Il contesto normativo in evoluzione

La cybersicurezza rappresenta una priorità fondamentale per le istituzioni europee, le quali si sono adoperate per definire un corpus normativo solido e coerente. In questo ambito, la Direttiva NIS2 (Direttiva UE 2022/2555) si inserisce in un contesto regolamentare già ricco, apportando nuove disposizioni volte a migliorare la resilienza e la sicurezza informatica nell'Unione Europea.

L'interazione con il GDPR

Una delle prime interazioni da considerare riguarda il Regolamento Generale sulla Protezione dei Dati (GDPR). La Direttiva NIS2 specifica che qualsiasi trattamento di dati personali ai sensi delle sue disposizioni deve essere conforme al GDPR e alla Direttiva e-Privacy. Questo aspetto è ribadito più volte nel testo, evidenziando l'importanza di garantire la protezione dei dati personali durante l'attuazione delle misure di sicurezza informatica.

Le principali sovrapposizioni tra GDPR e NIS2 riguardano:

• La notifica di incidenti di sicurezza, seppur con focus diversi
• La gestione degli incidenti che comportano violazioni di dati personali
• La valutazione dei rischi e l'implementazione di misure di sicurezza appropriate
• La promozione della cooperazione e dello scambio di informazioni tra gli Stati membri

Mentre il GDPR si concentra sulla protezione dei dati personali, la NIS2 mira a garantire un livello elevato di sicurezza delle reti e dei sistemi informativi. Le organizzazioni soggette a entrambe le normative devono comprendere i requisiti specifici e implementare processi e misure di sicurezza che soddisfino entrambi gli insiemi di requisiti.

Il rapporto con la Direttiva CER

Un'altra importante connessione è quella con la Direttiva CER (Direttiva UE 2022/2557) sulla resilienza dei soggetti critici. La NIS2 stabilisce che i soggetti identificati come critici ai sensi della Direttiva CER sono considerati soggetti essenziali ai fini dell'applicazione della NIS2, indipendentemente dalle loro dimensioni.

La Direttiva CER mira a rafforzare la resilienza dei soggetti critici nel mercato interno a fronte di varie minacce, come attacchi terroristici, emergenze sanitarie e rischi naturali. Essa impone agli Stati membri di individuare i soggetti critici in settori chiave, come energia, trasporti, sanità e infrastrutture digitali, e di adottare misure specifiche per garantire la continuità dei servizi essenziali.

Per garantire un approccio coerente, la NIS2 e la Direttiva CER prevedono il coordinamento tra le autorità competenti ai sensi delle rispettive normative. Questo coordinamento è fondamentale per definire una strategia globale per la resilienza dei soggetti critici, che tenga conto sia degli aspetti di sicurezza fisica che di quelli di sicurezza informatica.

L'interazione con il Regolamento DORA

Il Regolamento DORA (Regolamento UE 2022/2554) sulla resilienza operativa digitale per il settore finanziario rappresenta una lex specialis rispetto alla Direttiva NIS2. Questo significa che, per i soggetti rientranti nell'ambito di applicazione del DORA, si applicano le disposizioni di quest'ultimo anziché quelle della NIS2.

Il DORA introduce obblighi di governance e di sicurezza specifici per il settore finanziario, con l'obiettivo di implementare efficacemente sistemi di gestione dei rischi legati alle tecnologie dell'informazione e della comunicazione (TIC). Poiché il DORA prevede misure almeno equivalenti a quelle della NIS2, esso rappresenta l'atto giuridico settoriale applicabile in via prioritaria per i soggetti del settore finanziario.

Il rapporto con il Cybersecurity Act

Il Cybersecurity Act (Regolamento UE 2019/881) costituisce un altro tassello fondamentale della strategia europea per la sicurezza informatica. Esso mira a rafforzare la resilienza dell'Unione agli attacchi informatici, creare un mercato unico della sicurezza informatica e accrescere la fiducia dei consumatori nelle tecnologie digitali.

Il Cybersecurity Act si occupa principalmente di due aspetti:

1. Definisce gli obiettivi, i compiti e l'assetto organizzativo dell'ENISA, l'Agenzia dell'UE per la cybersicurezza.
2. Stabilisce un sistema unico per introdurre sistemi di certificazione della sicurezza informatica a livello europeo per dispositivi connessi, prodotti e servizi digitali, e processi IT.

Rispetto alla NIS2, il Cybersecurity Act svolge un ruolo complementare e di supporto. Mentre la NIS2 si concentra sulla cyber resilienza e la sicurezza informatica, il Cybersecurity Act si focalizza sulla certificazione della sicurezza informatica dei prodotti e servizi digitali. Inoltre, l'ENISA, rafforzata dal Cybersecurity Act, svolge un ruolo chiave nel supportare l'attuazione della NIS2, facilitando la cooperazione tra gli Stati membri e assistendo nella preparazione e nell'attuazione delle misure di sicurezza.

Un approccio olistico alla sicurezza informatica

Questo quadro normativo complesso e stratificato mira a creare un ecosistema di sicurezza cibernetica integrato e robusto a livello europeo. Ciascuna normativa si concentra su specifici settori e aspetti della sicurezza informatica, contribuendo a determinare un approccio olistico alla resilienza e alla sicurezza cibernetica.

Tuttavia, per valutare l'efficacia delle disposizioni previste dalla Direttiva NIS2, è fondamentale analizzare come essa andrà a interagire con le altre normative. Sarà cruciale prestare particolare attenzione al modo in cui gli Stati membri recepiscono la NIS2 e all'applicazione coordinata di altre normative di settore, come la Direttiva CER e il Regolamento DORA.

Mentre la coesistenza tra la NIS2 e alcune normative, come il GDPR, non desta particolari dubbi o preoccupazioni, occorrerà invece prestare molta attenzione all'applicazione concertata delle varie normative sulla cybersicurezza. Solo un'attuazione coordinata e coerente di questo corpus normativo potrà garantire un livello elevato di resilienza e sicurezza informatica nell'Unione Europea.

Il monitoraggio e la valutazione dell'attuazione

Oltre all'implementazione delle normative, sarà fondamentale monitorare attentamente l'attuazione delle misure previste e valutarne l'efficacia nel tempo. Questo processo di monitoraggio e valutazione dovrà coinvolgere tutte le parti interessate, incluse le istituzioni europee, gli Stati membri, le autorità competenti e gli stakeholder del settore privato.

Alcuni aspetti chiave da monitorare includono:

• La tempistica e la qualità del recepimento delle normative da parte degli Stati membri
• L'efficacia delle misure di sicurezza implementate dai soggetti essenziali e importanti
• Il livello di cooperazione e scambio di informazioni tra le autorità competenti a livello nazionale ed europeo
• L'impatto delle normative sulla resilienza e sulla sicurezza informatica delle organizzazioni e delle infrastrutture critiche
• L'evoluzione delle minacce informatiche e la necessità di adeguare le misure di sicurezza di conseguenza

Il monitoraggio e la valutazione dell'attuazione delle normative sulla sicurezza informatica non dovranno essere un processo statico, ma piuttosto un'attività continua e dinamica, in grado di adattarsi ai cambiamenti del panorama delle minacce e delle esigenze di sicurezza.

La sfida delle competenze e della formazione

Un aspetto cruciale per il successo dell'attuazione delle normative sulla sicurezza informatica è rappresentato dalle competenze e dalla formazione. Le organizzazioni, sia pubbliche che private, dovranno investire nella formazione del personale e nell'acquisizione di competenze specialistiche in materia di cybersicurezza.

Alcune aree chiave di investimento potrebbero includere:

• Formazione sulla valutazione dei rischi e sulla gestione degli incidenti di sicurezza
• Sviluppo di competenze tecniche per l'implementazione di misure di sicurezza informatica
• Formazione sulla gestione della compliance normativa e sulla cooperazione con le autorità competenti
• Sensibilizzazione sulla cultura della sicurezza informatica a tutti i livelli dell'organizzazione

Inoltre, sarà fondamentale promuovere la collaborazione tra il settore pubblico e privato, favorendo lo scambio di conoscenze e best practice in materia di cybersicurezza. Questa collaborazione potrà contribuire a colmare il divario di competenze e a rafforzare la resilienza complessiva del sistema.

La sfida dell'innovazione tecnologica

Un'altra sfida cruciale per l'attuazione delle normative sulla sicurezza informatica riguarda l'innovazione tecnologica. Il panorama delle minacce informatiche è in costante evoluzione, e le organizzazioni dovranno essere in grado di adottare e implementare soluzioni tecnologiche all'avanguardia per proteggere le proprie reti e sistemi informativi.

Alcune aree di innovazione tecnologica rilevanti potrebbero includere:

• Soluzioni di intelligenza artificiale e machine learning per la rilevazione e la risposta alle minacce informatiche
• Tecnologie di crittografia avanzata per la protezione dei dati e delle comunicazioni
• Soluzioni di automazione e orchestrazione per la gestione degli incidenti di sicurezza
• Tecnologie di virtualizzazione e cloud computing per la resilienza e la continuità operativa

Sarà fondamentale promuovere la ricerca e lo sviluppo in queste aree, favorendo la collaborazione tra il settore pubblico, privato e accademico. Inoltre, sarà necessario creare un ambiente normativo e regolamentare favorevole all'innovazione, che incentivi gli investimenti e la sperimentazione di nuove tecnologie.

La cooperazione internazionale e la condivisione di informazioni

Infine, un aspetto cruciale per il successo dell'attuazione delle normative sulla sicurezza informatica è rappresentato dalla cooperazione internazionale e dalla condivisione di informazioni. Le minacce informatiche non conoscono confini, e una risposta efficace richiede una collaborazione a livello globale.

In questo contesto, l'Unione Europea dovrà rafforzare la cooperazione con partner internazionali, come gli Stati Uniti, il Canada, il Giappone e altri paesi leader nel campo della cybersicurezza. Questa cooperazione potrà riguardare diversi aspetti, tra cui:

• Lo scambio di informazioni sulle minacce informatiche e sulle best practice di sicurezza
• La condivisione di intelligence e la collaborazione nelle indagini su attacchi informatici
• La definizione di standard e norme comuni per la sicurezza informatica
• La promozione di esercitazioni congiunte e di iniziative di capacity building

Inoltre, sarà fondamentale favorire la cooperazione tra le organizzazioni internazionali competenti, come l'ENISA, l'INTERPOL e le Nazioni Unite, al fine di creare un fronte comune contro le minacce informatiche a livello globale.

Conclusioni

La Direttiva NIS2 rappresenta un passo importante verso il rafforzamento della resilienza e della sicurezza informatica nell'Unione Europea. Tuttavia, per valutarne l'efficacia, è fondamentale considerare il suo inserimento all'interno di un più ampio corpus normativo sulla cybersicurezza.

L'attuazione coordinata e coerente di queste normative, insieme a un investimento significativo nelle competenze, nell'innovazione tecnologica e nella cooperazione internazionale, sarà cruciale per garantire un livello elevato di sicurezza informatica e proteggere i cittadini, le imprese e le infrastrutture critiche dalle minacce informatiche.

Solo attraverso un approccio olistico e una collaborazione a tutti i livelli, l'Unione Europea potrà diventare un leader globale nella cybersicurezza e contribuire a creare un ambiente digitale più sicuro e resiliente per tutti.

Vuoi saperne di più?