La società contemporanea è sempre più interconnessa, rendendo istituzioni, imprese e cittadini vulnerabili agli attacchi informatici. Secondo il rapporto Clusit 2023, negli ultimi 5 anni si è registrato un aumento del 60% degli attacchi informatici. Le conseguenze sociali ed economiche sono diventate sempre più gravi, con l’80% degli attacchi nel 2022 che ha provocato impatti molto severi.

L’Unione Europea ha risposto introducendo la Direttiva NIS 2, una legislazione rigorosa sulla sicurezza informatica. Gli Stati membri sono tenuti ad adottare le misure entro il 17 ottobre 2024, applicandole a partire dal 18 ottobre 2024. La NIS 2 impone nuovi obblighi di cybersicurezza per garantire un elevato livello di protezione contro gli attacchi informatici.

La Direttiva NIS 2 si applica a tutte le organizzazioni che svolgono un ruolo importante nell’economia e nella società europea. L’obbligo di conformità diventa vincolante per le organizzazioni che soddisfano due criteri chiave: devono avere più di 50 dipendenti e un fatturato superiore a 10 milioni di euro. Questi requisiti mirano a includere entità di dimensioni e impatto significativi, sottolineando la necessità di adottare misure di sicurezza informatica solide. La NIS 2 si estende a diversi settori ad alta criticità, imponendo norme stringenti per garantire la sicurezza digitale in aree cruciali dell’infrastruttura. Tra i settori coinvolti figurano energia, trasporti, settore bancario, salute, approvvigionamento di acqua, infrastruttura digitale, pubblica amministrazione, filiera alimentare e altri settori critici.

• Migliorare la resilienza: la NIS 2 mira a migliorare la capacità di risposta agli incidenti sia nel settore pubblico che in quello privato. Questo strumento legislativo è progettato per affrontare specificamente le sfide legate alla criminalità informatica, promuovendo un miglioramento sia a livello europeo che nazionale nella gestione della sicurezza informatica.

• Gestione e formazione: gli organi di gestione devono approvare le misure di gestione del rischio di sicurezza informatica necessarie per conformarsi alle disposizioni minime di gestione del rischio di cybersicurezza e garantire la continuità operativa. La sorveglianza dell’effettiva implementazione di tali misure costituisce un aspetto essenziale del loro ruolo e la mancata conformità può comportare responsabilità in caso di violazioni. Per garantire questo, i membri degli organi di gestione sono tenuti a seguire formazioni specifiche, allo scopo di potenziare la preparazione contro potenziali minacce, incentivando parallelamente la formazione dei dipendenti.