La Direttiva NIS2 sulla sicurezza delle reti e delle informazioni è una misura normativa volta a stabilire un livello comune più elevato di sicurezza informatica per le organizzazioni che operano nell’UE.
La NIS2 si basa sui precedenti requisiti di sicurezza informatica della NIS, rispetto a questa oltre ad aumentare le sanzioni, amplia i controlli di sicurezza della catena di approvvigionamento, la valutazione e la revisione dei rischi, la segnalazione degli incidenti e altri controlli chiave.
In sostanza, le aziende devono adottare misure per garantire un livello adeguato di protezione della sicurezza informatica, tenendo conto del settore, delle dimensioni, del fatturato e del livello di esposizione agli attacchi informatici.
Garantire la conformità a questi requisiti ampliati può sembrare un’impresa titanica, ma non è così.
Misure di sicurezza informatica di base
La direttiva NIS 2 impone misure di sicurezza informatica di base per le entità Essenziali e Importanti di vari settori. Queste misure si concentrano su un approccio di gestione del rischio, che richiede alle entità di condurre valutazioni periodiche dei rischi, implementare operazioni di salvaguardia tecniche e organizzative (come firewall e controlli degli accessi) e stabilire procedure per rilevare, segnalare e rispondere agli incidenti di sicurezza.
La direttiva NIS 2 impone agli Stati membri dell’UE di garantire che le entità Essenziali e Importanti adottino misure di sicurezza informatica appropriate. Queste misure devono essere adattate ai rischi specifici della rete e dei sistemi informatici dell’entità. Ad esempio, misure per prevenire incidenti, ridurre al minimo il loro impatto sui destinatari del servizio e su altri servizi e, infine, mantenere un livello di sicurezza in linea con i potenziali rischi.
Fattori come i progressi tecnologici, gli standard di sicurezza europei e internazionali e i costi di implementazione devono essere presi in considerazione al fine di stabilire le misure appropriate. Inoltre, la proporzionalità di queste misure deve essere valutata in base alle dimensioni dell’entità, alla probabilità e alla gravità di potenziali incidenti (compresi gli impatti sociali ed economici) e all’esposizione complessiva dell’entità alle minacce informatiche.
Fra le misure di base delineate nella direttiva NIS 2 figurano:
Sanzioni per le violazioni della direttiva NIS 2
La NIS 2 impone pesanti sanzioni in caso di non conformità, la cui gravità dipende dalla classificazione dell’entità (Essenziale o Importante) e dallo Stato membro che applica la direttiva. Sono definite ammende massime e l’effettiva sanzione inflitta sarà determinata dall’autorità competente in ciascuno Stato membro dell’UE, in base alla gravità della non conformità.
È importante tenere presente che le sanzioni pecuniarie non sono l’unica conseguenza della non conformità, che può infatti causare anche un danno reputazionale significativo, ragione per cui le entità Essenziali e Importanti non possono sottovalutare la direttiva e devono attuare tutte le necessarie misure di sicurezza informatica.
I requisiti di conformità della direttiva NIS 2
La direttiva NIS 2 classifica le entità in due gruppi, in base alla criticità dei loro servizi: “Essenziali” e “Importanti”. Le entità sono identificate all’interno degli Allegati I e II della direttiva.
Entità Importante
Entità Essenziale
Allegato I (Importanti e Essenziali)
Allegato II (SOLO Importanti)
Jump Computer può semplificare la conformità alle normative NIS 2 offrendo un’unica piattaforma per gestire vari servizi di sicurezza, tra cui la prevenzione delle intrusioni, la protezione degli endpoint e l’autenticazione a più fattori.
Questo consolidamento semplifica il reporting, il rilevamento delle minacce e la protezione generale, facendo in modo che sia più facile per le entità soddisfare i severi requisiti per la sicurezza informatica della direttiva.