direttiva NIS Piergiorgio Venuti

NIS2 – Come il nuovo regolamento cyber potenzia la sicurezza dell’Europa

Estimated reading time: 6 minuti

La Direttiva NIS (Network and Information Security) è stata emanata nel 2016 dall’Unione Europea con l’obiettivo di raggiungere un livello elevato di sicurezza delle reti e dei sistemi informativi.

Si applica ai fornitori di servizi essenziali, come energia, trasporti, banche, sanità, e ai fornitori di servizi digitali, come search engine, cloud e e-commerce. La NIS ha introdotto una serie di misure volte a rafforzare la cybersecurity.

Obiettivi della NIS

Gli obiettivi principali della direttiva NIS sono:

  • Migliorare la prevenzione degli incidenti di sicurezza informatica
  • Aumentare la capacità di rilevare e gestire gli attacchi informatici
  • Limitare l’impatto di disservizi e interruzioni di servizi essenziali per i cittadini europei.

Ciò viene perseguito attraverso l’introduzione di standard di sicurezza, obblighi di notifica, cooperazione e condivisione delle informazioni tra stati membri.

Ambito di applicazione

I soggetti cui si rivolge la NIS sono:

  • Operatori di servizi essenziali (OSE): enti pubblici e privati cruciali per il mantenimento di attività civili, economiche e sociali fondamentali
  • Fornitori di servizi digitali (FSD): motori di ricerca online, cloud computing e mercati online

Per gli OSE, la NIS si applica nei settori energia, trasporti, banche, infrastrutture dei mercati finanziari, sanità, fornitura e distribuzione di acqua potabile.

NIS2: principali novità introdotte nel 2021

Nel dicembre 2020, la Commissione Europea ha proposto un aggiornamento della Direttiva NIS, denominato NIS2, con l’obiettivo di migliorarne l’efficacia alla luce delle crescenti minacce cyber.

Settori inclusi in NIS2

Oltre ai settori già coperti da NIS, la direttiva NIS2 includerà:

  • Servizi postali e di corriere
  • Rifiuti (gestione acque reflue e rifiuti)
  • Infrastrutture pubbliche essenziali (nazionali e transfrontaliere)
  • Settore manifatturiero
  • Sicurezza dei prodotti
  • Attività spaziali e satellitari
  • Amministrazione pubblica
  • Istruzione (scuole, università, centri di ricerca)

Impatti indiretti su supply chain e appalti pubblici

Sebbene gli obblighi della NIS2 si applichino direttamente solo ad operatori specifici di servizi essenziali e fornitori di alcuni servizi digitali, la direttiva avrà un effetto di “trascinamento” anche su molte altre aziende.

Motivazione commerciale all’adeguamento

In particolare, il rispetto dei requisiti NIS2 potrebbe presto diventare un prerequisito di fatto quando si partecipa a gare d’appalto pubbliche o private.

Analogamente, potrebbe essere un fattore competitivo apprezzato dai clienti, che vogliono assicurarsi che tutti i fornitori della loro supply chain soddisfino standard avanzati di affidabilità infrastrutturale e sicurezza delle informazioni.

Certificazioni di cybersecurity

Proprio al fine di dimostrare il proprio livello di adeguatezza, è prevedibile che anche aziende non soggette alla NIS2 ricorreranno sempre più a certificazioni volontarie e audit di sicurezza da parte di terze parti indipendenti.

In questo modo, pur non avendo obblighi normativi potranno comunque trarre benefici commerciali dall’investire nel proprio livello di cyber-resilienza.

Cybersecurity rafforzata per aziende di ogni dimensione

Particolare attenzione verrà data al rafforzamento degli standard di sicurezza applicabili alle piccole e medie imprese (PMI), spesso il tallone d’Achille nella cybersecurity.

Anche le grandi aziende vedranno crescere gli obblighi, con sanzioni pecuniarie fino al 2% del fatturato globale per violazioni in materia di sicurezza informatica e mancata notifica di incidenti.

Questo spingerà i vertici aziendali a investire seriamente nella cybersecurity.

Cooperazione internazionale

Verrà promossa una più stretta collaborazione tra gli stati membri e la creazione di procedure transfrontaliere di gestione degli incidenti e delle crisi, per contrastare efficacemente attacchi su larga scala.

Sono previsti anche meccanismi di collaborazione con i paesi terzi per un approccio globale al rafforzamento della resilienza digitale internazionale.

Enti di controllo NIS2

La proposta di direttiva NIS2 conferisce nuovi poteri ad enti regolatori nazionali appositamente istituiti (o identificati tra quelli esistenti) per supervisionare l’attuazione della normativa.

Autorità competenti

I loro compiti specifici comprendono:

  • Audit di sicurezza
  • Ispezioni e indagini presso i soggetti regolati
  • Analisi dinamica dei rischi informatici
  • Richieste di informazioni
  • Potere di imporre sanzioni.

Avranno anche il compito di aumentare la consapevolezza e la comprensione del rischio informatico tra la popolazione.

Ad esempio, in Italia il Centro Nazionale per la Cybersecurity svolge già alcune di queste funzioni.

Gruppo di cooperazione NIS

Verrà istituito un gruppo di cooperazione che riunisca tali autorità nazionali insieme ad ENISA e Commissione Europea per coordinare questioni transfrontaliere e scambiarsi informazioni.

Obblighi per operatori servizi essenziali e digitali

Soggetti NIS2 obbligati

I soggetti ai quali si applicano gli obblighi previsti da NIS2 si suddividono in 3 categorie:

  • Operatori di servizi essenziali (energia, trasporti, banche, sanità, etc)
  • Fornitori di servizi digitali (cloud, web search engine, e-commerce)
  • Enti pubblici (amministrazioni centrali e locali).

Misure di sicurezza richieste

Indipendentemente dalle dimensioni, tutti i soggetti NIS2 dovranno soddisfare requisiti in termini di:

  • Governance della cybersecurity
  • Gestione dei rischi
  • Resilienza operativa
  • Monitoraggio, rilevamento, classificazione degli incidenti
  • Business continuity e disaster recovery
  • Condivisione delle informazioni con le autorità competenti

Standard di sicurezza più stringenti sono previsti per i soggetti che supportano servizi critici o trattano una significativa quantità di dati personali.

Ad esempio, sarà richiesto loro di effettuare test di penetrazione regolari ed esercitazioni di crisi informatiche per mettere alla prova i piani di risposta.

Notifica obbligatoria degli incidenti

Tutti i soggetti NIS2, incluse le PMI, dovranno notificare senza ritardo ingiustificato alle autorità nazionali competenti incidenti informatici significativi che potrebbero creare discontinuità di servizi essenziali o impattare la sicurezza di dati e sistemi.

Sono previste sanzioni in caso di omessa notifica.

Impatto atteso su resilienza digitale europea

Con l’attuazione capillare della NIS2, l’Unione Europea punta a ridurre in modo consistente il rischio e l’impatto di attacchi informatici contro infrastrutture critiche e servizi digitali nei prossimi anni.

Indicatori di successo

Sono già stati individuati alcuni indicatori chiave per misurare il progresso della resilienza digitale europea:

  • Tempo medio di rilevamento delle intrusioni informatiche
  • Tempo medio di risposta e risoluzione di un cyber attacco
  • Numero di violazioni di dati personali segnalate annualmente
  • Perdite economiche causate da interruzioni di servizi critici .

Impatto sociale atteso

I benefici per i cittadini europei deriveranno da una maggior protezione di servizi essenziali come la sanità, i trasporti e l’energia da attacchi informatici e, di conseguenza, minori disservizi con impatti sociali e sulla vita quotidiana.

Si attendono anche miglioramenti qualitativi dei servizi digitali, grazie agli investimenti nella sicurezza dei dati e nell’affidabilità infrastrutturale.

Recepimento in Italia già avvenuto e nuova scadenza

In Italia, la direttiva NIS2 è stata recepita lo scorso 31 luglio 2022 con il “Decreto Legislativo n. 123 del 30 giugno 2022”.

Il testo riprende fedelmente impianto e contenuti della normativa europea, adeguando l’ordinamento nazionale.

Termine definitivo per adeguarsi

A seguito dell’entrata in vigore del decreto legislativo di recepimento, il 17 ottobre 2024 rappresenta ora la scadenza ultima entro cui gli operatori di servizi essenziali e i fornitori di servizi digitali presenti in Italia dovranno adeguarsi completamente ai nuovi obblighi in materia di sicurezza delle reti e dei sistemi informativi introdotti dalla NIS2.

Per quella data, rischieranno sanzioni pecuniarie gli enti non ancora perfettamente compliant con i requisiti del provvedimento che implementa la direttiva europea.

Conclusioni: NIS2 rafforza cyber-resilienza europea

L’ entrata in vigore della direttiva NIS nel 2016 è stato un primo passo fondamentale per armonizzare il panorama della sicurezza cibernetica europea.

Con NIS2 si compie ora un deciso balzo in avanti, grazie all’estensione dei requisiti di security e resilienza operativa a molteplici settori critici e strategici e al potenziamento dei meccanismi di controllo e cooperazione transfrontaliera.

Ciò rafforzerà significativamente la protezione di infrastrutture digitali e fisiche e la capacità preventiva, di rilevamento e risposta dell’Unione agli attacchi informatici, per una cyber-resilienza europea all’altezza delle sfide globali odierne e future.

Useful links:

Condividi


RSS

Piu’ articoli…

Categorie …

Tags

RSS CSIRT

RSS darkreading

RSS Full Disclosure

  • Microsoft leak of PlayReady developer / Warbird libs Giugno 21, 2024
    Posted by Security Explorations on Jun 21Hello All, On Jun 11, 2024 Microsoft engineer posted on a public forum information about a crash experienced with Apple TV service on a Surface Pro 9 device [1]. The post had an attachment - a 771MB file (4GB unpacked), which leaked internal code (260+ files [2]) pertaining to […]
  • Business Logic Flaw and Username Enumeration in spa-cartcmsv1.9.0.6 Giugno 16, 2024
    Posted by Andrey Stoykov on Jun 15# Exploit Title: Business Logic Flaw and Username Enumeration in spa-cartcmsv1.9.0.6 # Date: 6/2024 # Exploit Author: Andrey Stoykov # Version: 1.9.0.6 # Tested on: Ubuntu 22.04 # Blog: https://msecureltd.blogspot.com/2024/04/friday-fun-pentest-series-5-spa.html Description - It was found that the application suffers from business logic flaw - Additionally the application is vulnerable […]
  • APPLE-SA-06-10-2024-1 visionOS 1.2 Giugno 12, 2024
    Posted by Apple Product Security via Fulldisclosure on Jun 11APPLE-SA-06-10-2024-1 visionOS 1.2 visionOS 1.2 addresses the following issues. Information about the security content is also available at https://support.apple.com/HT214108. Apple maintains a Security Releases page at https://support.apple.com/HT201222 which lists recent software updates with security advisories. CoreMedia Available for: Apple Vision Pro Impact: An app may be […]
  • CyberDanube Security Research 20240604-0 | Multiple Vulnerabilities in utnserver Pro/ProMAX/INU-100 Giugno 9, 2024
    Posted by Thomas Weber via Fulldisclosure on Jun 09CyberDanube Security Research 20240604-0 ------------------------------------------------------------------------------- title| Multiple Vulnerabilities product| SEH utnserver Pro/ProMAX / INU-100 vulnerable version| 20.1.22 fixed version| 20.1.28 CVE number| CVE-2024-5420, CVE-2024-5421, CVE-2024-5422 impact| High homepage| https://www.seh-technology.com/...
  • SEC Consult SA-20240606-0 :: Multiple critical vulnerabilities in Kiuwan SAST on-premise (KOP) & cloud/SaaS & Kiuwan Local Analyzer (KLA) Giugno 9, 2024
    Posted by SEC Consult Vulnerability Lab via Fulldisclosure on Jun 09SEC Consult Vulnerability Lab Security Advisory < 20240606-0 > ======================================================================= title: Multiple critical vulnerabilities product: Kiuwan SAST on-premise (KOP) & cloud/SaaS Kiuwan Local Analyzer (KLA) vulnerable version: Kiuwan SAST
  • Blind SQL Injection - fengofficev3.11.1.2 Giugno 9, 2024
    Posted by Andrey Stoykov on Jun 09# Exploit Title: FengOffice - Blind SQL Injection # Date: 06/2024 # Exploit Author: Andrey Stoykov # Version: 3.11.1.2 # Tested on: Ubuntu 22.04 # Blog: https://msecureltd.blogspot.com/2024/05/friday-fun-pentest-series-6.html Steps to Reproduce: 1. Login to application 2. Click on "Workspaces" 3. Copy full URL 4. Paste the HTTP GET request into […]
  • Trojan.Win32.DarkGateLoader (multi variants) / Arbitrary Code Execution Giugno 9, 2024
    Posted by malvuln on Jun 09Discovery / credits: Malvuln (John Page aka hyp3rlinx) (c) 2024 Original source: https://malvuln.com/advisory/afe012ed0d96abfe869b9e26ea375824.txt Contact: malvuln13 () gmail com Media: x.com/malvuln Threat: Trojan.Win32.DarkGateLoader (multi variants) Vulnerability: Arbitrary Code Execution Description: Multiple variants of this malware look for and execute x32-bit "urlmon.dll" PE file in its current directory. Therefore, we can...
  • SQL Injection Vulnerability in Boelter Blue System Management (version 1.3) Giugno 9, 2024
    Posted by InfoSec-DB via Fulldisclosure on Jun 09Exploit Title: SQL Injection Vulnerability in Boelter Blue System Management (version 1.3) Google Dork: inurl:"Powered by Boelter Blue" Date: 2024-06-04 Exploit Author: CBKB (DeadlyData, R4d1x) Vendor Homepage: https://www.boelterblue.com Software Link: https://play.google.com/store/apps/details?id=com.anchor5digital.anchor5adminapp&hl=en_US Version: 1.3 Tested on: Linux Debian 9 (stretch), Apache 2.4.25, MySQL >= 5.0.12 CVE:...
  • CyberDanube Security Research 20240528-0 | Multiple Vulnerabilities in ORing IAP-420 Maggio 30, 2024
    Posted by Thomas Weber via Fulldisclosure on May 29CyberDanube Security Research 20240528-0 ------------------------------------------------------------------------------- title| Multiple Vulnerabilities product| ORing IAP-420 vulnerable version| 2.01e fixed version| - CVE number| CVE-2024-5410, CVE-2024-5411 impact| High homepage| https://oringnet.com/ found| 2024-01-19 by| T. Weber...
  • HNS-2024-06 - HN Security Advisory - Multiple vulnerabilities in Eclipse ThreadX Maggio 30, 2024
    Posted by Marco Ivaldi on May 29Hi, Please find attached a security advisory that describes multiple vulnerabilities we discovered in Eclipse ThreadX (aka Azure RTOS). * Title: Multiple vulnerabilities in Eclipse ThreadX * OS: Eclipse ThreadX < 6.4.0 * Author: Marco Ivaldi * Date: 2024-05-28 * CVE IDs and severity: * CVE-2024-2214 - High - […]

Customers

Newsletter

{subscription_form_2}