18 settori critici, requisiti di sicurezza informatica più severi e sanzioni severe: la nuova direttiva UE NIS2 non riguarda solo le aziende dell'Unione Europea. Anche le PMI svizzere possono rientrare direttamente o indirettamente nel suo campo di applicazione, spesso senza saperlo. È giunto il momento di verificare se si è interessati dalla direttiva.
Con sanzioni fino a 10 milioni di euro o pari al 2% del fatturato annuo globale, l'UE invia un segnale chiaro con la direttiva NIS2: la sicurezza informatica non è più un optional. Da ottobre 2024 il nuovo quadro normativo sarà applicabile in tutti gli Stati membri dell'UE, con conseguenze di vasta portata anche per le aziende svizzere. Particolarmente rilevante: non sono interessati solo i grandi gruppi e le infrastrutture critiche. La direttiva si rivolge specificamente alle medie imprese con almeno 50 dipendenti. Anche chi collabora come fornitore con aziende dell'UE difficilmente potrà sottrarsi ai nuovi requisiti. Per molte PMI svizzere non si tratta quindi di decidere se, ma come attuare i requisiti NIS2.
Oltre alle sanzioni aziendali, note fin dal GDPR (2015), ora anche i dirigenti sono personalmente responsabili in caso di comprovata negligenza. Sono tenuti ad approvare misure di gestione dei rischi, a monitorarne l'attuazione e a segnalare gli incidenti di sicurezza alle autorità e ai partner, fornitori e clienti interessati.
Per adempiere a questi obblighi, i dirigenti devono partecipare regolarmente a corsi di formazione per essere in grado di valutare i rischi e le misure di sicurezza informatica. La violazione di questo obbligo di diligenza comporta sanzioni personali, il cui importo e tipo sono stabiliti dagli Stati membri, ma devono essere “efficaci, proporzionate e dissuasive”. In casi estremi, la direzione può anche essere sollevata dai propri compiti fino a quando non saranno state risolte le carenze riscontrate.
L'impatto della NIS2 sulle aziende svizzere può essere chiaramente delimitato: chiunque gestisca una filiale nell'UE o offra servizi IT in tale area è direttamente soggetto alla direttiva. Ciò vale per le aziende che nel 2024 realizzeranno un fatturato annuo superiore a 10 milioni di euro nell'UE o che vi impiegheranno più di 50 dipendenti. Le conseguenze sono di vasta portata: le aziende interessate devono introdurre una gestione sistematica dei rischi, effettuare regolari audit di sicurezza e segnalare gli incidenti di sicurezza entro 24 ore. Particolare attenzione è rivolta ai fornitori di servizi IT, ai provider di servizi cloud e alle aziende dei 18 settori critici.
L'ambito di influenza della NIS2 va ben oltre le aziende direttamente regolamentate. In qualità di fornitori di aziende dell'UE, le PMI svizzere si trovano sempre più spesso a dover affrontare i requisiti della NIS2, anche senza un obbligo formale. Le grandi aziende dell'UE devono garantire la sicurezza informatica dell'intera catena di fornitura. In concreto, ciò significa che i fornitori svizzeri, ad esempio nell'industria automobilistica o nell'ingegneria meccanica, devono soddisfare gli standard di sicurezza più elevati. Dalla documentazione completa ai test di penetrazione regolari, queste prove sono già richieste di norma negli appalti dell'UE.
La verifica sistematica delle proprie attività nell'UE è il primo passo importante per chiarire se si è interessati dalla direttiva NIS2. A tal fine è necessario esaminare attentamente diversi aspetti aziendali.
→ In caso di risposta affermativa, è necessario far verificare in dettaglio i propri obblighi NIS2.
Per le PMI svizzere, la legge nazionale sulla sicurezza dell'informazione (LSI) offre una buona base di partenza per la NIS2. Entrambe le normative prevedono l'obbligo di segnalazione in caso di incidenti informatici e una gestione strutturata dei rischi. La NIS2 va però oltre: richiede misure tecniche specifiche e un ruolo attivo da parte della direzione aziendale. Sfruttate le sovrapposizioni per creare un programma di conformità integrato: risparmierete risorse e otterrete maggiore chiarezza.
Particolare attenzione dovrebbe essere prestata alla creazione di un solido sistema di gestione dei rischi e di un efficace sistema di risposta agli incidenti. Anche la documentazione delle misure adottate e la formazione regolare dei collaboratori sono fattori chiave per il successo.
Il secondo passo si concentra sulle misure tecnico-organizzative. In questo caso è fondamentale creare un solido sistema di gestione degli incidenti di sicurezza: implementate processi chiari per l'obbligo di segnalazione 24 ore su 24 in caso di incidenti di sicurezza. Stabilite una gestione sistematica dei rischi che tenga conto dei requisiti specifici della NIS2. Non dimenticate la catena di fornitura: anche i vostri fornitori devono essere coinvolti.
Il terzo passo riguarda la struttura di governance. La NIS2 richiede un ruolo attivo da parte della direzione aziendale, dall'approvazione delle misure di sicurezza alla verifica periodica della loro efficacia. Definite responsabilità e procedure di escalation chiare. Particolarmente importante: documentate in modo completo tutte le decisioni e le misure adottate.
Infine, dovete coinvolgere i vostri collaboratori. La formazione regolare non è solo un requisito NIS2, ma anche la chiave del successo. Sviluppate un programma di sensibilizzazione che comunichi in modo comprensibile i nuovi requisiti e li integri nel lavoro quotidiano.
La direttiva NIS2 pone le PMI svizzere di fronte a nuove sfide, ma offre anche delle opportunità. Chi agisce in modo sistematico non solo può attuare i requisiti in modo efficiente, ma anche portare la propria sicurezza informatica a un nuovo livello. MTF Solutions vi supporta in questo processo con una collaudata procedura in tre fasi:
La direttiva UE NIS2 riguarda più aziende svizzere di quanto possa sembrare a prima vista. Non solo le PMI con attività dirette nell'UE devono agire, ma anche i fornitori e i partner commerciali delle aziende dell'UE sono sempre più chiamati a soddisfare i più severi standard di sicurezza informatica. È evidente che la NIS2 è più di un obbligo normativo. La direttiva offre l'opportunità di portare sistematicamente la propria sicurezza informatica a un nuovo livello e di ottenere così anche un vantaggio competitivo.
Analizziamo insieme il vostro grado di coinvolgimento nella NIS2. I nostri esperti vi supporteranno con la loro esperienza pratica e soluzioni collaudate, dalla prima analisi all'attuazione di successo. Fissate subito un primo colloquio gratuito!