NIS 2.0 - Nuove regole per la sicurezza informatica nell'UE

Nel 2021, la Casa Bianca ha emesso un decreto esecutivo che obbligava le agenzie governative federali a sviluppare un piano per l'implementazione di un'architettura zero trust. A ciò è seguito un memorandum che ha imposto alle agenzie federali di raggiungere specifici obiettivi di sicurezza zero trust entro la fine del 2024.

L'anno scorso, la SEC degli Stati Uniti ha emanato nuove regole che obbligano le società quotate in borsa a rivelare le violazioni materiali della sicurezza informatica, e la stessa non ha perso tempo nel dimostrare la stringenza delle sue norme: i primi procedimenti giudiziari hanno infatti già avuto luogo.

Diciamo quindi che c'è un gran da fare negli Stati Uniti, ma non è l'unico luogo al mondo in cui i politici stanno promuovendo, o addirittura imponendo, l'adozione dei principi zero trust. Quest'anno, l'Unione Europea aggiornerà e rafforzerà la sua direttiva sulle reti e sui sistemi informativi (Network and Information Systems, NIS) e, come direbbe chiunque abbia sperimentato l'arrivo del GDPR per la privacy, la portata delle normative UE può essere davvero molto estesa.

NIS 2.0

La direttiva NIS 2.0 entrerà in vigore a ottobre del 2024 e imporrà agli organi di gestione delle organizzazioni di categorie specifiche di implementare misure per la gestione del rischio associato alla sicurezza informatica. Le categorie interessate saranno le seguenti:

• Energia
• Trasporti
• Settore bancario
• Infrastruttura del mercato finanziario
• Salute
• Acqua potabile
• Acque reflue
• Infrastruttura digitale
• Gestione dei servizi ICT (B2B)
• Pubbliche amministrazioni
• Spazio
• Servizi postali e di corrieri
• Gestione dei rifiuti
• Manifattura, produzione e distribuzione di prodotti chimici
• Produzione, lavorazione e distribuzione degli alimenti
• Settore manifatturiero
• Fornitori digitali
• Ricerca

Come si può vedere, la direttiva si concentra sulle infrastrutture fisiche e digitali critiche all'interno degli Stati membri dell'UE, ma ha anche una portata molto estesa. Si applica infatti non solo alle organizzazioni all'interno dell'UE, ma anche a qualsiasi organizzazione nel mondo che fornisca servizi a uno qualsiasi dei settori protetti all'interno dell'UE. Come per le normative della SEC, esistono regole molto stringenti per la segnalazione tempestiva degli incidenti.

La stretta

A questo punto il quadro è abbastanza chiaro. Gli enti governativi di regioni composte da centinaia di milioni di cittadini hanno riconosciuto che il rischio di pratiche di sicurezza informatica inadeguate è tanto grave da giustificare normative rigorose e persino sanzioni severe. In molti sono già al corrente della ricompensa e di tutti i vantaggi derivanti dall'implementazione di queste misure, che ora diventeranno imperative.

La ricompensa

Ma allora questa ricompensa in cosa consisterebbe? Quali sono gli aspetti positivi del rafforzamento delle proprie difese di sicurezza? Ovviamente la riduzione del rischio di subire attacchi informatici e la garanzia dell'ottemperanza alle normative, ma c'è altro? Le organizzazioni che implementano robuste pratiche di sicurezza informatica possono guadagnarci in termini di abbattimento dei costi, competitività, continuità aziendale e fiducia dei clienti. Quindi non si tratta solo di una ricompensa astratta, ma di un vero e proprio riscontro economico.

L'aiuto è a portata di mano. La direttiva NIS 2.0 stessa include indicazioni chiare su come migliorare il proprio profilo in materia di sicurezza informatica e non c'è da sorprendersi se la prima pratica di igiene informatica raccomandata sia l'adozione dei principi dello zero trust. Quando si esaminano questi lunghi requisiti normativi e legali, lo zero trust emerge costantemente come elemento imprescindibile. 

"Gli utenti devono accedere alle applicazioni, non alle reti"

L'aiuto è disponibile anche attraverso Zscaler, in cui dal 2007 ci occupiamo di progettare e costruire i pilastri fondamentali di un'architettura zero trust. Se desideri parlare di come implementare lo zero trust ed essere conforme alle normative, indipendentemente da quale sia il tuo settore, contattaci. In alternativa, per saperne di più e trovare risposte alle tue domande, puoi partecipare a uno dei nostri webinar introduttivi che teniamo ogni mese. Fai clic qui e cerca "Inizia da qui" per trovare la prossima sessione a cui iscriverti.