Domande chiave sulla NIS2

La NIS2 è la direttiva europea che rafforza il livello comune di cibersicurezza nell’Unione. Amplia i settori interessati, introduce obblighi di gestione del rischio e di segnalazione degli incidenti e rende più incisivi vigilanza, responsabilità degli organi direttivi e sanzioni.

Rientrano nel perimetro i soggetti pubblici e privati individuati dal d.lgs. 138/2024 in base a settore, tipologia di attività, dimensione e ulteriori criteri di criticità. La classificazione distingue soggetti essenziali e soggetti importanti.

Entrambe le categorie devono adottare misure di sicurezza e notificare gli incidenti significativi. Cambiano soprattutto il regime di vigilanza, l’intensità dei controlli e alcuni massimali sanzionatori, in ragione della maggiore criticità dei soggetti essenziali.

Gli obblighi centrali riguardano governance, gestione del rischio cyber, sicurezza della supply chain, gestione degli incidenti, continuità operativa, controllo degli accessi, crittografia, formazione, verifica dell’efficacia delle misure e notifiche al CSIRT Italia.

Gli organi di amministrazione e direttivi approvano e supervisionano l’attuazione delle misure, devono acquisire competenze adeguate e possono essere chiamati a rispondere delle violazioni secondo il quadro nazionale.

Il modello NIS2 prevede una comunicazione progressiva: preallarme entro 24 ore, notifica entro 72 ore e relazione finale entro un mese, ferme restando le modalità nazionali e le specifiche applicabili al singolo soggetto.

Il sistema prevede misure correttive e sanzioni amministrative effettive, proporzionate e dissuasive. I limiti variano tra soggetti essenziali e importanti e sono disciplinati, per l’Italia, dal d.lgs. 138/2024.

Sì. I soggetti devono valutare e trattare i rischi della catena di approvvigionamento, considerando vulnerabilità, qualità delle pratiche di sicurezza dei fornitori e dipendenze critiche. I fornitori possono essere coinvolti contrattualmente e operativamente nel programma di conformità.

Per le entità finanziarie coperte da DORA, quest’ultimo opera come disciplina settoriale speciale per gli ambiti sovrapposti. Rimane essenziale verificare il perimetro soggettivo e le attività non integralmente assorbite dalla disciplina finanziaria.

Conviene partire da perimetro e governance, censire servizi e sistemi rilevanti, valutare i rischi, confrontare i controlli esistenti con gli obblighi applicabili, definire un piano di trattamento e predisporre incident response, evidenze e reporting verso gli organi direttivi.