Quali sono gli obblighi della Direttiva NIS2?
Con la prima NIS e ora con la direttiva NIS2, l’UE si propone di implementare un sistema che a livello continentale sia in grado di garantire elevati standard di sicurezza informatica, con misure unificate per monitorare e gestire al meglio tutti i sistemi digitali, instaurando anche un vero e proprio network europeo dedicato alla cybersecurity che prevede e incoraggia la trasparenza e la cooperazione tra i diversi stati membri dell’Unione.
Non solo, infatti, vengono previste policy condivise e best practice adottabili suggerite, ma le diverse nazioni sono inoltre tenute a segnalazioni e condivisioni di informazioni su eventuali incidenti informatici o attacchi, per poter dare vita a risposte tempestive e coordinate su tutto il territorio europeo a qualsiasi minaccia alla cybersecurity.
A chi si rivolge la Direttiva NIS2?
La Direttiva NIS2 si rivolge a tutte le aziende e i fornitori di servizi che sono parte del sistema nazionale, con una distinzione in tre fasce di interesse, dalle quali vengono generalmente escluse le piccole e le micro imprese:
- Servizi Essenziali, che riguardano le industrie fondamentali per la sopravvivenza come energia, acqua, trasporti. In caso di malfunzionamenti o gravi incidenti, infatti, la loro sospensione anche temporanea causerebbe gravi disagi ai cittadini. Non a caso in questa categoria rientrano, per esempio, anche alcuni settori della Pubblica Amministrazione.
- Servizi Digitali, come piattaforme online, search engine, e così via, il cui rispetto delle normative è fondamentale non solo per imprese e aziende ma anche per i comuni utenti, che devono avere garantiti i propri diritti, come il rispetto della propria privacy e dei dati personali.
- Servizi Critici, come produzione e distribuzione di apparecchiature sanitarie e chimiche, produzione e distribuzione nell’industria alimentare, mezzi di trasporto ed elettrodomestici. Sono quindi servizi importanti e naturalmente è necessario che le grandi e medie imprese di questi settori si adeguino alle nuove normative per garantire a tutta la popolazione un sistema preparato e che, soprattutto, funziona.
NIS2: come e su cosa adeguarsi?
La Direttiva NIS2 comprende molteplici punti specifici su regolamentazioni e obblighi, che si basano su:
- gestione dei rischi e l’adozione di policy aziendali di protezione e sicurezza dei sistemi;
- reti e sistemi di emergenza da attivare in caso di malfunzionamenti, attacchi o incidenti;
- rafforzare e mettere in sicurezza tutte le catene di approvvigionamento e dei rapporti con i fornitori interni ed esterni;
- sicurezza aziendale interna e formazione;
- monitorizzazione della sicurezza e delle comunicazioni interne ed esterne alle aziende e, in generale, a tutta la manutenzione e alla messa in sicurezza delle reti informatiche.
Questo elenco, naturalmente, offre solo una panoramica generale. Per un’analisi approfondita vi rimandiamo nuovamente all’articolo di Smart Flow. È evidente, però, che la Direttiva NIS2 non si limita a migliorare l’approccio alla sicurezza informatica, ma punta a stabilire un nuovo standard europeo, più uniforme e conforme, per affrontare le sfide della cybersicurezza in modo coordinato su tutto il territorio dell’Unione Europea.
Un futuro informatico più coeso e responsabile
È arrivato il momento per tutte le aziende italiane di adottare un approccio responsabile verso un sistema digitale più sicuro, coeso e affidabile. Noi siamo pronti a fare la nostra parte. E tu?
Smart Flow, per i lettori del nostro blog, offre una consulenza gratuita a prova di compliance. Per saperne di più, clicca qui.
Che significa Privacy by Design? Qual è la sua funzione?
Il GDPR stabilisce l’obbligo legale per tutti i Paesi UE di incorporare la protezione dei dati personali nella progettazione, nelle operazioni ICT, nelle infrastrutture tecniche di servizio e nelle pratiche di business.
Oggi per le aziende dover gestire i dati personali dei propri utenti, prevenendo a monte i rischi legati alla loro raccolta e conservazione, è diventata dunque una necessità imprescindibile dell’adozione del principio della Privacy by Design secondo il quale:
“Tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, come anche dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche costituiti dal trattamento, sia al momento di determinare i mezzi del trattamento sia all’atto del trattamento stesso il titolare del trattamento mette in atto misure tecniche e organizzative adeguate, quali la pseudonimizzazione, volte ad attuare in modo efficace i principi di protezione dei dati, quali la minimizzazione, e a integrare nel trattamento le necessarie garanzie al fine di soddisfare i requisiti del presente regolamento e tutelare i diritti degli interessati” (Art. 25 co. 1, GDPR).
Il trattamento e la gestione dei dati: una questione di trasparenza
Il trattamento e la gestione dei dati devono essere sempre “formalizzati”, ovvero chiari e trasparenti per l’utente. Perciò diventa essenziale che i gestori assicurino sempre e in modo automatico la protezione dei dati personali in tutti i sistemi IT di propria competenza o nelle attività di business, senza alcuna necessità di azioni da parte dei titolari.
Deve essere garantita la sicurezza durante l’intero ciclo di vita delle informazioni: tutti i dati raccolti devono essere conservati, aggiornati e distrutti, qualora non più necessari, secondo i principi previsti dal GDPR. Nell’ambito di una struttura societaria, inoltre, è obbligatorio garantire agli azionisti che le pratiche di business, così come le tecnologie a supporto, operino secondo gli obiettivi di trasparenza e siano soggette a verifiche indipendenti.
L’interesse dell’utente sempre al centro della PbD
All’interno di questo modello i concetti di privacy e sicurezza hanno entrambi la stessa importanza. Un approccio vincente in materia di privacy e trattamento dati personali è sicuramente quello utente-centrico: gli interessi individuali supportati da procedimenti di protezione dati e un’informativa semplice e chiara sono ingredienti essenziali per trasmettere al proprio pubblico un sentore di fiducia e sicurezza e agire nel rispetto della regolamentazione europea.
Le fasi di assessment, costruzione e mantenimento della PbD aziendale
Il principio della Privacy by Design richiede alcuni importanti passaggi per poter essere attuato efficacemente e raggiungere i risultati sperati. Le fasi principali consistono in:
- valutazione PbD su sistemi, app, servizi;
- rilevazione GAP;
- copertura GAP rilevati;
- audit periodico per l’aggiornamento e il mantenimento della PbD.
Chi sono i destinatari principali della norma?
Il GDPR si rivolge a tutte le aziende che a qualunque titolo, raccolgono, gestiscono o trattano dati personali. In questo senso quindi ogni azienda è soggetta al regolamento, ma alcune categorie devono prestare maggiore attenzione agli adempimenti, in particolare:
- fornitori di servizi telco/hosting;
- web agency;
- help desk diretti o per conto di terzi;
- fornitori di servizi informatici (app mobile, web, software).
In conclusione
La compliance Privacy e il rispetto delle normative europee è al centro del nostro modo di operare. Per questo motivo Synesthesia collabora con Smart Flow, società torinese che offre a grandi aziende, PMI, Pubblica Amministrazione e professionisti le competenze organizzative, tecniche e legali per indirizzare e mantenere la compliance al GDPR.
Se hai domande o feedback, scrivici. Saremo contenti di leggere le tue richieste o le tue opinioni.