Direttiva NIS 2, arriva la norma obbligatoria sulla cybersecurity

Il 2024 è l’anno in cui gli Stati membri dell’Ue devono recepire la direttiva 2022/2555, la cd. Network and Information Security “NIS” 2.

Il 17 ottobre è il termine ultimo per il recepimento della norma, che andrà a sostituire la normativa concepita come prima disciplina comunitaria della cybersecurity, ovvero “NIS”. La NIS 2 si inserisce tra le politiche implementate dalla Commissione Europea nell’ambito della strategia per la cybersicurezza, come il Cybersecurity Act e il Cyber Resilience Act.
Con questi atti l’Unione vuole creare un mercato unico di prodotti, servizi e processi più sicuri, rafforzando le norme di sicurezza informatica.

La NIS 2 è la direttiva volta a garantire una resilienza informatica del sistema complessivo e dei singoli Paesi in merito a tutte le tematiche attinenti alla cybersecurity.

La NIS 2 si pone l’obiettivo di:

-Eliminare divergenze stabilendo norme minime riguardanti il  funzionamento di un quadro normativo coordinato.

-Istituire meccanismi per una cooperazione efficace tra le autorità responsabili in ciascuno Stato membro.

-Aggiornare l’elenco dei settori e delle attività soggetti agli obblighi in materia di cybersicurezza.

-Prevedere mezzi di ricorso e misure di esecuzione effettivi che siano funzionali all’efficace applicazione di tali obblighi.

La NIS 2 si rivolge a due categorie di soggetti:

Soggetti essenziali:

a) i soggetti che superano i massimali per le medie imprese di cui all’articolo 2, paragrafo 1, dell’allegato della raccomandazione 2003/361/CE;

b) prestatori di servizi fiduciari qualificati e registri dei nomi di dominio di primo livello, nonché prestatori di servizi DNS, indipendentemente dalle loro dimensioni;

c) fornitori di reti pubbliche di comunicazione elettronica o di servizi di comunicazione elettronica accessibili al pubblico che si considerano medie imprese ai sensi dell’articolo 2, dell’allegato alla raccomandazione 2003/361/CE;

d) i soggetti della pubblica amministrazione di cui all’articolo 2, paragrafo 2, lettera f), punto i);

e) qualsiasi altro soggetto di cui all’allegato I o II che uno Stato membro identifica come soggetti essenziali ai sensi dell’articolo 2, paragrafo 2, lettere da b) a e);

f) soggetti identificati come soggetti critici ai sensi della direttiva (UE) 2022/2557, di cui all’articolo 2, paragrafo 3 della direttiva;

g) se lo Stato membro lo prevede, i soggetti che tale Stato membro ha identificato prima del 16 gennaio 2023 come operatori di servizi essenziali a norma della direttiva (UE) 2016/1148 o del diritto nazionale.

Soggetti importanti:
Sono considerati soggetti importanti i soggetti di una tipologia elencata negli allegati I o II che non sono considerati soggetti essenziali.

Entro il 17 aprile 2025, gli Stati membri devono definire un elenco dei soggetti essenziali ed importanti nonché dei soggetti che forniscono servizi di registrazione dei nomi di dominio. Successivamente, gli Stati membri riesaminano l’elenco periodicamente, almeno ogni due anni e, se opportuno, lo aggiornano.

Vigilanza e sanzioni:

Le misure di vigilanza a cui possono essere sottoposti i soggetti essenziali comprendono audit, ispezioni, richieste di informazioni, scansioni di sicurezza, richieste di dati che dimostrino l’attuazione delle politiche di cybersecurity.

Per quanto riguarda le sanzioni amministrative pecuniarie, la nuova direttiva NIS distingue tra entita’ essenziali e importanti:

–Entità essenziali: per quanto riguarda i soggetti essenziali, essa impone agli Stati membri di prevedere un certo livello di sanzioni amministrative pecuniarie, in particolare un import massimo di almeno 10 milioni di euro o del 2 % del fatturato totale annuo mondiale dell’esercizio precedente, se superiore

–Entità importanti: la NIS 2 impone agli Stati membri di prevedere una sanzione pecuniaria massima pari ad almeno 7 milioni di euro o almeno all’1,4 % del fatturato totale annuo mondiale dell’esercizio precedente, se superiore.

Per garantire una reale responsabilità per le misure di cybersicurezza implementate la NIS 2 introduce delle disposizioni sulla responsabilità delle persone fisiche che detengono posizioni dirigenziali di alto livello nei confronti dei soggetti che rientrano nell’ambito di applicazione della nuova direttiva.

Richiedi senza impegno maggiori informazioni e scarica gratuitamente la Brochure !

DEPLIANT DIRETTIVA NIS2 DRACMASERVICE