Quadro normativo e obiettivi della Direttiva NIS2

La NIS2 (Network and Information Security 2) è la nuova legge del Parlamento Europeo interamente dedicata alla cybersecurity. Per capire la sua importanza basta fare il seguente paragone: se il GDPR è la legge che tutela la privacy dei dati personali, la NIS2 è a tutti gli effetti il “GDPR della sicurezza informatica aziendale”.

Questa normativa nasce perché i cyberattacchi non colpiscono più solo i singoli computer, ma hanno il potenziale di paralizzare servizi vitali: ospedali, reti elettriche, trasporti e istituzioni. La NIS2 impone quindi regole severe per garantire che l’intera economia europea sia protetta in modo uniforme ed efficace contro i moderni gruppi di hacker.

Soggetti interessati e obblighi di adeguamento alla direttiva

A differenza delle vecchie normative, la NIS2 allarga notevolmente il cerchio delle realtà coinvolte, eliminando ogni ambiguità e dividendo le organizzazioni in due categorie basate sulla loro criticità:

• Soggetti Essenziali: grandi e medie imprese che operano in settori vitali come energia, trasporti, sanità, banche, acqua potabile e infrastrutture digitali.
• Soggetti Importanti: realtà collegate a servizi postali, gestione dei rifiuti, produzione chimica, grande distribuzione alimentare e fornitori di servizi digitali.

L’effetto a catena per le PMI: anche se una piccola impresa non rientra direttamente in questi parametri per via del fatturato, sarà comunque costretta ad adeguarsi se lavora come fornitore partner di una grande azienda inclusa nella NIS2. La legge, infatti, richiede di proteggere l’intera catena di fornitura.

Requisiti tecnici e misure di sicurezza per la conformità

Le aziende che rientrano nella NIS2 devono dimostrare di aver implementato una strategia di protezione solida, strutturata su quattro pilastri fondamentali:

• Misure preventive di sicurezza: diventa obbligatorio utilizzare la crittografia per proteggere i dati, implementare l’autenticazione a due fattori per tutti gli accessi e formare regolarmente i dipendenti contro le truffe digitali (come il phishing).
• Piani di continuità operativa: le aziende devono avere un piano d’azione testato che spieghi esattamente cosa fare durante e dopo un attacco hacker per ripartire e ripristinare i servizi nel minor tempo possibile.
• Controllo dei fornitori: ogni impresa deve verificare e garantire il livello di cybersecurity di tutti i partner esterni e dei software che utilizza.
• Segnalazione d’emergenza entro 24 ore: in caso di incidente informatico grave, l’azienda è obbligata per legge a inviare una prima notifica formale alle autorità nazionali competenti entro un tempo massimo di 24 ore.

Impatto sul business: responsabilità e sanzioni della Direttiva NIS2

La NIS2 introduce un cambio di rotta storico che trasforma la cybersecurity da semplice “problema dei tecnici informatici” a priorità assoluta della direzione aziendale:

• Responsabilità personale dei manager: gli amministratori delegati e i membri del consiglio di amministrazione sono ritenuti legalmente e personalmente responsabili della mancata applicazione delle misure di sicurezza.
• Multe milionarie: per le aziende che violano i requisiti sono previste sanzioni amministrative pesantissime, fino a 10 milioni di euro o al 2% del fatturato globale annuo dell’azienda.