Negli ultimi anni la trasformazione digitale ha reso imprese e pubbliche amministrazioni sempre più dipendenti dai sistemi informatici. Parallelamente, gli attacchi informatici sono aumentati in frequenza, complessità e impatto economico. Proprio per questi motivi, l’Unione Europea ha aggiornato la normativa di riferimento e pubblicato la cosiddetta NIS 2, per favorire un livello di sicurezza sempre maggiore. La direttiva, formalmente Direttiva (UE) 2022/2555 (recepita in Italia con il Decreto Legislativo n. 138/2024), rappresenta il principale pilastro normativo europeo in materia di sicurezza delle reti e dei sistemi informativi, con requisiti che tutti i soggetti a cui si applica sono tenuti a soddisfare.
Che cos’è la Direttiva NIS2 e chi deve adeguarsi
La NIS 2 introduce un sistema giuridico armonizzato volto a migliorare la sicurezza informatica in Europa. Rispetto alla prima direttiva NIS, introduce alcuni cambiamenti, amplia il numero di organizzazioni coinvolte, introduce obblighi più stringenti, rafforza controlli e sanzioni. L’obiettivo è garantire la continuità dei servizi essenziali e proteggere infrastrutture strategiche da attacchi informatici sempre più sofisticati. La direttiva riguarda le organizzazioni di medie e grandi dimensioni operanti in settori considerati critici per la società e l’economia. In un primo gruppo rientrano i soggetti “essenziali”, ossia settori strategici come energia, trasporti, sanità, infrastrutture digitali, acqua potabile, pubblica amministrazione e servizi finanziari, mentre tra le entità “importanti”, ci sono ad esempio servizi digitali e ICT, servizi postali e logistici e settore spaziale. Generalmente, la direttiva si applica ad aziende con almeno 50 dipendenti o più di 10 milioni di euro di fatturato annuo.
Il periodo di transizione per l’adeguamento si chiudeva con il 2025 per quanto riguarda la notifica degli incidenti, mentre entro l’estate 2026 si dovranno implementare tutte le misure di sicurezza definite dalla normativa.
Che cosa succede a chi non si adegua
La NIS 2 introduce un sistema sanzionatorio molto più severo rispetto al passato. Le violazioni possono comportare sanzioni fino al 2% del fatturato globale, oltre a specifici controlli da parte delle autorità di vigilanza preposte. Viene riconosciuta, inoltre, diretta responsabilità ai dirigenti aziendali coinvolti. La cybersecurity diventa quindi un tema strategico non solo tecnologico ma anche economico e reputazionale. Sottovalutare l’importanza degli adeguamenti, compromette la continuità operativa.
Klan.IT può aiutarti ad essere conforme alla NIS2
La NIS2 richiede di adottare misure tecniche e organizzative per la sicurezza, gestire i rischi, programmare ed erogare formazione del personale, notificare gli incidenti entro 24 ore. Ciò comporta un adeguamento documentale in termini di politiche e procedure, di predisporre un registro degli asset critici e un piano di continuità operativa e disaster recovery. Annualmente devono essere riesaminate le misure di sicurezza, ma anche condotti audit interni e report di conformità.
Utilizzare un gestionale per la NIS2 permette di centralizzare informazioni, rischi e documentazione necessari alla conformità normativa. Automatizza attività, monitoraggio degli incidenti e scadenze, facilitando il lavoro operativo e il rispetto degli obblighi di sicurezza. In sostanza, supporta il management, anche nelle attività di audit, trasformando la compliance in un processo continuo di miglioramento della cybersecurity aziendale.
Che cosa fa la soluzione che propone Klan.IT:
- Area Repository: Permette la gestione del team di segnalazione e dei login degli accessi al portale;
- Area Governance: la piattaforma aiuta a gestire in modo efficace nomine, ruoli e responsabilità. Include mansionari, deleghe formalizzate e budget per gli investimenti in cybersecurity, definizione dei processi;
- Area Asset: assicura una fotografia completa degli asset, con un censimento completo, che aiuta a gestire anche lo storico dei dismessi e le licenze per ogni asset. Garantisce anche la tracciabilità degli utenti (chi utilizza cosa). Permette di redigere una mappa dell’infrastruttura, quindi uno schema di rete, ma anche di gestire back up e disaster recovery;
- Area Gestione Incidenti: propone un form per la segnalazione degli incidenti, garantendo un supporto per l’identificazione, la gestione e la segnalazione degli incidenti.
- Area Risk Management: tramite cui gestire tutti i rischi, con funzionalità legate alla valutazione dei fornitori strategici, al monitoraggio continuo, alla gestione della formazione. Permette di dimostrare che si è fatto quanto dovuto.
