NUOVO

Richiedi una Demo

Checklist NIS2

Scarica la checklist NIS2 di Object First per gestire il processo di compliance e proteggere le tue operazioni dalle minacce informatiche.

Se pensi che NIS2 sia solo rumore amministrativo, guarda più da vicino l’Articolo 20: i dirigenti di livello C sono ora personalmente responsabili dei fallimenti nella governance della cybersicurezza. Questo significa che la responsabilità non si limita più alle sanzioni pecuniarie per l’azienda: anche i dirigenti possono essere soggetti a provvedimenti, inclusi divieti di ricoprire ruoli di gestione.

Questa Checklist NIS2 è la tua difesa operativa. Eliminiamo la burocrazia per concentrarci sui requisiti tecnici stringenti dell’Articolo 21 — in particolare sull’implementazione obbligatoria di una gestione dei backup solida e di un disaster recovery efficace.

Padroneggiare questi requisiti NIS2 ti permetterà di verificare che la tua strategia di protezione dei dati sia in grado di superare sia un audit NIS2 sia un attacco ransomware.

Checklist guide cover titled 'Getting NIS2 Ready: Your 7-Step Checklist'

Che cos’è NIS2?

La Direttiva sulla sicurezza delle reti e dei sistemi informativi 2 (NIS2) è il quadro legislativo dell’Unione Europea pensato per rafforzare la resilienza informatica negli Stati membri e nelle entità critiche che vi operano.

Approvata alla fine del 2022, la Direttiva ha fissato al 17 ottobre 2024 il termine entro il quale gli Stati membri dell’UE dovevano recepirla nel diritto nazionale. Sebbene non tutti i Paesi abbiano rispettato esattamente tale scadenza, tutti stanno lavorando attivamente all’attuazione e l’applicazione delle norme è in rapido avvio.

NIS2 è una risposta diretta all’aumento della frequenza e della sofisticazione degli attacchi informatici, in particolare quelli rivolti alle catene di approvvigionamento e ai servizi essenziali.

Il suo obiettivo fondamentale è stabilire un livello elevato e comune di sicurezza in tutto il mercato unico dell’UE, imponendo alle organizzazioni l’adozione di misure di gestione del rischio tecniche, operative e organizzative complete.

NIS vs. NIS2: il cambio di paradigma tecnico

La Direttiva NIS originale (NIS1) si basava su un approccio decentralizzato, che ha portato a un’implementazione disomogenea nei vari Paesi dell’UE. NIS2 rappresenta una revisione profonda che impone la standardizzazione.

La differenza principale risiede nella forte estensione dell’ambito di applicazione, che ora include nuovi settori (ad esempio manifatturiero, gestione dei rifiuti, servizi digitali) e in un deciso aumento della responsabilità.

Mentre NIS1 si concentrava in modo ampio sulle infrastrutture critiche, NIS2 definisce chiaramente le entità “Essenziali” e “Importanti”, standardizza le 10 misure minime di sicurezza (Articolo 21) e, soprattutto, introduce la responsabilità personale e sanzioni finanziarie molto elevate per il management di livello C.

Chi deve conformarsi a NIS2?

NIS2 è progettata per estendere in modo ampio e standardizzato il proprio raggio d’azione, eliminando le ambiguità della direttiva originale. Va oltre il concetto tradizionale di “Infrastrutture Critiche” e si rivolge a qualsiasi entità la cui interruzione possa influire sul funzionamento del mercato interno.

L’ambito è definito principalmente da due livelli, differenziati in base alla criticità e, di conseguenza, al livello di supervisione e al potenziale delle sanzioni: Entità Essenziali (EE) ed Entità Importanti (IE).

Entità Essenziali (EE)

Queste organizzazioni operano in settori considerati critici per l’economia e la società. I loro obblighi di conformità sono i più stringenti e includono la segnalazione obbligatoria degli incidenti entro 24 ore.

Sei classificato come Entità Essenziale se la tua azienda ha più di 250 dipendenti e un fatturato annuo superiore a 50 milioni di euro, e rientra in una delle seguenti categorie:

  • Infrastrutture digitali

    ad es. servizi di cloud computing, fornitori di data center, servizi DNS

  • Energia

    ad es. fornitori di energia elettrica, produzione di petrolio e gas, teleriscaldamento

  • Finanza

    ad es. istituti di credito, borse valori, controparti centrali

  • Sanità

    ad es. ospedali e cliniche, produttori farmaceutici, laboratori di riferimento UE

  • Pubblica amministrazione

    ad es. enti governativi centrali e regionali

  • Spazio

    ad es. fornitori di servizi di navigazione satellitare

  • Trasporti

    ad es. compagnie aeree, enti di gestione ferroviaria, autorità portuali

  • Approvvigionamento idrico

    trattamento e distribuzione di acqua potabile e reflua

Entità Importanti (IE)

Questa nuova classificazione amplia in modo significativo la portata della direttiva, includendo migliaia di nuove imprese di medie dimensioni. Sebbene l’approccio di supervisione sia generalmente reattivo (a seguito di un incidente), i requisiti fondamentali di sicurezza dei dati dell’Articolo 21 restano obbligatori.

Sei classificato come Entità Importante se la tua azienda ha più di 50 dipendenti e un fatturato annuo superiore a 10 milioni di euro, e rientra in una delle seguenti categorie:

  • Chimica

    ad es. produzione e distribuzione chimica

  • Alimentare

    ad es. trasformazione e distribuzione

  • Manifatturiero

    ad es. produzione di dispositivi medici, apparecchiature informatiche, macchinari

  • Servizi postali

    ad es. servizi postali e di corriere

  • Ricerca

    ad es. organizzazioni di ricerca

  • Gestione dei rifiuti

    ad es. smaltimento e riciclaggio

Scarica la Checklist e valuta la tua conformità NIS2

Checklist guide cover titled 'Getting NIS2 Ready: Your 7-Step Checklist'

Requisiti chiave NIS2

NIS2 standardizza le misure di sicurezza in tutta l’UE imponendo dieci requisiti minimi che tutte le Entità Essenziali e Importanti devono soddisfare. L’integrazione efficace di questi requisiti costituisce il cuore della tua strategia di conformità NIS2.

Ecco i 10 requisiti non negoziabili da affrontare:

1. Gestione degli incidenti (la regola delle 24 ore):

Definire procedure per prevenire, rilevare e rispondere agli incidenti di sicurezza, inclusa la segnalazione obbligatoria di early warning entro 24 ore.

2. Analisi del rischio e politiche di sicurezza:

Implementare procedure dettagliate di analisi del rischio e definire politiche complete per la sicurezza dei sistemi informativi.

3. Continuità operativa e disaster recovery:

Applicare politiche per garantire la continuità dei servizi, inclusa una gestione dei backup robusta, capacità di disaster recovery (DR) e pianificazione della gestione delle crisi.

4. Sicurezza della supply chain:

Affrontare i rischi di sicurezza nella catena di approvvigionamento e gestire gli aspetti di sicurezza nei rapporti con fornitori e prestatori di servizi diretti.

5. Sicurezza nello sviluppo e nell’acquisizione:

Applicare principi di sicurezza durante l’acquisizione, lo sviluppo e la manutenzione dei sistemi di rete e informativi, inclusa la gestione e divulgazione delle vulnerabilità.

6. Test e audit:

Eseguire test e audit regolari sull’efficacia delle misure di gestione del rischio informatico implementate.

7. Crittografia ed encryption:

Utilizzare soluzioni crittografiche e di cifratura per proteggere i dati in transito e a riposo, garantendo riservatezza e integrità.

8.Controllo degli accessi e gestione degli asset:

Implementare politiche rigorose di controllo degli accessi e gestire la sicurezza di tutti gli asset e sistemi IT, inclusi quelli utilizzati dai dipendenti.

9. Sicurezza delle risorse umane e formazione:

Integrare programmi di sensibilizzazione alla cybersicurezza, applicare restrizioni di accesso e definire procedure solide per la sicurezza del personale.

10. Autenticazione multifattore (MFA) e comunicazioni sicure:

Implementare soluzioni MFA, proteggere le comunicazioni vocali, video e testuali e utilizzare sistemi di comunicazione di emergenza sicuri.

Come Object First può aiutare a conformarsi a NIS2

Le nuove regole introdotte dalla Direttiva NIS2 sono significativamente più rigorose e prevedono sanzioni più elevate o del tutto nuove in caso di non conformità. Le Entità Essenziali possono essere soggette a multe fino a 10 milioni di euro o al 2% del fatturato annuo globale (a seconda di quale sia maggiore), mentre le Entità Importanti possono arrivare fino a 7 milioni di euro o all’1,4% del fatturato globale.

Queste sanzioni elevate evidenziano l’urgenza di conformarsi alle sezioni tecniche, come l’Articolo 21. Invitiamo tutte le aziende a esaminare l’intera direttiva, poiché questa evoluzione richiede un importante ripensamento architetturale per garantire una conformità efficace.

Per semplificare questo necessario cambiamento architetturale, proponiamo raccomandazioni tecniche specifiche che mostrano come Object First possa aiutarti a raggiungere e mantenere in modo efficiente i tuoi obiettivi NIS2.

  • La Sezione 89 di NIS2 raccomanda alle organizzazioni di adottare i principi Zero Trust per migliorare il proprio livello complessivo di sicurezza. Tuttavia, i modelli Zero Trust tradizionali spesso trascurano l’ambiente di backup.

    La Zero Trust Data Resilience (ZTDR) è un approccio completo alla protezione dei dati che estende il modello Zero Trust ai sistemi di ripristino. Introduce elementi critici come la separazione tra software di backup e storage di backup, la creazione di più zone di resilienza e l’obbligo di storage immutabile e cifrato.

    ZTDR è fondamentale perché fornisce un framework robusto basato sull’assunto di compromissione, supportando direttamente la resilienza e la responsabilità richieste da NIS2.

Scopri una soluzione che soddisfa i requisiti della Checklist NIS2

Object First mira ad aiutare tutti i clienti Veeam nell’UE a garantire che il loro storage di backup superi gli standard NIS2. Per questo abbiamo creato Ootbi (Out-of-the-Box Immutability), una soluzione conforme a NIS2.

Ootbi by Object First, a prova di ransomware, offre uno storage di backup sicuro, semplice e potente, con Immutabilità Assoluta. Con la massima difesa contro il ransomware, tu e la tua organizzazione diventate Simply Resilient.

Object First è basato sulle best practice Zero Trust, testato da terze parti per la sicurezza, semplice da implementare e gestire senza richiedere competenze specialistiche, ed è sufficientemente potente da accelerare l’Instant Recovery e scalare con la crescita del tuo business.

Book a Demo

La Checklist NIS2 in 7 passaggi per verificare il tuo livello di sicurezza

Le 10 misure minime di sicurezza dell’Articolo 21 sono tecnicamente complesse e possono risultare ambigue senza un piano d’azione chiaro. Per questo abbiamo distillato l’intera Direttiva NIS2 in un potente framework in 7 passaggi che ti guida dall’interpretazione normativa all’esecuzione tecnica comprovata.

Scarica ora la nostra Checklist NIS2 per valutare immediatamente il tuo attuale livello di sicurezza rispetto ai requisiti obbligatori e costruire una strategia di protezione dei dati a prova di audit, in grado di tutelare sia l’azienda sia il management.

Checklist guide cover titled 'Getting NIS2 Ready: Your 7-Step Checklist'

FAQ

Quando deve essere implementata NIS2?

Il termine formale per il recepimento di NIS2 nel diritto nazionale da parte degli Stati membri dell’UE era il 17 ottobre 2024. Tutte le entità essenziali e importanti dovrebbero allineare immediatamente le proprie misure operative e di sicurezza ai requisiti della direttiva, indipendentemente dallo stato di recepimento a livello nazionale.

In che modo la Direttiva NIS2 impatta le aziende dell’UE? 

NIS2 innalza in modo sostanziale il livello di resilienza informatica, imponendo alle aziende coinvolte l’implementazione di controlli tecnici lungo la supply chain e nei processi di continuità operativa. L’impatto maggiore riguarda il senior management, a causa dell’introduzione della responsabilità personale e di sanzioni finanziarie molto elevate in caso di mancata conformità.

Esistono considerazioni specifiche di settore in una Checklist NIS2?

Sebbene le 10 misure minime di sicurezza siano standard, le organizzazioni devono applicarle in modo proporzionato al profilo di rischio specifico del proprio settore (ad esempio i dati in ambito sanitario rispetto ai sistemi OT nel manifatturiero). La nostra checklist fornisce il framework, ma i dettagli di implementazione devono essere adattati alla tecnologia operativa e alla gestione dei dati del tuo settore.

NIS2 vs GDPR: quali sono le differenze e dove si sovrappongono gli obblighi di notifica?

Il GDPR tutela la privacy dei dati personali, mentre NIS2 protegge la sicurezza e la resilienza dei sistemi. Un incidente che comporti una violazione dei dati attiverà entrambe le normative, richiedendo segnalazioni separate all’Autorità NIS competente e all’Autorità Garante per la Protezione dei Dati (DPA).