NIS2, perimetro di applicazione e misure di sicurezza richieste
in Article
La direttiva NIS2, recepita in Italia, estende gli obblighi di sicurezza informatica a un’ampia platea di soggetti e responsabilizza gli organi di gestione. Una sintesi tecnica del perimetro, delle misure minime e degli obblighi di notifica.
La direttiva NIS2 aggiorna il quadro europeo sulla sicurezza delle reti e dei sistemi informativi, ampliando il perimetro dei soggetti coinvolti e definendo un insieme comune di misure minime. Il recepimento italiano introduce obblighi proporzionati alla criticità dei servizi erogati, con un ruolo centrale dell’Agenzia per la Cybersicurezza Nazionale.
Perimetro di applicazione
La direttiva distingue tra soggetti essenziali e soggetti importanti, individuati in base al settore e alle dimensioni. Rientrano comparti come energia, trasporti, sanità, infrastrutture digitali, pubblica amministrazione, gestione delle acque e dei rifiuti, produzione e fornitura di servizi digitali.
Un effetto rilevante è l’estensione indiretta lungo la catena di fornitura: anche organizzazioni non direttamente obbligate possono trovarsi a dover dimostrare requisiti di sicurezza in qualità di fornitori di soggetti regolati.
Misure minime di gestione del rischio
L’impianto richiede un sistema di gestione del rischio basato su misure tecniche, operative e organizzative, tra cui:
- politiche di analisi del rischio e di sicurezza dei sistemi informativi;
- gestione degli incidenti e procedure di continuità operativa e ripristino;
- sicurezza della catena di approvvigionamento;
- sicurezza nell’acquisizione, sviluppo e manutenzione dei sistemi, con gestione delle vulnerabilità;
- pratiche di igiene informatica, formazione e controllo dell’efficacia delle misure;
- uso di crittografia, controllo degli accessi e autenticazione a più fattori.
L’allineamento a standard consolidati come ISO/IEC 27001 o ai framework dell’ENISA offre una base metodologica coerente con questi requisiti.
Obblighi di notifica e governance
La direttiva introduce un processo di notifica degli incidenti significativi in più fasi, con un primo allarme entro tempi stringenti seguito da relazioni di approfondimento. Centrale è inoltre la responsabilità degli organi di gestione, chiamati ad approvare le misure e a vigilare sulla loro attuazione, con possibili conseguenze dirette in caso di inadempimento.
Percorso di adeguamento
L’approccio più sostenibile parte da una gap analysis rispetto ai requisiti, prosegue con la definizione di policy e controlli e con l’integrazione della sicurezza nei processi e nello sviluppo software, e include la verifica periodica dell’efficacia delle misure adottate.
Riferimenti: ACN — Direttiva NIS
