La Direttiva NIS 2 (Network and Information Security), approvata a dicembre 2022 dall’Unione Europea, è il nuovo quadro normativo per la sicurezza delle reti e dei sistemi informativi. Questa direttiva rafforza le disposizioni della precedente NIS e si applica a un numero maggiore di settori e di aziende, introducendo obblighi stringenti in tema di cybersecurity e gestione del rischio. Nel contesto italiano, le aziende soggette a modelli organizzativi ex D.Lgs. 231/2001 (MOG 231) devono adattarsi a questo nuovo regime, che ha notevoli implicazioni per l’Organismo di Vigilanza (OdV), responsabile del controllo dell’adeguatezza del modello.

Implicazioni Operative per l’Organismo di Vigilanza 231

1. Integrazione della Cybersecurity nel MOG 231: La NIS 2 richiede che i soggetti essenziali e importanti adottino misure di sicurezza adeguate per proteggere i loro sistemi IT e dati sensibili. L’OdV deve quindi verificare che la gestione della sicurezza informatica sia inclusa nel MOG 231. L’integrazione può avvenire, ad esempio, attraverso l’adozione di protocolli interni che prevedano l’analisi e la gestione del rischio cibernetico come parte integrante della prevenzione di reati informatici ex art. 24-bis del D.Lgs. 231/2001.
2. Collaborazione con il Responsabile della Cybersecurity: La NIS 2 introduce la figura del CSIRT (Computer Security Incident Response Team) e del Security Officer. L’OdV dovrà garantire una collaborazione costante con questi ruoli, al fine di monitorare e migliorare il sistema di gestione delle informazioni e della sicurezza informatica, rilevando eventuali non conformità o necessità di adeguamento dei protocolli.
3. Reporting e Gestione degli Incidenti: La direttiva prevede obblighi stringenti per la segnalazione degli incidenti di sicurezza alle autorità competenti entro 24 ore dalla loro individuazione. L’OdV deve monitorare che siano stati predisposti processi adeguati di reporting e gestione degli incidenti informatici, e verificare che i responsabili aziendali rispettino i tempi e i processi imposti dalla normativa.
4. Adeguatezza dei Controlli di Conformità: L’OdV deve rafforzare i controlli per valutare che le misure implementate siano conformi agli standard di sicurezza previsti dalla direttiva NIS 2, come la protezione dalle minacce informatiche, la gestione dei rischi associati alle forniture esterne e la risposta alle vulnerabilità di sistema. Devono essere introdotti audit periodici sulla resilienza e sicurezza informatica.

Check List di Verifica della Conformità alla Direttiva NIS 2

Ecco una checklist che l’OdV può utilizzare per verificare la conformità alla Direttiva NIS 2:

1. Identificazione dei Soggetti Coinvolti:
   • L’organizzazione rientra nei soggetti essenziali o importanti indicati dalla NIS 2?
   • È stato nominato un responsabile della sicurezza informatica (es. DPO, CSIRT, Security Officer)?
2. Analisi del Rischio:
   • È stata effettuata un’analisi aggiornata del rischio legata ai sistemi IT e alle minacce cibernetiche?
   • Sono state identificate le vulnerabilità critiche e attivate le contromisure?
3. Misure di Sicurezza Tecniche e Organizzative:
   • Esistono procedure scritte per la gestione della sicurezza informatica e la protezione delle informazioni sensibili?
   • Le misure tecniche (firewall, antivirus, sistemi di monitoraggio) sono adeguate e aggiornate?
   • Sono previsti piani di continuità operativa e disaster recovery in caso di attacchi informatici?
4. Formazione e Consapevolezza:
   • Il personale è stato adeguatamente formato su cybersecurity e gestione dei rischi cibernetici?
   • Sono previsti programmi di aggiornamento periodico sulle nuove minacce?
5. Gestione degli Incidenti:
   • Esiste una procedura specifica per la gestione degli incidenti informatici?
   • È stato istituito un sistema di notifica tempestiva agli organismi di vigilanza competenti (entro le 24 ore)?
6. Monitoraggio e Audit:
   • Sono previsti audit periodici per verificare l’efficacia delle misure adottate?
   • Le vulnerabilità identificate in fase di audit vengono prontamente risolte?
7. Collaborazione con le Autorità di Vigilanza:
   • L’azienda ha stabilito canali di comunicazione chiari con le autorità competenti per segnalare incidenti di sicurezza?
   • L’OdV è costantemente aggiornato sulle novità legislative in tema di cybersecurity e NIS 2?

Caso Pratico: Adeguamento di una Azienda Manifatturiera alla NIS 2

Un’azienda manifatturiera italiana, classificata come “soggetto essenziale” ai sensi della NIS 2, deve conformarsi alle nuove disposizioni. L’OdV, in collaborazione con il CSIRT aziendale, ha pianificato una serie di azioni per garantire la compliance:

1. Identificazione dei Sistemi Critici: Sono stati identificati i macchinari e i sistemi IT essenziali alla produzione e sono state analizzate le potenziali minacce (ransomware, attacchi DDoS).
2. Aggiornamento del MOG 231: Il MOG 231 è stato aggiornato con protocolli specifici per la gestione del rischio informatico, inclusi piani di risposta agli incidenti e gestione delle crisi.
3. Audit di Sicurezza: È stato condotto un audit interno per valutare l’efficacia delle misure di cybersecurity adottate. Questo ha portato all’adozione di un nuovo sistema di monitoraggio delle vulnerabilità.
4. Simulazione di un Attacco: È stato simulato un attacco informatico per testare la capacità di reazione del personale e del CSIRT. Il risultato positivo ha dimostrato che l’azienda era preparata per rispondere agli incidenti.
5. Segnalazione di Incidenti: In seguito a un attacco minore, l’azienda ha segnalato prontamente l’incidente all’autorità competente, rispettando le tempistiche della NIS 2. La reazione tempestiva ha evitato sanzioni e dimostrato la resilienza dell’organizzazione.

L’integrazione della Direttiva NIS 2 nel MOG 231 rappresenta una sfida significativa per le aziende, ma anche un’opportunità per rafforzare la propria sicurezza informatica. L’Organismo di Vigilanza deve assumere un ruolo proattivo, collaborando con le nuove figure aziendali come il Security Officer e garantendo che le misure di sicurezza adottate siano efficaci e conformi alle nuove normative europee. La corretta attuazione della NIS 2 non solo permette di evitare sanzioni, ma assicura anche una maggiore resilienza agli attacchi cibernetici.