DAL GDPR ALLA DIRETTIVA NIS: EUROPA, ADESSO TOCCA ALLA CYBERSICUREZZA

Dopo il GDPR, entrato in vigore lo scorso mese, l’Italia ha formalmente recepito la “Direttiva 2016/1148/EU del Parlamento Europeo e del Consiglio recante misure volte a garantire un livello comune elevato di sicurezza delle reti e dei sistemi informativi nell’Unione”, più comunemente conosciuta come Direttiva NIS. Il Testo, a differenze del Regolamento 679/2016, non è direttamente applicabile, ma stabilisce degli obiettivi per gli Stati Membri, e dovrà essere recepita mediante misure nazionali.

Per conquistare – e mantenere – una fetta di mercato, negli ultimi decenni, le aziende hanno dovuto adottare tecnologie sempre più moderne, che hanno, però, esposto le stesse a numerosi attacchi informatici, molti dei quali, a causa della debolezza dei sistemi di difesa aziendali, sono andati a buon fine, causando ingenti perdite alle imprese.

È proprio qui che fa la sua comparsa la Direttiva NIS che è entrata in vigore il 24 giugno e che mira a migliorare, attraverso l’intelligence e la prevenzione, le difese delle infrastrutture critiche degli Stati Membri. Tutte le aziende fornitrici di servizi essenziali, siano esse pubbliche o private, dovranno, pertanto, dotarsi di adeguati strumenti volti a garantire la cybersicurezza. L’applicazione della Direttiva riguarda, come detto, le aziende che verranno identificate come Operatori di Servizi Essenziali (Ose) o fornitori di servizi digitali, ovvero tutte le imprese che forniranno, tramite internet o dispositivi, uno o più servizi essenziali per il mantenimento di attività sociali e/o economiche. A tale scopo sono stati identificati otto settori: energia, trasporti, banche, mercati finanziari, sanità, fornitura e distribuzione di acqua potabile, infrastrutture digitali e servizi digitali -.motori di ricerca, servizi cloud, piattaforme di servizi di commercio elettronico. Gli Ose italiani dovranno, qualora si verificasse un incidente informatico, comunicare l’accaduto alla propria Autorità di competenza, la quale, a sua volta, informerà il Dis – Dipartimento Informazioni Sicurezza – che ne valuterà la rilevanza internazionale e, eventualmente, avvierà la procedura di diffusione agli altri Stati. Tutte le segnalazione pervenute verranno gestite da Cert-Nazionale – Computer Emergency Response Team Nazionale – e da Cert-PA, prossimamente fuse in un’unica entità, il Csirt – Computer Security Incident Response Team. Sono, inoltre, previste sanzioni che andranno dai 12 ai 120 mila euro per le aziende che non adotteranno misure di sicurezza adeguate o che non comunicheranno eventuali incidenti informatici.

Fonte: Il Sole 24 Ore