La Direttiva europea NIS2 — Direttiva (UE) 2022/2555 ha rafforzato il quadro europeo della cybersicurezza. In Italia è stata recepita attraverso il D.Lgs. 4 settembre 2024, n. 138, entrato in vigore il 16 ottobre 2024.
Il decreto non tratta la cybersecurity come un problema esclusivamente tecnico. Richiede ai soggetti essenziali e importanti l'adozione di misure tecniche, operative e organizzative adeguate e proporzionate alla gestione dei rischi.
Elementi considerati
- analisi dei rischi;
- sicurezza dei sistemi;
- gestione degli incidenti;
- business continuity, backup, disaster recovery;
- gestione delle crisi;
- sicurezza della supply chain;
- gestione delle vulnerabilità;
- verifica dell'efficacia delle misure;
- cyber hygiene e formazione;
- crittografia;
- controllo degli accessi e gestione degli asset;
- autenticazione multifattore.
La NIS2 riguarda tutte le aziende?
No. Il D.Lgs. 138/2024 individua soggetti e settori interessati attraverso criteri specifici e distingue soggetti essenziali e soggetti importanti. La corretta verifica dell'applicabilità dipende da settore, attività, servizi forniti, dimensione ed eventuali criteri specifici.
Essere fornitori di un'organizzazione soggetta a NIS2 può inoltre comportare indirettamente requisiti di sicurezza più stringenti, perché la sicurezza della catena di approvvigionamento rientra tra le misure che i soggetti NIS devono gestire.