09/09/2024
Il prossimo 17 ottobre 2024 può essere considerato a tutti gli effetti come la data di entrata in vigore della NIS 2, anche se non solo nessuno lo sa, ma pochi sanno anche solo cosa sia la NIS 2.
La NIS 2 è una direttiva europea [precisamente la Direttiva (UE) 2022/2555], che prende il posto ed abroga altra precedente direttiva [la "Direttiva NIS", la Dir. (UE) 2016/1148], che ha come obiettivo quello di aumentare il livello di sicurezza e resilienza dei sistemi informativi europei, siano essi privati che pubblici.
NIS, infatti, sta per Network Information Security, che, detta in italiano, suona come: Sicurezza delle Reti Informatiche.
Fin dalla prima direttiva erano stati individuati alcuni soggetti ritenuti critici per tutti gli stati membri dell’UE, denominati “operatori di servizi essenziali”, sia in ambito pubblico che privato, i quali venivano obbligati ad adottare misure di protezione adeguate e ad effettuare particolari comunicazioni, in caso di incidenti di sicurezza, ad autorità a ciò specificamente destinate.
Tra costoro rientravano gli operatori nei settori dell’energia, dei trasporti, dei servizi bancari, dei mercati finanziari, della sanità, della fornitura e distribuzione di acqua potabile e delle infrastrutture digitali.
A causa dell’aumento degli attacchi subiti sia da operatori privati che pubblici nel corso della pandemia Covid19, trend ulteriormente aggravatosi dall’inizio della guerra russo-ucraina, l’Unione Europea ha capito che le misure previste dalla prima direttiva NIS erano da ritenersi già superate ed insufficienti, rendendosi urgente intervenire per dare un colpo di reni deciso all’intera postura europea in materia di sicurezza informatica, estendendo gli obblighi di sicurezza e segnalazione anche ad altri soggetti.
Rispetto alla direttiva NIS, la direttiva NIS 2 non solo amplia le categorie di soggetti obbligati agli adempimenti di cui abbiamo parlato poc’anzi, ma pone a costoro l’obbligo di farsi a loro volta garanti della virtuosità dell’intera loro filiera di fornitura, di tutta la c.d. “supply chain”.
Gli effetti di questo ampliamento si produrranno, a mio modo di vedere, praticamente su quasi tutte le aziende italiane – e da un certo punto di vista questo è un bene, perché sappiamo che tra tutti gli stati europei l’Italia è stato il fanalino di coda in rapporto al numero di attacchi informatici gravi e gravissimi portati a termine dagli hacker contro le proprie aziende.
Dicevo che gli effetti della NIS2 si produrranno per quasi tutte le aziende italiane, perché anche quelle che per settore merceologico, numero di dipendenti e livello di fatturato NON dovrebbero rientrare nel novero dei soggetti obbligati a rispettarla, dovranno verosimilmente attenervisi in quanto rientranti nella supply chain di qualche entità più importante che, appunto, vi rientra.
Quante delle aziende italiane anche di piccole dimensioni lavorano come terziste per conto di soggetti più grandi ed importanti?
La prima domanda da porsi, quindi, prima ancora di pensare se voler ottemperare volontariamente agli obblighi che impone la direttiva europea NIS 2 è questa: “Chi ho tra i miei clienti? C’è qualcuno che opera nei settori indicati negli allegati 1 e 2 della direttiva NIS2?”.
E’ importante chiederselo subito ed agire in prevenzione per non farsi trovare impreparati quando quei clienti importanti ci chiederanno di dimostrare la nostra posizione rispetto agli obblighi NIS2.
E questa non è una mera ipotesi. Sta già avvenendo. Le realtà più grandi, che operano nei settori previsti dalla NIS2 e che quindi hanno l’obbligo di verificare la postura delle proprie fornitrici rispetto ai problemi di cyber-sicurezza, stanno già incominciando ad effettuare i controlli; stanno già inviando questionari e proponendo alle aziende proprie fornitrici di rendersi disponibili a ricevere ispezioni ed audit di terze parti.
Quale sarà la conseguenza per le aziende che non risponderanno positivamente a queste richieste?
E’ molto probabile che la cliente che rientri nella definizione di “soggetto essenziale o importante” decida di sostituirla con altra fornitrice, che sia risultata invece “NIS2 compliant”.
Cosa fare quindi, in concreto?
Ne parlo precisamente in questo video https://www.youtube.com/watch?v=BZ7ZTIlgV-I insieme all’amico Roberto Mangiafico, esperto di cybersecurity e lead auditor EN-ISO-IEC 27001:2021, norma tecnica sulle misure di sicurezza per la protezione delle informazioni.
Se necessiti di aiuto in questo campo, contattami ai seguenti recapiti:
Avv. Francesco Cucci
Email: [email protected]
Tel. 054156050
Cell. 3713305150
Studio: Viale Mantegazza, n. 9/a - 47921 - RIMINI
Lawyer & law firm
