NIS2

L'Unione europea ("UE") ha adottato la Direttiva sulla sicurezza delle reti e delle informazioni 2.0 ("NIS 2"), entrata in vigore nel gennaio 2023. NIS 2 è un aggiornamento legislativo significativo sulla direttiva NIS originale, che amplia l'ambito dei settori coperti e introduce requisiti più rigorosi in materia di gestione del rischio e segnalazione. L'obiettivo della legge è migliorare la resilienza e le capacità di risposta agli incidenti di pubbliche amministrazioni e soggetti privati che forniscono servizi "essenziali" o "importanti" per l'economia e la società europea. Gli Stati membri dovevano recepire la direttiva nel diritto nazionale entro il 18 ottobre 2024, sebbene questo processo abbia richiesto più tempo in alcuni Stati membri.

Documentazione sulla conformità di Cloudflare

Hub NIS 2 di Cloudflare

Cos'è NIS 2?

NIS 2 è il successore della direttiva NIS originale e rappresenta un importante passo avanti nel quadro giuridico dell'UE in materia di sicurezza informatica. Basandosi sul suo predecessore, NIS 2 introduce una copertura settoriale più ampia, requisiti di sicurezza più rigorosi e sanzioni più elevate in caso di mancata conformità. Il testo completo della direttiva NIS 2 è disponibile nella Gazzetta ufficiale dell'UE. Inoltre, l'Agenzia dell'UE per la sicurezza informatica ("ENISA") fornisce indicazioni e risorse per le entità che cercano di allinearsi agli obiettivi della direttiva.

A chi si applica la direttiva NIS 2?

La direttiva NIS 2 si applica alle entità "essenziali" e "importanti" in 18 settori. Questi includono i settori "altamente critici" (ad esempio, energia, trasporti, banche, sanità, acqua e infrastrutture digitali) e i settori "altri critici" (ad esempio, servizi postali, gestione dei rifiuti, cibo e produzione). Per l'elenco completo dei settori coperti, vedere l'Allegato 1 e l'Allegato 2 della direttiva NIS.

NIS 2 si applica a Cloudflare?

In che modo NIS 2 classifica le entità?

Le entità sono classificate in base alla loro dimensione e importanza per l'economia e la società. Sebbene le due categorie di entità regolamentate ai sensi della legge, essenziali e importanti, siano soggette agli stessi requisiti di sicurezza e segnalazione degli incidenti, le entità essenziali devono affrontare una supervisione più proattiva e rigorosa da parte delle autorità nazionali.

La direttiva NIS 2 interessa le organizzazioni con sede al di fuori dell'Unione europea?

Sì. La norma NIS 2 si applica a qualsiasi entità che fornisce servizi "essenziali" o "importanti" all'interno dell'UE, indipendentemente da dove ha sede l'azienda. Inoltre, poiché NIS 2 impone la gestione del rischio della catena di approvvigionamento, molte aziende regolamentate da NIS 2 all'interno e all'esterno dell'UE ora richiederanno ai loro fornitori e fornitori di servizi globali di dimostrare standard di sicurezza allineati a NIS 2 come condizione per condurre attività commerciali.

Quali sono i requisiti di sicurezza di NIS 2?

L'articolo 21 della direttiva impone alle entità regolamentate di adottare "misure tecniche, operative e organizzative adeguate e proporzionate" per gestire i rischi per la sicurezza informatica. Queste includono:

Criteri sull'analisi dei rischi e sulla sicurezza dei sistemi informativi.
Gestione degli incidenti (prevenzione, rilevamento e risposta).
Continuità aziendale e gestione delle crisi.
Sicurezza della catena di approvvigionamento, compresi i rischi relativi alla relazione tra ciascuna entità e i suoi fornitori diretti.
Sicurezza nell'acquisizione, nello sviluppo e nella manutenzione di reti e sistemi informatici.
Criteri e procedure per valutare l'efficacia delle misure di gestione del rischio di sicurezza informatica.
L'uso del criptaggio e della crittografia.

La direttiva NIS 2 influisce sul modo in cui le organizzazioni gestiscono le proprie catene di approvvigionamento?

Sì, l'articolo 21 impone specificamente che le entità affrontino la sicurezza della catena di approvvigionamento, incluso il rapporto tra l'entità e i suoi fornitori diretti. Cloudflare assiste fornendo documentazione di sicurezza trasparente (come i report di conformità) e strumenti come la Data Localization Suite, che aiuta i clienti a gestire i rischi legali e geografici associati al trattamento dei dati e ai fornitori di servizi.

Come cambia l'applicazione con NIS 2?

La NIS 2 introduce "denti" significativi attraverso una struttura di imposizione di sanzioni a più livelli basata sulla classificazione di un'entità:

Entità essenziali : sanzioni massime di almeno 10 milioni di euro o 2% del fatturato annuo totale mondiale, a seconda di quale sia l'importo più alto.
Entità importanti : sanzioni massime di almeno 7 milioni di euro o l'1,4% del fatturato annuo totale mondiale, a seconda di quale sia l'importo più alto.

Inoltre, NIS 2 introduce un cambiamento nella responsabilità di gestione. Ai sensi dell'articolo 20, gli "organi di gestione" di una società regolamentata (ad esempio, dirigenza e consigli di amministrazione) sono ora direttamente responsabili della supervisione dell'implementazione delle misure di gestione del rischio di sicurezza informatica. I dirigenti possono essere ritenuti personalmente responsabili per negligenza grave a seguito di una violazione della sicurezza. Per le entità essenziali, le autorità nazionali possono persino avere il potere di vietare temporaneamente alle persone di ricoprire posizioni manageriali.

Dove posso trovare i report di audit e le certificazioni per la mia valutazione di conformità a NIS 2?

Cloudflare fornisce accesso self-service ai nostri ultimi report ISO 27001, ISO 27701 e SOC 2 Type II tramite il nostro Trust Hub. Questi documenti servono come prova fondamentale per i tuoi requisiti di "sicurezza della catena di approvvigionamento" ai sensi dell'articolo 21 della NIS 2.

Per un approfondimento, puoi anche scaricare il nostro whitepaper sulla conformità alla direttiva NIS 2, che evidenzia i modi in cui i prodotti Cloudflare possono supportare i clienti regolamentati da NIS 2.