europea hanno tempo fino al 17 ottobre 2024 per adeguarsi alle nuove disposizioni. La NIS 2, ufficialmente denominata “Direttiva UE 2022/2555 del Parlamento Europeo e del Consiglio del 14 dicembre 2022 relativa a misure per un livello comune elevato di cyber sicurezza nell’Unione, recante modifica del regolamento (UE) n. 910/2014 e della direttiva (UE) 2018/1972 e che abroga la direttiva (UE) 2016/1148 (direttiva NIS 2)”, rappresenta la risposta comune dell’Unione Europea all’aumento degli incidenti di sicurezza informatica e mette in risalto la necessità di un quadro normativo comune per la sicurezza informatica. L’obiettivo principale della NIS 2, che sostituisce la precedente direttiva, è eliminare le disparità tra i vari sistemi giuridici nazionali, rafforzare gli obblighi di sicurezza informatica, ampliare il numero di settori e attori coinvolti e promuovere una maggiore cooperazione tra gli Stati membri. Questo approccio mira a garantire una maggiore uniformità nell’applicazione delle misure di sicurezza informatica a livello europeo. Le criticità di NIS 1 L’aumento in numero e in sofisticatezza degli attacchi informatici ha evidenziato la necessità di rivedere la direttiva originale NIS 1. Questa revisione ha portato alla luce quattro problemi fondamentali: Le novità di NIS 2 La nuova direttiva NIS 2 non è una semplice revisione della precedente, ma presenta importanti differenze che hanno lo scopo di ottenere un più alto livello di armonizzazione degli standard di sicurezza e degli obblighi di monitoraggio nell’Unione Europea.Innanzitutto, l’adozione volontaria della direttiva NIS originale viene abolita: NIS 2 è obbligatoria per determinate entità e l’UE prevede sanzioni finanziarie, simile a quelle previste dal GDPR, per chi non si conforma entro i termini stabiliti. I requisiti della NIS 2 includono controlli tecnici più rigorosi per garantire la sicurezza delle operazioni ed estendono lo scopo della direttiva oltre l’ambiente IT interno delle aziende. Tra i maggiori cambiamenti notiamo la sostituzione del complesso processo di identificazione nelle mani degli Stati Membri (Art 5 NIS 1) attraverso un sistema di auto identificazione basato su settori e dimensioni delle entità pubblica o private.In questo senso, l’articolo 2 della nuova direttiva specifica l’applicazione delle nuove regole a tutte le entità che rientrano nella definizione di media impresa, o che superano i massimali per le medie imprese e che forniscono i loro servizi o svolgono le loro attività all’interno dell’Unione. Inoltre, NIS 2 individua alcune tipologie di entità per cui la dimensione non è rilevante, rendendole comunque soggette alla direttiva. Nel paragrafo successivo specifichiamo tutte le entità soggette a NIS 2. Un’altra novità è la sostituzione delle categorie di NIS 1, ossia operatori di servizi essenziali (OES) e fornitori di servizi digitali (DSP), con le nuove categorie di “entità essenziali” e “entità importanti”. Inoltre, la NIS richiede a determinati soggetti non stabiliti nell’Unione Europea, ma che offrono servizi al suo interno, di designare un rappresentante nell’Unione. Questo è il caso dei fornitori di servizi DNS, dei registri dei nomi di dominio di primo livello (TLD), fornitori di servizi di registrazione dei nomi di dominio, fornitori di servizi di cloud computing, fornitori di servizi di data center, fornitori di reti di distribuzione dei contenuti, fornitori di servizi gestiti, fornitori di servizi di sicurezza gestiti, nonché fornitori di mercati online, di motori di ricerca online o di piattaforme di servizi di social networking che non sono stabiliti nell’Unione. Le entità soggette alla NIS 2 dovranno fornire informazioni specifiche alle autorità competenti riguardo l’elenco degli Stati membri di soggetti essenziali e importanti, nonché la registrazione presso l’Agenzia dell’Unione europea per la cyber sicurezza (ENISA). Gli Stati membri possono adottare processi nazionali che richiedono ai soggetti di registrarsi al fine di stabilire e aggiornare l’elenco. NIS 2: per chi è obbligatoria Come abbiamo accennato nel paragrafo precedente, NIS 2 si rivolge a entità essenziali e entità importanti. Le imprese sono considerate essenziali se operano in uno dei settori ad alta criticità elencati nell’Allegato 1 e hanno più di 250 dipendenti o un fatturato annuo superiore a 50 milioni di Euro.Settori ad Alta Criticità (Allegato 1) Altri Settori Critici (Allegato 2) Le aziende che non sono considerate essenziali, ma appartengono comunque a uno dei settori elencati nell’Allegato 1 o nell’Allegato 2 e hanno più di 50 dipendenti o un fatturato annuo superiore a 10 milioni di Euro sono considerate entità importanti. In altre parole, la distinzione tra entità essenziali e importanti è la seguente: Le aziende con meno di 50 dipendenti possono comunque essere soggette alla NIS 2 se sono l’unico fornitore di un servizio essenziale all’interno di uno Stato membro o se l’interruzione del loro servizio avrebbe un impatto significativo sulla sicurezza pubblica, sulla sicurezza o sulla salute. Inoltre, le pubbliche amministrazioni e alcuni servizi digitali rientrano nella NIS 2 indipendentemente dalle loro dimensioni. Fa eccezione la pubblica amministrazione che svolge attività nei settori della sicurezza nazionale, della pubblica sicurezza, della difesa, del contrasto, compresa la prevenzione, le indagini, l’accertamento e il perseguimento dei reati. > Scopri i nostri servizi di Cyber Security e come ti possiamo aiutare a prepararti per la NIS 2 Requisiti e obblighi per le aziende La Direttiva NIS 2 introduce nuovi requisiti e obblighi per le organizzazioni in quattro aree principali. Le Misure Minime di NIS 2 Oltre alle quattro aree generali di requisiti, la NIS 2 impone alle entità essenziali e importanti di implementare misure di sicurezza di base per affrontare specifiche forme di minacce informatiche probabili. Queste includono: Puoi trovare il testo completo del decreto legislativo a questo link. (link esterno) Entrata in vigore e registrazione delle imprese sul portale ACN Il 16 ottobre 2024 è entrata in vigore la nuova normativa europea Network and Information Security (NIS), recepita in Italia con il Decreto Legislativo n. 138 del 4 settembre 2024. L’Agenzia per la Cyber sicurezza Nazionale (ACN) è stata designata come Autorità competente per l’attuazione e il monitoraggio della direttiva NIS. Tra i nuovi obblighi, vi è la registrazione obbligatoria sul portale servizi ACN, prevista per tutte le