NIS2: chi è interessato e da dove cominciare?
La direttiva europea NIS2 amplia notevolmente il numero di organizzazioni soggette a obblighi di cybersicurezza. Ecco i riferimenti per capire se siete interessati e come prepararvi, senza sostituirsi all'analisi di un professionista.
Redazione Kayzen Security4 min di lettura
Cosa prevede la direttiva
Adottata il 14 dicembre 2022, la direttiva NIS2 sostituisce la direttiva NIS del 2016. Impone ai soggetti interessati di adottare misure di gestione dei rischi di cybersicurezza (articolo 21), di segnalare gli incidenti significativi (articolo 23) e chiama in causa la responsabilità degli organi di gestione, che devono approvare tali misure e seguire una formazione (articolo 20).
In Francia, il recepimento avviene tramite una legge e testi di attuazione. Il loro stato di avanzamento e le date di entrata in vigore vanno verificati sul sito dell'ANSSI nel momento in cui leggete questa guida.
Sono interessato? I tre criteri
- Il settore: la direttiva elenca 11 settori «ad alta criticità» (allegato I: energia, trasporti, settore bancario, sanità, acqua, infrastrutture digitali, pubblica amministrazione, spazio…) e 7 «altri settori critici» (allegato II: servizi postali, gestione dei rifiuti, chimica, alimentare, fabbricazione di determinati prodotti, fornitori di servizi digitali, ricerca). Per il settore finanziario, il regolamento DORA (UE) 2022/2554 si applica in via prioritaria per la gestione dei rischi e la notifica degli incidenti.
- Le dimensioni: in linea generale, le medie imprese (almeno 50 dipendenti, oppure un fatturato e un totale di bilancio superiori a 10 milioni di euro) e le grandi imprese di questi settori; gli organici e gli importi delle imprese collegate o associate possono dover essere sommati.
- Le eccezioni dimensionali: alcuni soggetti sono interessati a prescindere dalle dimensioni, in particolare i fornitori di reti o di servizi di comunicazione elettronica accessibili al pubblico, i prestatori di servizi fiduciari, i registri dei nomi di dominio di primo livello e i fornitori di servizi DNS, nonché, in base alla designazione nazionale, un soggetto che sia l'unico a fornire un servizio essenziale nel paese.
- Gli enti locali e le amministrazioni possono essere interessati a seconda del recepimento nazionale.
Soggetti essenziali e soggetti importanti
Le due categorie devono applicare gli stessi tipi di misure, ma la vigilanza è diversa: controlli possibili ex ante per i soggetti essenziali, ex post per i soggetti importanti. La direttiva fissa inoltre massimali di sanzioni amministrative più elevati per i soggetti essenziali. Gli importi applicabili in Francia dipendono dalla legge di recepimento.
Le misure dell'articolo 21, in sintesi
- Analisi dei rischi e politiche di sicurezza.
- Gestione degli incidenti.
- Continuità operativa, backup e gestione delle crisi.
- Sicurezza della catena di approvvigionamento.
- Sicurezza dell'acquisizione, dello sviluppo e della manutenzione dei sistemi, compresa la gestione delle vulnerabilità.
- Valutazione dell'efficacia delle misure.
- Igiene informatica di base e formazione.
- Crittografia e cifratura.
- Sicurezza delle risorse umane, controllo degli accessi e gestione degli asset.
- Autenticazione a più fattori e comunicazioni protette.
Segnalare gli incidenti significativi
La direttiva prevede un preallarme entro 24 ore dalla conoscenza di un incidente significativo, una notifica dell'incidente entro 72 ore, poi una relazione finale entro un mese da tale notifica. Queste segnalazioni sono indirizzate al CSIRT o all'autorità competente. Ciò presuppone di saper rilevare un incidente, qualificarlo e conoscere in anticipo l'interlocutore giusto.
Da dove cominciare
- Verificare la vostra situazione con il servizio online dell'ANSSI e far confermare l'analisi da un professionista.
- Fare l'inventario dei vostri sistemi, dei vostri dati e dei vostri fornitori.
- Mettere in atto le misure di igiene di base: aggiornamenti, autenticazione a due fattori, backup offline, account amministratore sotto controllo.
- Scrivere una procedura di gestione e di segnalazione degli incidenti.
- Coinvolgere la direzione, che deve approvare le misure e seguire una formazione.
Questa guida riassume la direttiva (UE) 2022/2555 a titolo informativo. Non costituisce un parere legale: l'assoggettamento e gli obblighi vanno verificati con un professionista, sulla base del testo di recepimento in vigore e delle informazioni dell'ANSSI. Uno strumento come Kayzen può contribuire alle misure dell'articolo 21, ma non rende un'organizzazione conforme.
Fonti ufficiali
- ANSSI (nuova scheda) — Espace NIS 2 : test d'éligibilité et informations sur la transposition
- EUR-Lex (nuova scheda) — Directive (UE) 2022/2555 (NIS 2), Journal officiel de l'Union européenne
- ANSSI (nuova scheda) — Agence nationale de la sécurité des systèmes d'information — guides et publications
Le risorse citate sono pubblicate dai rispettivi autori nella lingua originale. Kayzen non è affiliata ad alcuno di questi enti.
Questa guida ha carattere informativo e generale. Non sostituisce né una consulenza legale né l'intervento di un professionista della sicurezza informatica.