NIS 2 e decreto legislativo 138/2024
SI.net accompagna pubbliche amministrazioni e aziende soggette alla NIS 2 in tutto il percorso di adeguamento: dalla verifica del perimetro agli adempimenti sul Portale ACN, dalle misure di sicurezza al coinvolgimento degli organi di amministrazione, fino alla gestione e notifica degli incidenti. Con competenze tecnologiche, organizzative e normative, in un unico percorso.
Indice
Cos’è la NIS 2
La direttiva (UE) 2022/2555, nota come NIS 2, è la norma europea che alza il livello comune di sicurezza informatica nell’Unione. L’Italia l’ha recepita con il decreto legislativo 4 settembre 2024, n. 138, il cosiddetto decreto NIS.
Rispetto alla prima direttiva NIS, il cambio di passo è netto. Il numero dei soggetti coinvolti cresce di molto, entrano anche medie imprese e molte pubbliche amministrazioni, e la sicurezza smette di essere un tema solo tecnico: diventa una responsabilità di chi guida l’organizzazione.
L’autorità nazionale di riferimento è l’Agenzia per la Cybersicurezza Nazionale (ACN), che definisce con proprie determinazioni le misure di sicurezza da adottare, le modalità di notifica degli incidenti e gli adempimenti sul Portale ACN. Il CSIRT Italia, presso l’ACN, riceve le notifiche degli incidenti.
Chi è coinvolto
Il decreto NIS distingue due categorie di soggetti, in base al settore di attività e alla dimensione dell’organizzazione.
Soggetti essenziali
Operano nei settori a più alta criticità o superano determinate soglie dimensionali. Hanno requisiti di sicurezza più stringenti e sono soggetti a vigilanza anche preventiva.
Soggetti importanti
Rientrano nei settori indicati dal decreto ma con un profilo di criticità o dimensione inferiore. Hanno misure di base meno estese e vigilanza successiva.
Nel perimetro rientrano aziende di molti settori, dall’energia ai trasporti, dalla sanità alla manifattura, dai servizi digitali alla gestione dei rifiuti. Rientrano anche molte pubbliche amministrazioni, centrali e locali, individuate dal decreto per tipologia.
In alcuni casi la dimensione non conta: certi soggetti sono inclusi per il ruolo che svolgono, indipendentemente dal numero di dipendenti o dal fatturato.
Chi non rientra nel perimetro non è al riparo dagli attacchi. Per queste organizzazioni il riferimento resta la nostra offerta di Cybersecurity.
Cosa chiede la NIS 2, in concreto
Gli obblighi si raggruppano in quattro ambiti.
Registrazione e aggiornamento sul Portale ACN
I soggetti si registrano ogni anno, designano un punto di contatto, il suo sostituto e un referente CSIRT, e aggiornano periodicamente le informazioni, compreso l’elenco dei fornitori rilevanti e la categorizzazione di attività e servizi.
Misure di sicurezza
Vanno adottate le misure di base definite dall’ACN, organizzate secondo il Framework Nazionale per la Cybersecurity: governo del rischio, inventario degli asset, sicurezza della catena di approvvigionamento, gestione degli accessi e delle vulnerabilità, continuità operativa, gestione degli incidenti.
Notifica degli incidenti significativi
Al CSIRT Italia va inviata una pre-notifica entro 24 ore da quando si viene a conoscenza dell’incidente, una notifica entro 72 ore e una relazione finale entro un mese.
Responsabilità degli organi di amministrazione
Consigli di amministrazione, giunte e vertici approvano le modalità di attuazione delle misure, ne sovrintendono l’applicazione, seguono una formazione specifica e rispondono delle violazioni.
Le sanzioni sono rilevanti: fino a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali, fino a 7 milioni o all’1,4% per quelli importanti. Ma il rischio più concreto resta un attacco che ferma i servizi.
Il percorso SI.net per la NIS 2
Un percorso a tappe, che parte da dove siete e arriva a un sistema di sicurezza che regge nel tempo.
Verificare il perimetro
Capiamo se e come rientrate nella NIS 2: settore, dimensione, tipologia di soggetto, attività e servizi coinvolti.
Adempiere sul Portale ACN
Registrazione, designazione del punto di contatto, del sostituto e del referente CSIRT, aggiornamenti annuali, elenco dei fornitori rilevanti.
Misurare la distanza
Gap analysis rispetto alle misure di sicurezza di base applicabili, con un piano di adeguamento ordinato per priorità.
Costruire il framework
Politiche, piani e procedure, distinguendo i documenti che approvano i vertici da quelli gestiti dai responsabili tecnici.
Attuare le misure
Interventi tecnici e organizzativi sui sistemi, sui processi e sui fornitori.
Prepararsi agli incidenti
Piano di gestione, procedure di notifica al CSIRT Italia, esercitazioni.
Mantenere nel tempo
Riesami periodici, verifica dell’efficacia delle misure, aggiornamento al cambiare delle determinazioni ACN.
Servizi del percorso NIS 2
Ogni servizio si può attivare come intervento a sé oppure all’interno del percorso completo.
Verifica del perimetro
Capire se, come e con quale classificazione rientrate nella NIS 2.
Adempimenti sul Portale ACN
Registrazione, punto di contatto, referente CSIRT, aggiornamenti annuali e categorizzazione.
Gap analysis
Lo stato attuale rispetto alle misure di base ACN, con un piano di adeguamento per priorità.
Analisi del rischio
Valutazione dei rischi e piano di trattamento, da sottoporre ai vertici.
Framework documentale
Politiche, piani e procedure coerenti con le misure ACN e pronti per l’approvazione.
Sicurezza della supply chain
Valutazione dei fornitori, elenco dei fornitori rilevanti, clausole contrattuali di sicurezza.
Continuità operativa
Business Impact Analysis, piani di continuità, disaster recovery e gestione della crisi.
Gestione degli incidenti
Piano di gestione, procedure e supporto nella notifica al CSIRT Italia.
Formazione dei vertici
Il percorso formativo richiesto agli organi di amministrazione dal decreto NIS.
CISO as a service
Un responsabile della sicurezza esterno che presidia il percorso nel tempo.
Tutti i servizi di Cybersecurity
Perché scegliere SI.net
Norma, organizzazione e tecnologia
La NIS 2 non si risolve con un documento né con un intervento tecnico isolato. Teniamo insieme le tre dimensioni, e quello che pianifichiamo possiamo anche realizzarlo.
Documenti che funzionano
Separiamo ciò che approvano i vertici da ciò che gestiscono i tecnici: aggiornare una procedura non richiede ogni volta una nuova delibera. Ogni documento è ricondotto alle misure del Framework Nazionale.
Sempre allineati all’ACN
Le determinazioni dell’Agenzia vengono aggiornate spesso. Le seguiamo una per una e adeguiamo il vostro percorso, perché restiate conformi anche dopo la prima scadenza.
Molti presidi della NIS 2, come l’analisi del rischio e la gestione degli incidenti, si integrano con quelli del GDPR: lavoriamo in coordinamento con i nostri servizi di Data Protection.
Domande frequenti
- Come faccio a sapere se la mia organizzazione rientra nella NIS 2?
- Dipende dal settore di attività, dalla dimensione e, per le pubbliche amministrazioni, dalla tipologia di ente. I soggetti inseriti nell’elenco ricevono una comunicazione dall’ACN dopo la registrazione. Vi aiutiamo a verificare la vostra posizione prima e dopo.
- Che differenza c’è tra soggetto essenziale e importante?
- I soggetti essenziali hanno misure di sicurezza più estese, una categoria di incidenti da notificare in più e una vigilanza anche preventiva. Gli obblighi di fondo, registrazione, misure, notifica e responsabilità dei vertici, valgono per entrambi.
- Entro quando bisogna adeguarsi?
- I termini decorrono dalla comunicazione di inserimento nell’elenco dei soggetti NIS e sono fissati dalle determinazioni ACN, che vengono aggiornate nel tempo. Verifichiamo con voi le scadenze che si applicano al vostro caso.
- Gli organi di amministrazione possono delegare tutto?
- No. Possono affidare redazione e attuazione a strutture interne o consulenti, ma l’approvazione delle misure, la supervisione e la formazione restano in capo a loro.
- Siamo una pubblica amministrazione: e le Misure Minime AgID?
- Per gli enti che rientrano nella NIS 2 si aggiungono le misure di sicurezza definite dall’ACN, da coordinare con le Misure Minime AgID. Per gli altri enti il riferimento restano le Misure Minime, che seguiamo nel percorso di Transizione Digitale.
- Non rientriamo nella NIS 2: ci serve comunque?
- La NIS 2 dice chi ha obblighi, non chi può essere attaccato. Il suo impianto è un ottimo modello anche su base volontaria, e i clienti soggetti NIS chiedono sempre più spesso ai propri fornitori garanzie di sicurezza. Scoprite la nostra offerta di Cybersecurity.
- Si può partire da un singolo servizio?
- Sì. Molti clienti partono dalla verifica del perimetro o da una gap analysis e proseguono poi con gli altri passaggi.
Vuoi capire se rientri nella NIS 2?
Raccontaci settore, dimensione e attività: verifichiamo insieme il perimetro e ti proponiamo il percorso più adatto, senza impegno.
Correlati
Approfondimenti
Le competenze SI.net, direttamente nella tua casella
Approfondimenti pratici, novità normative ed eventi formativi per accompagnare l’evoluzione digitale della tua organizzazione.