LA DIRETTIVA NIS 2

IL PILASTRO DELLA CYBERSECURITY EUROPEA

SCENARIO

Il panorama delle minacce in ambito Network in Italia è estremamente variegato e in continua evoluzione, con il nostro Paese che si conferma come uno degli obiettivi privilegiati per i cybercriminali. Le informazioni contenute nell'ultimo rapporto CLUSIT del 2024 offrono una panoramica dettagliata e aggiornata delle diverse tipologie di attacchi che caratterizzano la scena della Network Security. Gli attacchi in questo ambito si articolano su una vasta gamma di vettori, che vanno dalle vulnerabilità nei sistemi, siano esse già note o appena scoperte, fino agli attacchi di social engineering, dove i criminali tentano di ingannare gli utenti tramite comunicazioni fraudolente.

I dati del rapporto evidenziano come i cybercriminali prediligano due tipologie di attacchi particolarmente dannosi: i malware, software maligni progettati per danneggiare o compromettere i sistemi di rete, e gli attacchi DDoS (Distributed Denial of Service), che mirano a rendere inaccessibili i servizi online saturando le risorse di un sistema. Le statistiche mostrano che i malware e gli attacchi DDoS rappresentano rispettivamente il 32,6% e il 30,3% degli incidenti segnalati. In questo contesto, l'attenzione si concentra proprio su queste tipologie di attacchi, al fine di sviluppare soluzioni innovative ed efficaci per mitigare i danni e migliorare la resilienza dei sistemi.

ALCUNI IMPATTI

I danni economici derivanti da queste minacce sono significativi. Nel 2024, il costo medio di una violazione dei dati in Italia ha raggiunto i 4,37 milioni di euro, una cifra che riflette non solo il danno diretto derivante dalla perdita o compromissione dei dati, ma anche il costo di recupero e delle eventuali azioni legali.

Per quanto riguarda il phishing, il costo medio per violazione ammonta a 4,18 milioni di euro, mentre per il furto o la compromissione delle credenziali l'importo sale a 4,75 milioni di euro. Il social engineering, una delle tecniche più insidiose per manipolare le persone e ottenere accesso a informazioni riservate, ha un costo medio di 4,78 milioni di euro per ogni singolo incidente.

In risposta all'intensificarsi di queste minacce, l'Unione Europea ha adottato la Direttiva NIS2, che impone standard di sicurezza più rigorosi per le reti e i sistemi informativi critici. L'obiettivo di questa direttiva è quello di rafforzare le difese in ambito network, migliorando la protezione dei dati e riducendo i rischi legati agli attacchi, con l'intento di garantire una maggiore sicurezza a livello sia nazionale che transnazionale.

SOLUZIONE

La Direttiva NIS2

La Direttiva NIS2 rappresenta una pietra miliare nella strategia europea per la cybersicurezza, con l'obiettivo di rafforzare la protezione delle reti e dei sistemi informativi su scala continentale. Questa normativa è stata concepita per tutelare l'infrastruttura digitale che interconnette aziende, istituzioni e pubbliche amministrazioni in tutta Europa, con l'intento di garantire la continuità e la sicurezza dei servizi essenziali per il funzionamento della società moderna. Rispetto alla precedente Direttiva NIS, che si concentrava principalmente su infrastrutture critiche nei settori dell'energia e dei trasporti, la NIS2 espande notevolmente la sua portata, includendo nuovi settori cruciali come i servizi digitali, la sanità, la pubblica amministrazione e le industrie che producono beni essenziali.

In base alla direttiva, le organizzazioni vengono classificate in due categorie principali: "essenziali" e "importanti". Le prime sono quelle che operano in settori in cui la sicurezza delle informazioni è di importanza critica per il funzionamento della società e per la sicurezza nazionale. Tra i clienti di Net Reply rientrano diverse aziende dei settori energia (ENERGY) e telecomunicazioni (TELCO), che, in virtù della loro funzione, sono soggette ad obblighi di sicurezza più rigorosi. Le aziende del settore ENERGY, che si occupano della produzione, trasmissione e distribuzione di energia elettrica, sono considerate "soggetti essenziali", poiché la loro attività è fondamentale per il mantenimento della sicurezza e della stabilità dei sistemi vitali del paese.

Anche le aziende TELCO che gestiscono infrastrutture critiche, come INWIT, TIM e Fibercop, rientrano nella categoria dei soggetti essenziali se supportano servizi di emergenza, se le loro infrastrutture sono indispensabili per il funzionamento di servizi nazionali vitali, o se un'interruzione dei loro servizi causerebbe danni su larga scala alla società. Il loro ruolo è quindi cruciale non solo per l'economia, ma anche per la gestione delle crisi e la sicurezza nazionale.


IL RUOLO DI ACN

Misure obbligatorie e roadmap di implementazione

Il compito di garantire l'adeguamento alla Direttiva NIS2 sarà affidato all'Agenzia per la Cybersicurezza Nazionale (ACN), che avrà un ruolo centrale nel coordinamento, nella sorveglianza e nel supporto delle organizzazioni per l'implementazione delle normative. L'ACN fornirà linee guida, schemi di certificazione e risponderà alle segnalazioni di non conformità, sanzionando severamente le organizzazioni che non adempiono agli obblighi previsti dalla direttiva. Le sanzioni possono essere particolarmente onerose: fino a 10 milioni di euro o il 2% del fatturato annuale per le organizzazioni considerate essenziali, e fino a 7 milioni di euro o l'1,4% del fatturato per quelle classificate come importanti. Queste misure sono pensate per incentivare un elevato livello di protezione delle infrastrutture e dei dati sensibili, affinché possano affrontare le crescenti minacce in ambito networking con un'adeguata preparazione e resilienza.

La roadmap di implementazione stabilisce delle scadenze chiare e vincolanti che devono essere rispettate tanto dalle aziende quanto dalle pubbliche amministrazioni.


PREVENTION e REMEDIATION

La normativa NIS2 impone alle organizzazioni una serie di misure obbligatorie per migliorare la Network Security, strutturate principalmente in due ambiti principali: prevention e remediation. Le prevention comprendono le azioni volte a ridurre al minimo i rischi di attacchi in ambito network, mentre le remediation si concentrano sulle strategie e sulle misure da adottare una volta che l'attacco è avvenuto, con l'obiettivo di contenere i danni e ripristinare rapidamente la normale operatività.

A livello strategico, ogni azienda è tenuta a sviluppare politiche e procedure per valutare costantemente l'efficacia delle misure di sicurezza adottate e la capacità di contrastare i rischi.

Fondamentale in questo contesto è l’analisi dei rischi: ogni organizzazione deve definire chiare politiche per la sicurezza dei sistemi in ambito network, implementando campagne periodiche di valutazione delle minacce e delle vulnerabilità, in modo da monitorare continuamente il grado di protezione dei propri sistemi.

In aggiunta, una priorità fondamentale, soprattutto per le aziende che gestiscono catene di approvvigionamento complesse, è garantire la sicurezza dell’intero processo che porta un prodotto o servizio dal fornitore al cliente finale, ossia la supply chain. Questa deve essere protetta in tutte le sue fasi, assicurandosi che ogni partner e fornitore rispetti gli standard di sicurezza richiesti.

INCIDENTI: GESTIONI E SEGNALAZIONI

Un altro elemento che non può più essere ignorato è la formazione del personale. È essenziale che ogni dipendente sia adeguatamente formato in tema di Network Security, acquisendo competenze per riconoscere e prevenire le minacce, oltre a rispettare le pratiche di igiene informatica di base. Inoltre, le aziende devono implementare politiche di controllo dell'accesso e gestire in modo sicuro le identità degli utenti, proteggendo così l'accesso ai dati sensibili e alle risorse critiche.

Scendendo ad un livello più operativo di prevenzione, un aspetto cruciale è la securizzazione dei sistemi, che implica la protezione degli asset di rete in ogni fase del loro ciclo di vita, dalla progettazione alla manutenzione. Esempi di misure preventive includono l'adozione di crittografia e cifratura per la protezione dei dati sensibili e l'implementazione di autenticazione sicura per garantire che solo utenti autorizzati possano accedere ai sistemi.

Quando, purtroppo, un attacco avviene, la priorità diventa assicurare la business continuity, ovvero garantire che l'attività aziendale prosegua senza interruzioni significative. Ciò implica, ad esempio, la gestione dei backup, che sono una misura preventiva ma che giocano un ruolo fondamentale anche nelle fasi di ripristino post-attacco. L'adozione di piani di disaster recovery è essenziale per garantire che i dati possano essere ripristinati rapidamente e che le operazioni aziendali possano riprendere con la minima interruzione possibile.

INCIDENTI IN AMBITO NETWORK

Un altro aspetto centrale della normativa NIS2 riguarda la gestione degli incidenti in ambito Networking. Le organizzazioni devono essere pronte a rispondere rapidamente agli attacchi, limitando il più possibile l'impatto su operazioni e dati. Ciò implica non solo la creazione di piani dettagliati per la gestione degli incidenti, ma anche la necessità di segnalare tempestivamente ogni violazione, con una valutazione del suo livello di criticità.

La Direttiva NIS2 definisce un protocollo preciso per la segnalazione degli incidenti, articolato in tre fasi fondamentali.


  • Preallarme

    Comunicazione preliminare di un incidente significativo, che segnala la potenziale occorrenza di un attacco. Questa deve essere inviata sul portale dell'ACN entro 24 ore dall'identificazione del rischio.

  • Notifica dell'incidente

    Comunicazione ufficiale dell'incidente avvenuto, accompagnata da una valutazione iniziale dell’evento e una stima del suo impatto. Questo va fatto entro 72 ore dall'identificazione dell'attacco.

  • Relazione finale

    Una descrizione dettagliata dell'incidente, comprese le misure di mitigazione adottate per rispondere all'evento e per limitare i danni. Questa relazione deve essere fornita una volta conclusa l'analisi dell'incidente.

Il RUOLO DI NET REPLY

Supporto alla Conformità e Sicurezza

Per garantire ai propri clienti una piena conformità alle normative e una solida protezione contro le minacce in ambito Network Security, Net Reply ha delineato un processo articolato in tre macro-fasi, ognuna delle quali mirata a migliorare la sicurezza complessiva dell’organizzazione.


Contattaci

Prima di compilare il form di registrazione, si prega di prendere visione dell'Informativa Privacy ai sensi dell’art. 13 del Regolamento UE n° 679/2016
Input non valido
Input non valido
Input non valido
Input non valido
Input non valido
Input non valido

Privacy

Dichiaro di aver letto e ben compreso l'Informativa Privacy e acconsento al trattamento dei miei dati personali per finalità di marketing da parte di Reply SpA, in particolare per l’invio di comunicazioni promozionali e commerciali o la segnalazione di eventi aziendali o webinar, con modalità di contatto automatizzate (es. SMS, MMS, fax, e-mail e applicazioni web) e tradizionali (es. telefonate con operatore e posta tradizionale).