Vedi parte prima QUI
Rispetto alla (oramai) vecchia direttiva NIS, dove gli Stati membri erano responsabili di determinare quali entità avrebbero soddisfatto i criteri per qualificarsi come operatori di servizi fondamentali, il nuovo testo introduce una regola basata sulla dimensione delle organizzazioni pubbliche e private. Questo significa che rientreranno nel suo campo di applicazione tutte le medie e grandi imprese operanti nei settori contemplati dalla direttiva.
Poiché anche le pubbliche amministrazioni sono spesso oggetto di attacchi informatici, NIS2 si applicherà agli enti della pubblica amministrazione a livello centrale e regionale (gli Stati membri possono però decidere di estendere anche a livello periferico l’applicazione della direttiva).
Il Parlamento europeo e il Consiglio hanno allineato il testo della NIS2 alle normative di settore e nello specifico a:
- regolamento sulla resilienza operativa digitale per il settore finanziario (Dora)
- direttiva sulla resilienza delle entità critiche (Cer).
Sono stati inoltre snelliti gli obblighi di segnalazione da parte delle organizzazioni vittime di incidenti al fine di evitare di causare un eccesso nelle segnalazioni e di creare oneri eccessivi per le organizzazioni. Dopo l’approvazione del Parlamento il 10 novembre 2022, gli Stati membri hanno 21 mesi per recepire e attuare le disposizioni nella loro legislazione nazionale.
Si segnalano i link alle pagine dell’Ufficio Stampa del Parlamento Europeo nelle quali è possibile trovare il comunicato stampa relativo all’approvazione della direttiva NIS2, sia in Italiano che in Inglese.
In conclusione possiamo dire che grazie a questa direttiva e all’impegno di Istituzioni e delle organizzazioni che sono destinatari della normativa potrà esserci una maggiore sicurezza informatica delle infrastrutture e dei servizi essenziali per i cittadini europei, ma ricordiamoci sempre che gli incidenti informatici e soprattutto gli attacchi del crimine informatico cercano sempre di trovare il punto debole per accedere e perpetrare le azioni criminose.
Spesso il punto debole è costituito dalle micro e piccole realtà che pensano di non essere oggetto dell’interesse di potenziali attaccanti, ed invece lo sono eccome! Non come obiettivi finali, ma come tramite, come punto di passaggio per arrivare alle organizzazioni più grosse a livello centrale. Quindi anche le micro e piccole realtà devono formarsi e strutturarsi per mettere al sicuro le loro strutture informatiche, i loro dati e per non fare da ponte per attacchi ai loro partner, clienti, fornitori.
