L'adozione della Direttiva UE 2022/2555 (NIS 2) rappresenta un'importante evoluzione nella governance della sicurezza informatica all'interno dell'Unione Europea. Con il recepimento in Italia tramite il Decreto Legislativo 4 settembre 2024, n. 138, la normativa, operativa dal 16 ottobre 2024, stabilisce nuovi standard per migliorare la resilienza cibernetica e la protezione delle infrastrutture critiche.
Un Ampliamento degli Ambiti di Applicazione
La Direttiva NIS 2 estende significativamente il campo d'azione rispetto alla sua precedente iterazione. I settori coinvolti aumentano a 18, suddivisi in 11 altamente critici (energia, trasporti, sanità, ecc.) e 7 critici (telecomunicazioni, ricerca, ecc.). Un aspetto innovativo è l'obbligo di protezione non solo dei sistemi essenziali ma di tutta l'infrastruttura ICT degli enti coinvolti, rendendo il perimetro di sicurezza molto più esteso.
Identificazione dei Soggetti Obbligati
La normativa prevede un meccanismo oggettivo per identificare i soggetti obbligati, che si suddividono in:
- Essenziali: organizzazioni di rilievo strategico per la sicurezza nazionale.
- Importanti: soggetti con un ruolo rilevante nella resilienza digitale.
L'inclusione avviene in base a criteri standardizzati, come le dimensioni dell'organizzazione, con facoltà dell'Agenzia per la Cybersicurezza Nazionale (ACN) di includere ulteriori soggetti strategici.
Requisiti di Sicurezza Rafforzati
Gli obblighi imposti ai soggetti obbligati comprendono l'adozione di misure tecniche, operative e organizzative per:
- Mitigare i rischi cibernetici.
- Ridurre al minimo gli impatti degli incidenti di sicurezza.
L'ACN è incaricata di elaborare linee guida dettagliate, calibrando le misure richieste in base alla specificità del rischio, alla dimensione delle organizzazioni e alla gravità degli incidenti.
Procedura di Notifica degli Incidenti
Un elemento cardine della Direttiva è la gestione degli incidenti, che richiede una segnalazione tempestiva articolata in più fasi:
- Prenotifica entro 24 ore: identificazione preliminare dell'incidente e valutazione dell'impatto.
- Notifica entro 72 ore: dettaglio sulle cause e sugli indicatori di compromissione.
- Relazione intermedia: richiesta eventuale del CSIRT Italia per aggiornamenti sullo stato dell'incidente.
- Relazione finale entro un mese: analisi esaustiva dell'evento, comprensiva delle azioni correttive adottate.
Funzioni e Responsabilità dell'ACN
L'Agenzia per la Cybersicurezza Nazionale è il punto di riferimento per l'attuazione della Direttiva NIS 2 in Italia. I suoi compiti includono:
- Coordinamento dell'implementazione normativa.
- Definizione di standard tecnici e operativi.
- Redazione e aggiornamento dell'elenco dei soggetti obbligati.
- Partecipazione a iniziative comunitarie di cybersecurity.
Regime Sanzionatorio e Controlli
La Direttiva prevede sanzioni analoghe a quelle del GDPR per i soggetti non conformi. L'ACN dispone di ampi poteri ispettivi e sanzionatori per garantire il rispetto delle disposizioni.
Fasi di Implementazione
Il processo di attuazione segue una roadmap articolata in tre fasi principali:
- Fase iniziale (ottobre 2024 - aprile 2025): avvio dei tavoli tecnici settoriali, censimento dei soggetti e predisposizione degli obblighi di base.
- Fase intermedia (aprile 2025 - aprile 2026): applicazione degli obblighi iniziali e monitoraggio dei progressi.
- Fase finale (da aprile 2026): piena attuazione degli obblighi a lungo termine, inclusa la classificazione definitiva delle attività.
Implicazioni per la Ricerca e l'Industria
La Direttiva NIS 2 impone alle organizzazioni non solo un adeguamento tecnologico ma anche un cambio di paradigma nella gestione della sicurezza informatica. Per i ricercatori e i professionisti del settore, questa normativa rappresenta un'opportunità per sviluppare soluzioni avanzate di cybersecurity e migliorare la cooperazione transnazionale in ambito digitale.
Conclusioni
In un contesto di minacce cibernetiche sempre più sofisticate, la Direttiva NIS 2 costituisce un framework avanzato per garantire la resilienza digitale delle infrastrutture europee. Per le organizzazioni coinvolte, adempiere agli obblighi previsti non è solo una necessità legale ma una condizione imprescindibile per operare in un ambiente digitale sicuro e affidabile.
Cristiano Pivato
Torna ad Articoli e News