Cosa è successo? - Una nuova guida sulla direttiva NIS-2
Deutsche Rechenzentren GmbH (DeRZ) ha pubblicato una guida completa sulla direttiva NIS-2. Il whitepaper si rivolge in modo mirato a gestori di data center, responsabili IT e Managed Service Provider. La guida intende offrire orientamento in un contesto normativo che, secondo la valutazione degli autori, viene tuttora sottovalutato da molte aziende.
L'approccio concreto del documento si concentra in particolare sull'infrastruttura IT e affronta i requisiti di cybersicurezza inaspriti che accompagnano la direttiva europea NIS-2.
I dettagli - Requisiti più severi con la NIS-2
Con la direttiva NIS-2 l'Unione Europea ha inasprito radicalmente i requisiti di cybersicurezza per le infrastrutture critiche. In Germania la direttiva è stata recepita in modo vincolante alla fine dello scorso anno con la nuova legge sul BSI. Gli effetti sono più ampi di quanto inizialmente ipotizzato.
Un ambito di applicazione più esteso
Non sono più coinvolti soltanto i classici gestori KRITIS. Anche i fornitori di colocation, le aziende di hosting e i fornitori di servizi IT a partire da 50 dipendenti o 10 milioni di euro di fatturato annuo rientrano nell'ambito di applicazione - spesso senza saperlo. Queste soglie rendono evidente che la cybersicurezza diventa un «obbligo diffuso» e interessa un numero di aziende decisamente maggiore rispetto al passato.
Sicurezza fisica al centro dell'attenzione
Un aspetto centrale della guida DeRZ è la sicurezza fisica dei data center - un ambito a lungo sottovalutato nella compliance IT. La NIS-2 chiarisce che controllo accessi, alimentazione elettrica e protezione antincendio devono essere componenti di pari rango di una gestione del rischio documentata.
Sanzioni severe e obblighi di notifica
Il nuovo quadro giuridico comporta severi obblighi di notifica in caso di incidenti di sicurezza. Particolarmente delicato: è espressamente prevista la responsabilità personale della direzione aziendale. Le sanzioni possono arrivare fino a 10 milioni di euro o al 2 per cento del fatturato annuo globale.
Inquadramento - Perché questo sviluppo è rilevante
La pubblicazione della guida dimostra che il settore ha riconosciuto la necessità di agire. La NIS-2 segna un cambio di paradigma nella cybersicurezza: ciò che in passato riguardava solo i grandi gruppi e le infrastrutture critiche diventa ora un obbligo per una cerchia di aziende molto più ampia.
Per il settore della sicurezza ne derivano nuovi ambiti di business. Le aziende che finora hanno investito poco in misure di sicurezza fisica devono ripensare radicalmente la propria infrastruttura. Ciò riguarda in particolare:
- Sistemi moderni di controllo accessi per i data center
- Concetti di sicurezza documentati e gestione del rischio
- Integrazione di misure di sicurezza fisica e informatica
- Procedure di monitoraggio e notifica conformi alla normativa
Consigli pratici per le aziende interessate
Secondo l'annuncio, la guida di DeRZ spiega quali requisiti si applicano, come valutare il proprio stato di assoggettamento e quali passi siano ora opportuni. Per le aziende potenzialmente interessate è consigliabile un approccio sistematico:
Verificare il proprio stato
Innanzitutto le aziende dovrebbero verificare se rientrano nelle nuove regole. Le soglie di 50 dipendenti o 10 milioni di euro di fatturato annuo comprendono un numero di aziende nettamente superiore rispetto alle precedenti regole KRITIS.
Una visione olistica della sicurezza
La NIS-2 richiede un approccio olistico che tratti sicurezza informatica e sicurezza fisica sullo stesso piano. Ciò significa che misure di sicurezza tradizionali come il controllo accessi e la videosorveglianza devono ora entrare a far parte del concetto di cybersicurezza documentato.
Documentazione e processi
Una gestione del rischio documentata diventa obbligatoria. Le aziende devono essere in grado di dimostrare di aver implementato adeguate misure tecniche e organizzative.
Prospettive - Cosa comporta il nuovo quadro giuridico
La pubblicazione della guida DeRZ è un indicatore del fatto che l'attuazione della NIS-2 è ormai arrivata nella pratica. Con l'entrata in vigore della nuova legge sul BSI alla fine dello scorso anno inizia per molte aziende una nuova era della cybersicurezza.
Per il settore della sicurezza ciò significa nuove opportunità, ma anche la necessità di prepararsi a requisiti più complessi. L'integrazione di sicurezza informatica e sicurezza fisica diventa lo standard, il che accresce l'importanza anche delle soluzioni di sicurezza classiche come i sistemi di controllo accessi e la tecnologia di videosorveglianza.
Le aziende che agiscono ora e adeguano di conseguenza la propria infrastruttura di sicurezza non sono soltanto conformi alla normativa, ma anche meglio protette contro le crescenti minacce informatiche. La guida di DeRZ rappresenta in questo senso un valido supporto per attuare nella pratica i complessi requisiti della direttiva NIS-2.
