HomeClienti BusinessTutti i ServiziAuditCertificazione Sistemi di GestioneSicurezza delle informazioni
Valutazioni di conformità alla NIS2
NIS2 impone requisiti più stringenti in materia di cybersecurity e accountability a molte organizzazioni. La sfida non è solo implementare queste misure, ma anche capire dove è necessario intervenire e come dimostrare di essere pronti. Responsabilità poco chiare, dipendenze dai fornitori, rischi operativi e requisiti specifici di settore possono complicare la preparazione. DEKRA offre valutazioni di conformità NIS2 per aiutarti a individuare le lacune, valutare il livello di preparazione e definire un percorso più chiaro verso la conformità.
Valutazioni strutturate per la conformità in ambito cybersecurity
La direttiva NIS2 introduce requisiti di cybersecurity più severi per le organizzazioni in settori critici e regolamentati. Richiede un approccio più sistematico alla gestione del rischio in ambito cybersecurity, alla segnalazione degli incidenti, alla sicurezza della supply chain e alla resilienza operativa. La prima sfida per molte organizzazioni è capire quali requisiti sono rilevanti, individuare dove esistono le lacune e strutturare la propria preparazione.
Con le nostre valutazioni di conformità NIS2, riceverai una revisione approfondita del tuo attuale assetto di cybersecurity. I nostri esperti valuteranno i tuoi processi, le responsabilità e le misure di sicurezza esistenti rispetto ai requisiti NIS2 pertinenti. A seconda del contesto e dell'ambito dei servizi della tua organizzazione, questo può includere anche servizi di testing e certificazione per gli standard OT IEC 62443. Il risultato aiuta a individuare le lacune di conformità, chiarire le aree di miglioramento e supportare l'implementazione strutturata delle misure legate a NIS2.
Le organizzazioni di grandi e medie dimensioni operanti in settori critici e regolamentati, così come le autorità pubbliche, devono conformarsi alla NIS2. Indirettamente, sono interessate anche le aziende che fanno parte di una supply chain rilevante ai fini della NIS2.
La NIS2 si applica principalmente agli enti pubblici e privati operanti nei settori indicati negli Allegati I e II, che abbiano almeno le dimensioni di una media impresa, generalmente 50 o più dipendenti, e un fatturato annuo e/o un totale di bilancio superiore a 10 milioni di euro. Alcune tipologie di enti rientrano nell'ambito di applicazione indipendentemente dalle loro dimensioni.
I fornitori non sono automaticamente soggetti alla NIS2 solo perché hanno un rapporto con un cliente interessato dalla normativa. Tuttavia, gli enti soggetti alla NIS2 devono gestire i rischi legati alla supply chain e possono imporre requisiti di sicurezza tramite contratto.
La NIS2 li definisce "settori ad alta criticità":
- Energia: elettricità, teleriscaldamento e teleraffrescamento, petrolio e petrolio greggio, gas naturale e idrogeno.
- Trasporti: trasporto aereo, ferroviario, stradale e per vie navigabili.
- Settore bancario: enti creditizi.
- Infrastrutture dei mercati finanziari: sedi di negoziazione e controparti centrali.
- Sanità: ospedali, laboratori medici, ricerca e produzione farmaceutica e produzione di dispositivi medici.
- Acqua potabile: fornitura e distribuzione di acqua destinata al consumo umano.
- Acque reflue: raccolta e trattamento delle acque reflue.
- Infrastrutture digitali: fornitori di servizi cloud, data center, fornitori di servizi DNS, registri dei TLD e reti di comunicazione elettronica.
- Gestione dei servizi ICT: Managed Service Provider (MSP) e Managed Security Service Provider (MSSP).
- Pubblica amministrazione: amministrazioni pubbliche centrali e autorità regionali.
- Spazio: operatori di infrastrutture terrestri che supportano la fornitura di servizi spaziali.
L'Allegato I definisce le tipologie di enti interessati per ciascun settore. L'Allegato II comprende inoltre altri settori critici, tra cui servizi postali e di corriere, gestione dei rifiuti, prodotti chimici, alimentazione, alcuni comparti manifatturieri, fornitori di servizi digitali e ricerca.
La classificazione dipende dalla tipologia di ente, dal settore e dalle dimensioni e non semplicemente dal fatto che un'organizzazione operi in un settore "essenziale".
I soggetti essenziali comprendono gli enti dell'Allegato I che soddisfano i requisiti previsti e alcune tipologie specifiche di enti, indipendentemente dalle loro dimensioni. Gli altri enti rientranti nell'ambito di applicazione sono classificati come soggetti importanti.
I soggetti essenziali sono sottoposti a una vigilanza proattiva, mentre i soggetti importanti sono generalmente sottoposti a controlli in presenza di evidenze di non conformità. Per la classificazione definitiva è necessario fare riferimento alla normativa nazionale di recepimento.
Gli enti devono adottare misure di gestione dei rischi di cybersecurity proporzionate, che comprendano, tra l'altro, analisi dei rischi, gestione degli incidenti, continuità operativa, sicurezza della supply chain, sviluppo e manutenzione sicuri dei sistemi, verifica dell'efficacia delle misure, formazione e controllo degli accessi e, ove appropriato, crittografia e autenticazione a più fattori (MFA).
Gli organi di gestione devono approvare e supervisionare tali misure e partecipare a una formazione in materia di cybersecurity.
Gli incidenti significativi devono essere segnalati secondo tempistiche precise: un preallarme entro 24 ore, una notifica dell'incidente entro 72 ore e una relazione finale generalmente entro un mese.
Gli Stati membri devono prevedere sanzioni massime di almeno 10 milioni di euro o il 2% del fatturato annuo mondiale, se superiore, per i soggetti essenziali, e di 7 milioni di euro o l'1,4%, se superiore, per i soggetti importanti.
Tra le altre misure possono rientrare ingiunzioni vincolanti, audit e ordini di intervento e risanamento.
Gli organi di gestione devono approvare e supervisionare le misure di cybersecurity e, in base alla legislazione nazionale, possono essere ritenuti responsabili del mancato adempimento di tali obblighi. Le sanzioni e le norme sulla responsabilità dipendono dalla normativa nazionale di recepimento.
La NIS2 è entrata in vigore a livello europeo il 16 gennaio 2023 e gli Stati membri avrebbero dovuto recepirla entro il 17 ottobre 2024. La Germania non ha rispettato tale scadenza: la relativa normativa di recepimento è entrata in vigore nel dicembre 2025.
Sì, per determinati fornitori che offrono servizi nell'UE, tra cui alcuni fornitori di servizi DNS, cloud, data center, content delivery, managed services, marketplace, motori di ricerca e social network. Ove richiesto, un fornitore con sede al di fuori dell'UE deve designare un rappresentante nell'Unione europea.
Un fornitore terzo non rientra automaticamente nell'ambito di applicazione della NIS2 semplicemente perché fornisce servizi a un cliente dell'UE. Tuttavia, può essere soggetto a requisiti contrattuali di cybersecurity derivanti dagli obblighi del cliente in materia di sicurezza della supply chain.
Il GDPR disciplina il trattamento e la protezione dei dati personali, mentre la NIS2 stabilisce requisiti di gestione dei rischi di cybersecurity e di resilienza agli incidenti per gli enti che rientrano nel suo ambito di applicazione.
Un incidente informatico può far scattare obblighi previsti da entrambi i regolamenti, ma ambito di applicazione, criteri di segnalazione, tempistiche e autorità competenti sono differenti.
Gli obblighi di segnalazione previsti dalla NIS2 non sostituiscono quelli previsti dal GDPR e la conformità al GDPR, da sola, non dimostra la conformità alla NIS2.
Sì. La Commissione europea dovrà effettuare una prima revisione della NIS2 entro il 17 ottobre 2027 e successivamente almeno ogni 36 mesi. Potrà inoltre adottare o aggiornare norme di attuazione relative ad ambiti specifici.
Le aziende dovrebbero monitorare costantemente le misure europee e nazionali, le indicazioni delle autorità competenti e le normative specifiche di settore.
Il Regolamento di esecuzione (UE) 2024/2690 della Commissione stabilisce già requisiti dettagliati per alcune categorie di soggetti digitali.
Certamente! DEKRA supporta organizzazioni a livello globale attraverso servizi di assessment, testing, formazione e servizi orientati alla conformità.
Per le organizzazioni multinazionali, DEKRA può contribuire a valutare i requisiti di cybersecurity legati alla NIS2 insieme agli obblighi locali e ai requisiti specifici dei diversi settori applicabili.
Perché DEKRA?
- Competenza indipendente in materia di cybersecurity: forniamo valutazioni obiettive che ti aiutano a comprendere il tuo livello di preparazione alla NIS2, identificare eventuali gap e definire priorità chiare.
- Competenze integrate in cybersecurity e testing: i nostri esperti collegano i requisiti della NIS2 alle sfide operative della cybersecurity, tra cui la gestione dei rischi, la risposta agli incidenti, la sicurezza della supply chain e i servizi di testing e certificazione relativi allo standard OT IEC 62443.
- Sicurezza per i prossimi passi: ti aiutiamo a trasformare i risultati della valutazione in un percorso più chiaro verso la preparazione all'implementazione, una governance più solida e una riduzione dell'esposizione ai rischi.