Adeguamento NIS2
La NIS2 è la direttiva europea sulla cibersicurezza (Direttiva UE 2022/2555) che i Paesi membri hanno recepito entro il 17 ottobre 2024. Amplia gli obblighi a soggetti essenziali e importanti in molti settori, con responsabilità del management, misure di gestione del rischio e notifica degli incidenti entro tempi stringenti.
Che cos'è la NIS2?
La NIS2 (Direttiva UE 2022/2555) è la direttiva dell'Unione Europea sulla sicurezza delle reti e dei sistemi informativi. È entrata in vigore il 16 gennaio 2023, ha abrogato la precedente Direttiva NIS (UE 2016/1148) e doveva essere recepita nel diritto nazionale dei Paesi membri entro il 17 ottobre 2024.
La direttiva distingue tra soggetti essenziali e soggetti importanti e si applica, in base alla regola dimensionale, a partire dalle medie imprese nei settori elencati negli Allegati I e II. Introduce la responsabilità diretta degli organi di gestione, misure minime di gestione del rischio e obblighi di notifica degli incidenti. La NIS2 ha portata extraterritoriale: raggiunge anche organizzazioni non stabilite nell'UE che offrono servizi nel mercato europeo — inclusi i gruppi con controllate o operazioni in Europa — che in alcuni casi devono designare un rappresentante nell'Unione. Il recepimento avviene tramite le leggi nazionali di ciascun Paese, quindi l'ambito esatto e le sanzioni dipendono dalla giurisdizione in cui il soggetto opera.
Cosa copre l'adeguamento
A chi si applica la NIS2?
La NIS2 si applica ai soggetti essenziali e importanti dei settori ad alta criticità e critici, di norma a partire dalle medie imprese. Il primo passo dell'adeguamento è determinare se e come l'organizzazione rientra nell'ambito, settore per settore e giurisdizione per giurisdizione.
Soggetti essenziali
Grandi organizzazioni dei settori ad alta criticità dell'Allegato I. Sono soggette a vigilanza proattiva e alle sanzioni più elevate previste dalla direttiva.
Soggetti importanti
Medie imprese dei settori dell'Allegato I e soggetti dei settori dell'Allegato II. Sono soggette a vigilanza reattiva, attivata in caso di indizi di non conformità.
Settori ad alta criticità (Allegato I)
Energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile e reflue, infrastrutture digitali, gestione dei servizi ICT, pubblica amministrazione e spazio.
Altri settori critici (Allegato II)
Servizi postali e di corriere, gestione dei rifiuti, prodotti chimici, alimentare, fabbricazione, fornitori di servizi digitali e organizzazioni di ricerca.
Regola dimensionale
La direttiva si applica di norma alle imprese di dimensioni medie e superiori; alcuni soggetti critici rientrano nell'ambito indipendentemente dalla dimensione.
Gruppi con operazioni nell'UE
La portata extraterritoriale raggiunge organizzazioni non europee che offrono servizi nell'Unione. Alcuni fornitori digitali devono designare un rappresentante nell'UE.
Quali sono gli obblighi e le scadenze della NIS2?
La NIS2 impone misure di gestione del rischio proporzionate, la responsabilità del management e un processo di notifica degli incidenti a tappe. Le scadenze di notifica sono strette e vanno progettate prima che si verifichi l'incidente.
Responsabilità del management
Gli organi di gestione approvano le misure di gestione del rischio, ne supervisionano l'attuazione e possono rispondere personalmente delle violazioni. È previsto anche l'obbligo di formazione.
Misure di gestione del rischio
Un insieme minimo di misure tecniche e organizzative: analisi del rischio, gestione degli incidenti, continuità operativa, crittografia, controllo degli accessi e igiene informatica di base.
Notifica degli incidenti
Preallarme entro 24 ore dalla conoscenza dell'incidente significativo, notifica dell'incidente entro 72 ore e relazione finale entro un mese, verso l'autorità nazionale competente o il CSIRT.
Sicurezza della supply chain
Le misure devono coprire i rischi derivanti da fornitori e prestatori di servizi, con valutazione della sicurezza lungo tutta la catena di approvvigionamento.
Registrazione e vigilanza
I soggetti in ambito devono registrarsi presso le autorità nazionali, che esercitano vigilanza e possono richiedere audit, ispezioni e prove di conformità.
Sanzioni
Per i soggetti essenziali fino a 10 milioni di euro o il 2% del fatturato annuo mondiale totale; per i soggetti importanti fino a 7 milioni di euro o l'1,4%, a seconda di quale valore sia più elevato.
Come supporta Berghem l'adeguamento NIS2?
Dalla determinazione dell'ambito alla validazione tecnica, Berghem — con Berilo per il mercato europeo — copre le misure di gestione del rischio, la governance e la notifica degli incidenti richieste dalla direttiva, con evidenze verificabili.
Gap analysis NIS2
Determinazione dell'ambito (soggetto essenziale o importante) e diagnosi rispetto alle misure di gestione del rischio, con roadmap prioritizzata fino alla conformità.
ISO 27001 come base
Un sistema di gestione della sicurezza delle informazioni allineato alla ISO 27001 fornisce gran parte delle misure tecniche e organizzative richieste dalla NIS2.
Incident response e notifica
Progettazione del processo di risposta e notifica che rispetta le finestre di 24h, 72h e un mese, con playbook, ruoli e comunicazione verso l'autorità competente.
Sicurezza della supply chain
Gestione del rischio di terze parti (TPRM) per valutare i fornitori e la catena di approvvigionamento, come richiesto dalle misure NIS2.
Test tecnici
Penetration test e sicurezza offensiva che producono le evidenze delle misure di sicurezza attuate su reti, applicazioni e infrastruttura.
Threat intelligence
Intelligence sulle minacce a supporto dell'analisi del rischio e del monitoraggio continuo previsti dalle misure della direttiva.
Cosa determina il costo e i tempi di un adeguamento NIS2?
Non esiste un prezzo unico. L'investimento dipende dall'ambito applicabile, dalla maturità attuale dei controlli e dal numero di giurisdizioni in cui il gruppo opera.
Classificazione del soggetto
Essere soggetto essenziale o importante cambia l'intensità della vigilanza e la profondità delle evidenze richieste, e quindi l'impegno dell'adeguamento.
Maturità dei controlli
Organizzazioni con un SGSI già in atto — ad esempio allineato alla ISO 27001 — arrivano alla conformità con meno remediation. I gap aperti allungano i tempi.
Numero di giurisdizioni
La NIS2 è recepita da leggi nazionali distinte. Operare in più Paesi UE moltiplica gli obblighi di registrazione, notifica e rapporto con le autorità.
Complessità della supply chain
Il numero di fornitori critici e la loro rilevanza per il servizio determinano l'ampiezza della valutazione del rischio di terze parti.
Domande sulla NIS2
Chi deve conformarsi alla NIS2?
Qual era la scadenza di recepimento della NIS2?
Quali sono le scadenze di notifica degli incidenti?
Quali sanzioni prevede la NIS2?
La NIS2 si applica a un gruppo brasiliano con operazioni nell'UE?
Pronti a iniziare l'adeguamento NIS2?
In una conversazione determiniamo l'ambito applicabile, mappiamo i gap rispetto alle misure della direttiva e disegniamo il percorso verso la conformità — dalla governance alla notifica degli incidenti.
Contattaci