Il Consiglio ha adottato una legislazione per un elevato livello comune di sicurezza informatica in tutta l’Unione, per migliorare ulteriormente la resilienza e le capacità di risposta agli incidenti sia del settore pubblico e privato che dell’UE nel suo complesso. La nuova direttiva, denominata “NIS2”, sostituirà l’attuale direttiva sulla sicurezza delle reti e dei sistemi informativi (direttiva NIS).
Una più forte gestione e cooperazione dei rischi e degli incidenti
La NIS2 stabilirà la base per le misure di gestione del rischio di cybersicurezza e gli obblighi di comunicazione in tutti i settori coperti dalla direttiva, come l’energia, i trasporti, la sanità e le infrastrutture digitali. La direttiva rivista mira ad armonizzare i requisiti di sicurezza informatica e l’attuazione delle misure di sicurezza informatica nei diversi Stati membri. A tal fine, definisce le regole minime per un quadro normativo e stabilisce i meccanismi per una cooperazione efficace tra le autorità competenti in ogni Stato membro. Aggiorna l’elenco dei settori e delle attività soggette agli obblighi di cybersecurity e prevede rimedi e sanzioni per garantirne l’applicazione. La direttiva istituirà formalmente la rete dell’Organizzazione europea di collegamento per le crisi informatiche, EU-CyCLONe, che sosterrà la gestione coordinata di incidenti e crisi di cybersicurezza su larga scala.
Ampliamento del campo di applicazione delle norme
Mentre con la vecchia direttiva NIS gli Stati membri erano responsabili della determinazione dei soggetti che avrebbero soddisfatto i criteri per qualificarsi come operatori di servizi essenziali, la nuova direttiva NIS2 introduce una regola dimensionale come regola generale per l’identificazione dei soggetti regolamentati. Ciò significa che tutte le entità di medie e grandi dimensioni che operano nei settori o forniscono servizi coperti dalla direttiva rientreranno nel suo campo di applicazione. Sebbene la direttiva riveduta mantenga questa regola generale, il suo testo include disposizioni aggiuntive per garantire la proporzionalità, un livello più elevato di gestione del rischio e criteri di criticità ben definiti per consentire alle autorità nazionali di determinare ulteriori entità coperte. Il testo chiarisce inoltre che la direttiva non si applicherà agli enti che svolgono attività in settori quali la difesa o la sicurezza nazionale, la pubblica sicurezza e le forze dell’ordine. Anche la magistratura, i parlamenti e le banche centrali sono esclusi dal campo di applicazione. Il NIS2 si applicherà anche alle amministrazioni pubbliche a livello centrale e regionale. Inoltre, gli Stati membri possono decidere che si applichi anche a tali enti a livello locale.
Altri cambiamenti introdotti dalla nuova legge
Inoltre, la nuova direttiva è stata allineata alla legislazione specifica del settore, in particolare al regolamento sulla resilienza operativa digitale per il settore finanziario (DORA) e alla direttiva sulla resilienza delle entità critiche (CER), per fornire chiarezza giuridica e garantire la coerenza tra la NIS2 e questi atti. Un meccanismo volontario di apprendimento tra pari aumenterà la fiducia reciproca e l’apprendimento dalle buone pratiche e dalle esperienze nell’Unione, contribuendo così a raggiungere un elevato livello comune di sicurezza informatica. La nuova legislazione razionalizza inoltre gli obblighi di segnalazione per evitare di causare un eccesso di segnalazioni e di creare un onere eccessivo per i soggetti interessati.
I prossimi passi
La direttiva sarà pubblicata nella Gazzetta ufficiale dell’Unione europea nei prossimi giorni ed entrerà in vigore il ventesimo giorno successivo alla pubblicazione. Gli Stati membri avranno 21 mesi di tempo, a partire dall’entrata in vigore della direttiva, per incorporare le disposizioni nel loro diritto nazionale.
