Naviga verso la conformità NIS 2 con Acronis

Domande frequenti

• Quali tipi di organizzazioni devono conformarsi alla NIS 2?

  La Direttiva NIS 2 sta prendendo di mira organizzazioni di tutte le dimensioni. Lo standard classifica le aziende in due gruppi: entità essenziali ed entità importanti.

  Le entità essenziali sono elementi di rilievo nei settori critici, tra cui energia (elettricità, petrolio, gas, ecc.), trasporti (aereo, ferroviario, marittimo, stradale), banche, infrastrutture del mercato finanziario, assistenza sanitaria, infrastrutture digitali (IXP, service provider DNS, registri dei nomi TLD, servizi di cloud computing, data center) e pubblica amministrazione.

  Le entità importanti sono altri settori integrali come i servizi postali e di corriere, la gestione dei rifiuti, la produzione chimica, la produzione alimentare, la produzione (di alcuni prodotti critici), i fornitori digitali (marketplace online, motori di ricerca, servizi di social network) e la ricerca.

• In che modo la NIS 2 influisce sui managed service provider (MSP)?

  La NIS 2 include esplicitamente gli MSP nel suo ambito, riconoscendo il loro ruolo critico nella catena di fornitura dei servizi essenziali. Ciò significa che gli MSP operanti nell'UE (o che forniscono servizi a clienti dell'UE) devono:

  • Conformarsi alle misure di sicurezza della direttiva.
  • Implementare pratiche di sicurezza informatica robuste, inclusi backup e ripristino solidi, piani di incident response e procedure di creazione di report.
  • Gestire i rischi della catena di fornitura valutando e garantendo che i loro fornitori diretti e sub-responsabili del trattamento soddisfino anche gli standard di sicurezza.
  • Potenzialmente, offrire servizi legati alla conformità ai loro clienti, poiché molte organizzazioni si rivolgeranno agli MSP per ottenere aiuto nell'ottenere la conformità alla NIS 2.
  • Affrontare sanzioni significative per la non conformità, simili ad altre entità nell'ambito di applicazione.

• Quali sono i principali requisiti di sicurezza informatica previsti dalla Direttiva NIS 2?

  La direttiva NIS 2 impone misure complete di gestione del rischio informatico, suddivise in quattro aree principali:

  • Gestione del rischio : le organizzazioni devono implementare misure tecniche, operative e organizzative appropriate, incluse policy su analisi del rischio, sicurezza delle informazioni di sistema, gestione dei problemi, continuità operativa, sicurezza della catena di fornitura, sicurezza nell'acquisizione/manutenzione delle reti e dei sistemi informativi, valutazione dell'efficacia delle misure di sicurezza informatica, igiene informatica di base, formazione sulla sicurezza informatica, crittografia, sicurezza delle risorse umane, controllo degli accessi, gestione delle risorse e autenticazione multifattoriale.
  • Responsabilità aziendale : gli organi di gestione sono tenuti ad approvare, supervisionare ed essere responsabili delle misure di gestione del rischio informatico, e devono ricevere una formazione regolare sulla sicurezza informatica.
  • Obblighi di creazione di report : le entità essenziali e importanti devono avere processi per la rapida creazione di report sui problemi di sicurezza che hanno un impatto significativo. Tra questi un “avviso precoce” entro 24 ore, una valutazione iniziale entro 72 ore e un rapporto finale entro un mese.
  • Continuità aziendale : le organizzazioni devono disporre di piani per garantire la continuità aziendale durante e dopo gravi incidenti informatici, tra cui il ripristino del sistema, procedure di emergenza e team di risposta alle crisi.

• La conformità alla NIS 2 è obbligatoria per le piccole e medie imprese?

  In generale, no. La conformità alla NIS 2 non è obbligatoria per le micro e piccole aziende (meno di 50 dipendenti e meno di 10 milioni di euro di fatturato annuo).

  Tuttavia, può diventare obbligatoria per loro in specifiche eccezioni:

  • Se sono considerate un “ente critico” da uno Stato Membro, indipendentemente dalla dimensione, a causa del loro specifico profilo di rischio o criticità.
  • Se forniscono servizi considerati cruciali per l'economia e la società dell'UE, anche se piccole.
  • Le piccole e medie imprese (PMI) che rientrano nella categoria di “ente importante” (generalmente 50–250 dipendenti o 10–50 milioni di euro di fatturato annuo) rientrano nell'ambito di applicazione.

  Pertanto, mentre la maggior parte delle micro e piccole imprese sono esenti, è critico per qualsiasi azienda, indipendentemente dalla dimensione, valutare il proprio ruolo all'interno delle catene di fornitura critiche e l'impatto diretto sui servizi essenziali per determinare se la NIS 2 potrebbe applicarsi a loro o ai loro clienti.