Con l’entrata in vigore della Direttiva NIS2, le aziende sono chiamate ad adeguamenti per alzare i propri livelli di sicurezza. La normativa, infatti, prevede nuovi adempimenti che coinvolgono non solo le imprese stesse, ma tutta la supply chain in ambito sicurezza. Uno scenario che può risultare complesso e va gestito con i giusti strumenti per garantire la compliance. Soluzioni di cybersecurity personalizzata e il supporto di un provider affidabile e all’avanguardia aiutano le organizzazioni in questo contesto.
Direttiva NIS2, cosa cambia da ottobre 2024
La Direttiva europea NIS2 è stata emanata nel 2022 e abroga la precedente norma del 2016, con l’obiettivo di superarne alcuni aspetti e rendere le misure previste più efficaci. La deadline per il recepimento nazionale della Direttiva UE è il 17 ottobre: “In Italia la normativa è pronta, siamo solo in attesa della pubblicazione in Gazzetta Ufficiale. Abbiamo quindi già potuto apprendere i contenuti della versione definitiva della norma – spiega Alessia Livan, Cyber Fusion Consultant di Mashfrog -. Le principali novità sono frutto dell’esperienza di questi anni”. Queste si possono riassumere in:
- Ampliamento dei settori e dei soggetti coinvolti. Per esempio, “saranno inclusi la pubblica amministrazione, lo spazio, le acque reflue e ci saranno nuovi tipi di soggetti ad esempio nell’industry energetica”, commenta Livan.
- Cambiano i criteri di ingresso per i soggetti privati nel perimetro ampliato della Direttiva. Viene fissata “la soglia della media impresa, saranno quindi ricomprese tutte le imprese appartenenti ai settori critici dalle medie imprese alle grandi multinazionali”, aggiunge l’esperta.
- Vengono introdotte dieci misure di sicurezza minime obbligatorie, per cui i soggetti inclusi dovranno intervenire in questi ambiti.
- Sono fissati i tempi di segnalazione degli incidenti. Mentre prima erano a discrezione di ogni Stato, ora c’è un coordinamento. I tempi “dipendono dal tipo di incidente. Per esempio, c’è una fase di preallarme da attuare quando l’incidente è causato da un attacco malevolo o sia potenzialmente molto esteso con impatto transfrontaliero – sottolinea Livan -, questi vanno segnalati entro 24 ore dalla scoperta. Per gli altri tipi di incidente va fatta una notifica ufficiale a 72 ore e tra questa seconda segnalazione e la terza che è l’incident report, da fare entro un mese, è possibile che sia richiesta l’emanazione di ulteriori aggiornamenti”.
- Intensificazione dei controlli che ACN (Agenzia per la Cybersicurezza Nazionale) può fare nei confronti dei soggetti per capire il loro stato di conformità.
- Inasprimento delle sanzioni pecuniarie che intervengono anche sul fatturato dell’azienda e prevedono inoltre la responsabilità in carico agli amministratori delegati delle società, per sensibilizzare il top management ed evitare inadempimenti.
Con l’allargamento del perimetro “si stima che ci saranno circa 50000 soggetti coinvolti. Ci sarà quindi necessità di un supporto per tutte queste aziende per mettere adeguatamente in piedi le misure previste. A questo scopo, ACN ha avviato dei tavoli con i rappresentanti di settore”, ha aggiunto Livan. Attenzione anche alle imprese collegate: “La normativa italiana prevede inoltre che le società che esercitano un’influenza nella cybersecurity di aziende di settori coinvolti nella Direttiva rientrino a loro volta nel perimetro della normativa”, specifica l’esperta.
Perché scegliere un approccio personalizzato per la Direttiva NIS2
Le misure di sicurezza saranno declinate da ACN in base alla normativa. Tuttavia, spiega Livan che “abbiamo l’esempio di quanto fatto con NIS ed esistono fonti autorevoli alle quali appoggiarci per capire quale potrebbe essere l’effort richiesto. Un approccio Tech&Law è l’ideale”. Sono utili a tal fine:
- il NIST Cybersecurity Framework nella versione più recente, per capire le misure di sicurezza specifiche da adottare;
- le linee guida ENISA, che contengono anche un fascicolo sulla supply chain che analizza le minacce e guida verso l’adozione di soluzioni per contenerle;
- il Framework Nazionale per Cyber Security e Data Protection, di supporto alle organizzazioni nel loro percorso di protezione cibernetica e di valutazione dei rischi.
“Queste tre fonti da un punto di vista concettuale e metodologico possono essere d’aiuto alle PA e alle imprese – suggerisce Livan -. Dal punto di vista tecnico è importante invece adottare soluzioni di monitoraggio e rilevamento delle minacce al fine di prevenire il verificarsi di incidenti. Si renderà necessaria anche la revisione dei processi aziendali obsoleti”. Risulta efficace “un sistema centralizzato di event management (SIEM), per avere sotto controllo tutto ciò che avviene nel perimetro aziendale e per poter rilevare e segnalare gli incidenti nei tempi previsti, che sono stringenti – specifica l’esperta -. Ricordiamo anche che ACN tramite il CSIRT Italia offre supporto alle aziende nella gestione degli incidenti, è importante avere un dialogo con l’autorità”.
La personalizzazione dell’approccio e delle misure da adottare risulta indispensabile: “Fondamentale comprendere lo stato di maturità dell’azienda e quali sono gli asset strategici”, precisa Livan.
I consigli di Mashfrog per la compliance alla Direttiva NIS2
Considerando questo scenario e il gran numero di adempimenti richiesti, il primo step da intraprendere è “un assessment dei processi, delle tecnologie e dei sistemi critici di tutto il perimetro aziendale, una fase di valutazione che andrebbe fatta subito, prima ancora dell’entrata in vigore della normativa nazionale, per avere consapevolezza della propria situazione”, suggerisce Livan. Mashfrog sta implementando un tool che supporta gli specialisti nello svolgimento degli assessment. Infatti, raccogliendo documenti e informazioni aziendali e sfruttando un motore computazionale basato su AI permette di velocizzare il processo, fornendo un quadro completo sulla sicurezza e restituendo un output discorsivo con suggerimenti di soluzioni per la mitigazione dei rischi. La customizzazione su questo fronte “è importante per l’efficienza operativa, le soluzioni vanno adattate alla realtà del cliente, evitando di incidere negativamente sulle attività di business”, aggiunge Livan.
Importante anche instaurare un dialogo proficuo con ACN e i ministeri di riferimento e capire che “la NIS2 è un processo ciclico – conclude Livan -. Non è una certificazione, non fornisce un “bollino di compliance”, ma richiede un’applicazione graduale e costante, per un miglioramento continuo. Mashfrog si propone di seguire le aziende in tutte le fasi del processo, accompagnandole e portando valore”.
Contributo editoriale sviluppato in collaborazione con Mashfrog
