La cybersicurezza alla prova della direttiva Nis gli obblighi e i soggetti coinvolti
L’innovazione digitale è un’ascia a doppio taglio: le aziende non possono fare a meno di adottare le tecnologie più moderne se vogliono restare competitive, ma così facendo si espongono agli attacchi informatici. Il numero di quelli andati a buon fine è salito vertiginosamente negli ultimi anni perché le difese delle aziende restavano deboli, mentre la legislazione in tema scarseggiava, ma le cose iniziano a smuoversi. Dopo il grande clamore suscitato dal Gdpr, la normativa per la protezione dei dati sensibili divenuta effettiva lo scorso mese, è arrivato il momento del Nis, la direttiva europea tesa a migliorare le difese delle infrastrutture critiche degli Stati membri, puntando con una particolare enfasi sulla intelligence e prevenzione.
La direttiva Nis è stata recepita dall’Italia con un decreto legislativo pubblicato sulla Gazzetta Ufficiale il 9 giugno e diverrà effettivo a partire da domenica prossima 24 giugno. Il suo scopo è quello di assicurare che le aziende fornitrici di servizi essenziali, siano esse pubbliche o private, siano dotate di difese informatiche adeguate a evitare continuità e qualità dei servizi erogati.
Obbligo di comunicazione
Mentre dal punto di vista tecnico l’impatto del NIS è relativamente ridotto, il vero cuore della nuova legge riguarda l’obbligo per le Ose di comunicare gli incidenti informatici subiti e la formazione di una infrastruttura a livello internazionale che permetta di condividere queste informazioni con tutti gli operatori che potrebbero essere interessati dallo stesso tipo di attacco. Per farlo, ogni stato si doterà di sistema di comunicazione facente capo a una autorità competente che si farà carico di ridistribuire l’informazione a livello locale e internazionale tramite un ente che funga da “punto di contatto”.
Nel caso dell’Italia, quando si verificherà un incidente informatico, l’Ose dovrà comunicarlo alla sua autorità competente la quale, a sua volta, lo comunicherà al Dis per valutarne la rilevanza internazionale e avviare l’eventuale procedura di diffusione agli altri Stati. Inoltre, il Cert-PA e il Cert Nazionale verranno fusi in un’unica entità chiamata Csirt che gestirà le segnalazioni. In caso di incidenti informatici gravi, anche le aziende non Ose saranno tenute a informare le autorità a cui fa capo il loro settore di attività.
La mancata comunicazione degli incidenti o la mancata messa in pratica di misure di sicurezza adeguate verranno punite a “posteriori”, solo in seguito a incidenti, con sanzioni che andranno da 12mila a 120mila euro.
FONTE: IL SOLE 24 ORE
Studio Giuliano e Di Gravio
