DIRETTIVA NIS EUROPA
La Direttiva NIS (UE 2016/1148) e il recepimento italiano DLgs 65/2018 impongono una serie di obblighi alle aziende detentrici di Infrastrutture Critiche e gli Operatori di Servizi Essenziali; questa Direttiva interviene in aggiunta ad altre norme analoghe in specifici settori quali quello bancario e degli operatori di telecomunicazione.
Raggiungere un elevato livello di sicurezza dei processi, delle reti, dei sistemi e delle informazioni relative ad una Infrastruttura Critica è oggi una priorità inderogabile, e questo livello di sicurezza deve essere dimostrabile alle autorità di controllo.
La NIS2 (Dir. 2022/2555) sostituisce la Direttiva NIS ampliando notevolmente la platea delle aziende pubbliche e private soggette alle norme di cybersecurity, in particolare alla media imprese alla PA regionale o questi siano identificati come “soggetti essenziali o importanti”, prevedendo che debbano garantire di:
- analizzare e valutare i rischi di sicurezza dei sistemi informativi tramite attività di vulnerability assessment e penetration test;
- gestire gli incidenti di sicurezza informatici con un piano e un’attività di monitoraggio continuo e incident response;
- dotarsi di un piano di continuità di business e gestione delle crisi;
- testare regolarmente la sicurezza dell’infrastruttura IT e l’efficacia delle misure di gestione del rischio adottate;
- assicurare la sicurezza delle supply chain, controllando che i propri fornitori dispongano di adeguati requisiti in termini di sicurezza.
Il Regolamento DORA (Reg. 2022/2554) amplia i regolamenti europei per il settore finanziario e assicurativo (2009/1060, 2014/600, 2016/1011) , introduce obblighi relativi a:
- gestione dei rischi delle tecnologie dell’informazione e della comunicazione (TIC) e dei rischi informatici derivanti da terzi;
- segnalazione degli incidenti;
- test di resilienza operativa digitale;
- condivisione di dati e di informazioni in relazione alle vulnerabilità e alle minacce informatiche;
- misure relative alla solida gestione dei rischi informatici derivanti da terzi;
- obblighi relativi agli accordi contrattuali stipulati tra fornitori terzi di servizi TIC ed entità finanziarie e di sorveglianza per i fornitori terzi critici di servizi TIC.
Decreto Legge 105/2019 ITALIA
In Italia il Decreto Legge 105/2019 che istituisce il Perimetro di sicurezza nazionale cibernetica riguarda i soggetti “pubblici e privati aventi una sede nel territorio nazionale, da cui dipende l’esercizio di una funzione essenziale dello Stato, ovvero la prestazione di un servizio essenziale per il mantenimento di attività civili, sociali o economiche fondamentali per gli interessi dello Stato e dal cui malfunzionamento, interruzione, anche parziali, ovvero utilizzo improprio, possa derivare un pregiudizio per la sicurezza nazionale”.
