Nuove norme per rafforzare la cibersicurezza nell’Unione Europea

La Commissione Europea ha adottato oggi le prime norme di attuazione per la cibersicurezza dei soggetti e delle reti critici, in conformità con la direttiva NIS 2, relativa a misure per garantire un livello comune elevato di cibersicurezza nell’Unione. L’atto di esecuzione stabilisce in dettaglio le misure di gestione dei rischi di cibersicurezza e definisce i criteri per considerare un incidente significativo. Le imprese che forniscono infrastrutture e servizi digitali sono tenute a segnalare tali incidenti alle autorità nazionali competenti. Questa iniziativa rappresenta un passo importante per aumentare la resilienza delle infrastrutture digitali critiche in Europa.

Il regolamento di esecuzione si applica a specifiche categorie di aziende che offrono servizi digitali, quali fornitori di servizi di cloud computing, data center, mercati online, motori di ricerca e piattaforme di social networking. Per ogni categoria di prestatori di servizi, l’atto chiarisce le condizioni che definiscono un incidente significativo.

L’adozione del regolamento coincide con la scadenza entro cui gli Stati membri devono recepire la direttiva NIS2 nel loro ordinamento nazionale. A partire dal 18 ottobre 2024, tutti gli Stati membri dovranno implementare le misure necessarie per conformarsi alle nuove norme di cibersicurezza NIS2, comprese quelle relative alla vigilanza e all’esecuzione.

Il regolamento di applicazione sarà pubblicato nella Gazzetta ufficiale dell’Unione Europea e entrerà in vigore 20 giorni dopo la pubblicazione.

La direttiva NIS, entrata in vigore nel 2016, ha rappresentato il primo quadro normativo dell’UE sulla cibersicurezza, contribuendo a stabilire un livello comune di sicurezza per reti e sistemi informativi. Nel contesto della sua strategia per l’era digitale, la Commissione ha proposto nel dicembre 2020 una revisione della direttiva. La NIS2, entrata in vigore nel gennaio 2023, mira a garantire un elevato livello di cibersicurezza, riguardando soggetti operanti in settori critici per l’economia e la società, come le telecomunicazioni, i servizi digitali, la sanità, l’energia e i trasporti.

La nuova direttiva intensifica i requisiti di sicurezza per le imprese, affronta le problematiche legate alla sicurezza delle catene di approvvigionamento e dei rapporti con i fornitori, semplifica gli obblighi di segnalazione e introduce misure di vigilanza più severe per le autorità nazionali. Inoltre, mira ad armonizzare i regimi sanzionatori tra gli Stati membri e promuovere una maggiore condivisione delle informazioni e cooperazione nella gestione delle crisi informatiche a livello nazionale e dell’Unione.

Approfondimenti:

• Nuove norme per rafforzare la cibersicurezza dei soggetti e delle reti critici dell’UE