Consulta il testo della normativa nel sito dell’UE:
Esiste una serie di misure minime che la NIS2 richiede a tutte le aziende interessate alla loro implementazione. Una buona pratica per garantire che la tua specifica attività sia pienamente conforme alla direttiva NIS2 è quella di chiedere una consulenza specialistica da parte di professionisti della sicurezza informatica.
Per conformarsi a normative complesse come la Direttiva NIS2, è necessario un piano con tutti i passaggi da seguire.
Prima di iniziare, è importante:
Una volta stabilito ciò, è necessario adottare alcune misure che vengono qui sinteticamente riportate solo a scopo informativo generale. Per il processo di conformità è sempre utile rivolgersi a professionisti esterni con comprovata esperienza in ambito cyber sicurezza.
La checklist che segue è solo a scopo indicativo dei passaggi da intraprendere.
La chiara comprensione delle fasi di attuazione, delle tappe, dei risultati principali, delle responsabilità è necessaria per ottenere i risultati richiesti. In altre parole, per avere successo è necessario un approccio progettuale, meglio se coadiuvato da specifico software.
L’adozione di un approccio basato sul cyber rischio e su una valutazione oggettiva di esso è il momento iniziale del processo di adeguamento. L’azienda deve conoscere e comprendere le lacune rispetto: al grado di esposizione ai rischi, alle dimensioni dell’azienda, alla probabilità che si verifichino incidenti e alla loro gravità, nonché all’impatto sociale ed economico degli incidenti. E’ utile in questa fase il ricorso a Security Assessment o Penetration Test esterni.
La stesura di chiare procedure per la gestione degli incidenti di sicurezza è considerata una best practice dagli standard internazionali. La documentazione deve mostrare chiaramente gli obiettivi richiesti in tema di cyber sicurezza, ruoli e responsabilità e criteri di misurazione dei risultati ottenuti.
La stesura e l’approvazione di un “Piano di gestione dei Rischi informatici” sono passaggi necessari per l’implementazione di adeguate misure di sicurezza informatica: il piano può includere un elenco di tutte le misure implementate, insieme a informazioni su chi è responsabile, quali sono le scadenze, ecc.
La gestione del rischio può includere operazioni tecniche preventive, come valutazioni indipendenti del rischio, Politiche di Backup e Penetration Test.
Dopo la fase progettuale è necessario mettere in pratica quanto concettualizzato nei piani previsti dai punti precedenti. L’obiettivo finale, previsto dall’art. 21 della Direttiva, è “gestire i rischi [...] e prevenire o ridurre al minimo l’impatto degli incidenti sui destinatari dei propri servizi e su altri servizi” (per i documenti e le misure della direttiva NIS2, si veda la pagina dedicata ai requisiti).
La Direttiva NIS2 ha riconosciuto che un numero crescente di incidenti di sicurezza è legato a violazioni dei sistemi dei fornitori: ciò richiede un’attenzione particolare al rapporto con questi ultimi, che comprende la valutazione delle loro vulnerabilità e lo studio delle loro procedure di sviluppo del software.
È possibile impostare la valutazione dell’efficacia introducendo audit interni periodici per scoprire nuove vulnerabilità. Possono aiutare nel processo alcuni documenti come le “procedure di audit interno” (per i documenti e le misure della Direttiva NIS2, si veda la pagina dedicata alla documentazione da predisporre).
I nuovi obblighi prevedono una precisa sequenza di azioni da intraprendere in caso di incidenti rilevanti. Occorre notificare un allarme preventivo, una notifica di incidente, un rapporto intermedio, un rapporto finale e un rapporto sullo stato di avanzamento. Occorre anche prevedere l’eventuale notifica, ai destinatari dei servizi, degli incidenti che possono impattare sui dati e sui servizi.
La sensibilizzazione ai temi della sicurezza informatica deve coinvolgere tutti i dipendenti. I temi da trattare dovranno comprendere la cosiddetta “igiene informatica di base”, l’uso della crittografia e della cifratura, l’adozione di soluzioni di autenticazione a più fattori (per i documenti e le misure relative, si veda la pagina dedicata alla documentazione da predisporre).
È possibile consultare qui la Direttiva NIS2 in una delle lingue disponibili (formato PDF):
Per ulteriori informazioni su settori e sotto-settori, si possono scaricare gli Allegati 1 e 2, in Italiano e in Inglese (formato PDF).