La sicurezza informatica e la minimizzazione dei danni in caso di cyber attacchi non sono più un problema circoscritto a singole aziende o enti, destando le preoccupazioni del legislatore europeo che ha emanato, nel gennaio dello scorso anno, la direttiva NIS2.
Prevista per la ratifica negli Stati dell’Unione entro il prossimo 27 ottobre, la direttiva NIS2 impone un rafforzamento dei requisiti di sicurezza per le imprese, introducendo nuove misure di supervisione e una reportistica più rigida e rigorosa, nonché razionalizzando le normative già presenti.
Con la direttiva NIS2, il legislatore ha dunque rivolto attenzione non solo alle aziende dei tradizionali settori critici ma anche alle realtà collegate nelle catene di fornitura, così come responsabili di servizi essenziali rivolti alle persone.
La direttiva NIS2 estende la portata della precedente direttiva NIS a un più ampio bacino di settori merceologici. Viene abbandonata la distinzione tra Operatori di Servizi Essenziali (OSE) e Fornitori di Servizi Digitali (FSD) in favore di quella tra Soggetti Essenziali e Soggetti Importanti. Rientrano in queste categorie coloro i quali sono attivi nei Settori ad Alta Criticità e negli altri Settori Critici (come approfondito negli Allegati 1 e 2 della direttiva NIS2) e chi soddisfa specifici criteri di dimensionamento (con alcune eccezioni anche PMI). A livello italiano si calcola che la direttiva NIS2 possa coinvolgere complessivamente 15.000 imprese.
Alle realtà già classificate come Soggetti Essenziali (come sanità, banche, trasporti, utility, provider IT) si aggiungono aziende di settori industriali importanti per la resilienza economica e sociale. Tra queste aziende ci sono i provider di reti e servizi di comunicazione, gli operatori che gestiscono rifiuti e acque reflue, le società di produzione e distribuzione di prodotti alimentari e sostanze chimiche, i costruttori di computer, di dispositivi medici, di elettronica e veicoli.
La direttiva NIS2 considera rilevanti anche le aziende del settore spaziale, i servizi postali, i corrieri, l’amministrazione pubblica, le piattaforme di social networking, i motori di ricerca e i marketplace online. Riguarda inoltre qualsiasi società che offra servizi nell’area europea, dipendenti e fornitori di servizi, anche se non fisicamente basati nell’UE.
La nuova direttiva NIS2 impone quindi una serie di obblighi dettagliati alle entità rientranti nel suo perimetro, con l'obiettivo di rafforzare la sicurezza cibernetica e la resilienza dei sistemi informativi critici. Questi obblighi si basano su tre elementi fondamentali: governance, risk management e supply chain.
A livello di governance, la direttiva NIS2 stabilisce due punti chiave.
Per quanto riguarda la gestione dei rischi, la NIS2 introduce obblighi precisi.
Per quanto concerne, infine, le supply chain, la direttiva NIS2 enfatizza la necessità per i Soggetti di considerare le vulnerabilità specifiche dei propri fornitori diretti e dei fornitori di servizi, nonché di valutare la qualità complessiva dei loro prodotti e delle loro pratiche di cybersicurezza. Questo obbligo si estende a tutti i fornitori (non solo ICT).
In caso di violazioni delle tempistiche o di infrazioni alle prescrizioni, la direttiva NIS2 prevede che gli Stati membri UE possano applicare sanzioni fino a un massimo di 10 milioni di euro, o comunque corrispondenti al 2% del fatturato annuo dell’azienda incriminata. I membri dei team esecutivi possono essere ritenuti personalmente responsabili delle infrazioni.
Alla luce di quanto indicato, cosa conviene fare alle imprese per non trovarsi impreparate dinanzi all’applicazione della direttiva NIS2? Innanzitutto, devono potenziare la propria postura di sicurezza per la gestione del rischio (non solo informatico), in modo da identificare e mitigare meglio le vulnerabilità.
Molte imprese devono recuperare i gap nella protezione dei dati e nelle loro difese cyber, a cominciare dalla tutela degli accessi. L’aggiornamento delle policy e degli strumenti di difesa secondo le best practice deve puntare alla proattività delle difese, specialmente quando si parla di ransomware.
La difesa degli endpoint e dei servizi IT va poi ripensata in funzione di un perimetro di rete che oggi è più esposto agli attacchi esterni in virtù della sua maggior estensione con la diffusione del cloud e del lavoro ibrido. L’adozione di tool EDR e antimalware di nuova generazione deve per questo affiancare l’implementazione di logiche zero trust, il ricorso a metodi di autenticazione continua e la limitazione al minimo dei privilegi di accesso per utente.
Completano, infine, le misure di difesa previste il monitoraggio costante delle supply chain software e servizi e la capacità di aggiornare i piani di azione in caso d’incidente, con le comunicazioni tempestive previste dalla direttiva NIS2. È inoltre importante l’investimento in attività di cybersecurity awareness per il personale, per migliorare la consapevolezza dei rischi e dare un ruolo attivo agli utenti nella difesa dell’ambiente digitale aziendale.