Direttive NIS2 e ESG: lo scenario
In questi giorni, tutti gli addetti della cybersecurity che operano in settori considerati critici per il Sistema Paese, si stanno organizzando per compiere passaggi importanti finalizzati alla compliance aziendale alla Direttiva NIS2 (Network and Information Systems Directive 2).
Tutte le organizzazioni considerate rilevanti per il paese, hanno effettuato, entro il 28 febbraio scorso la registrazione sul portale dell’ACN (Agenzia Cybersicurezza Nazionale) per poter ottemperare alla prima tassativa scadenza volta al rispetto della NIS2.
Entro aprile poi l’ACN provvederà a notificare alle aziende interessate la loro inclusione nel sistema di sicurezza nazionale da cui dovranno partire i percorsi di adeguamento alla Direttiva.
Tale norma mira a migliorare la sicurezza informatica e la resilienza dei sistemi e delle reti informatiche nel mercato unico.
La direttiva NIS2 rappresenta un aggiornamento della precedente direttiva NIS (2016/1148), e si concentra su un ampliamento delle categorie di soggetti coinvolti, nonché sull’introduzione di requisiti più stringenti in materia di sicurezza informatica.
Il recepimento della NIS2 in Italia
Prima di procedere con la trattazione è necessario analizzare i presupposti che hanno dato origine ad una evoluzione normativa in un settore così attuale come quello della cybersecurity. Il Decreto Legislativo 17 novembre 2022, n. 182 e il Decreto Legislativo 4 settembre 2024, n. 138 sono entrambi legati al recepimento della Direttiva NIS2 (Direttiva (UE) 2022/2555, ma attualmente solo il Decreto Legislativo 138/2024 è in vigore. Forse, una breve cronistoria è necessaria per comprendere meglio l’evoluzione normativa.
Decreto Legislativo 17 novembre 2022, n. 182
Questo decreto è stata la prima versione adottata dall’Italia per recepire la Direttiva NIS2. Tuttavia, si trattava di una “versione preliminare”, che doveva essere aggiornata per allinearsi meglio con gli ultimi sviluppi normativi e pratici previsti dalla Direttiva NIS2.
Decreto Legislativo 4 settembre 2024, n. 138:
Questo decreto è la “versione definitiva” del recepimento della Direttiva NIS2 in Italia. È stato adottato per aggiornare e migliorare il precedente decreto, tenendo conto dei cambiamenti normativi europei e delle necessità emerse in fase di implementazione. Attualmente è la norma di riferimento per l’attuazione della Direttiva NIS2 in Italia.
Il Decreto Legislativo 4 settembre 2024, n. 138 è il provvedimento normativo che recepisce la Direttiva NIS2 (Direttiva (UE) 2022/2555) in Italia, apportando modifiche e aggiornamenti al quadro italiano in materia di “Sicurezza delle reti e dei sistemi informativi”.
Tale decreto mira a rafforzare la sicurezza informatica, in particolare per le infrastrutture critiche, le entità pubbliche e le aziende operanti in settori essenziali.
Caratteristiche salienti del Decreto Legislativo 138/2024
Il Decreto Legislativo 138/2024 estende il campo di applicazione rispetto alla normativa precedente (Direttiva NIS) includendo un numero maggiore di settori e organizzazioni coinvolte.
In particolare, la sicurezza informatica deve essere garantita in tutti quei settori “essenziali” come energia, trasporti, sanità, acqua, finanza e fornitori di servizi digitali, così come in un ampio spettro di organizzazioni, incluse le aziende private, che operano in settori cruciali.
I fattori che influsicono su rapporto tra NIS2 e ESG
Le organizzazioni che operano in settori critici sono obbligate ad adottare misure di sicurezza più avanzate per prevenire, rilevare e rispondere a incidenti informatici:
- Obbligo di gestione del rischio: Le aziende devono effettuare una valutazione dei rischi legati alla sicurezza informatica e adottare misure preventive e correttive adeguate.
- Piani di continuità operativa: Le aziende devono essere pronte a garantire la continuità operativa anche in caso di attacchi informatici significativi.
- Notifica degli Incidenti di Sicurezza: Il decreto stabilisce obblighi più stringenti per la segnalazione degli incidenti di sicurezza informatica obbligando le organizzazioni a notificare tempestivamente alle autorità competenti qualsiasi incidente che possa compromettere la continuità dei servizi essenziali.
Inoltre, le aziende devono nominare un referente che abbia competenze specifiche in cybersecurity e che risponda direttamente ai vertici aziendali e che adotti politiche di governance che riguardano la gestione dei rischi informatici e l’implementazione delle misure di sicurezza.
Il decreto prevede inoltre la formazione continua e l’aggiornamento delle competenze in materia di cybersecurity:
Le organizzazioni sono incentivate a formare il proprio personale in modo che possa rispondere adeguatamente agli incidenti e alle minacce informatiche.
Il Decreto Legislativo 138/2024 rappresenta un passo significativo nell’adeguamento dell’Italia alla Direttiva NIS2, con l’obiettivo di rafforzare la sicurezza informatica nazionale e proteggere le infrastrutture critiche da minacce informatiche sempre più sofisticate.
Esso introduce misure rigorose per la gestione dei rischi e la segnalazione degli incidenti, rafforza il ruolo dell’ACN, e impone obblighi di governance e sanzioni per garantire la sicurezza delle reti e dei sistemi informativi in Italia.
La NIS2 e i parametri ESG
Per quanto riguarda i parametri ESG (Environmental, Social, Governance) in relazione alla NIS2, non sono direttamente trattati dalla direttiva, poiché il focus principale della NIS2 è la sicurezza delle informazioni e la resilienza delle reti. Tuttavia, possiamo esaminare alcune connessioni indirette tra i principi ESG e le disposizioni di NIS2, considerando che la sicurezza informatica ha implicazioni importanti sui tre pilastri ESG.
1. Ambiente (Environmental)
Anche se NIS2 non si concentra esplicitamente sull’ambiente, la protezione delle infrastrutture critiche e la gestione sicura delle tecnologie informatiche possono avere impatti indiretti sull’ambiente. Ad esempio:
- Resilienza delle infrastrutture digitali: La sicurezza e la continuità delle operazioni delle reti e dei sistemi informatici contribuiscono alla sostenibilità di queste infrastrutture, riducendo l’impatto di interruzioni che potrebbero comportare danni ambientali o l’impossibilità di gestire risorse naturali in modo efficiente.
- Efficienza energetica: La protezione contro attacchi informatici e la gestione sicura dei dati potrebbero anche contribuire indirettamente a migliorare l’efficienza energetica, impedendo la perdita di risorse in caso di incidenti o cyber attacchi.
2. Sociale (Social)
La sicurezza informatica è un aspetto cruciale per la protezione dei dati sensibili e la privacy, fattori chiave per il pilastro sociale degli ESG. La NIS2 ha un impatto diretto sul settore sociale, poiché prevede l’obbligo di adottare misure di sicurezza per proteggere i dati sensibili da attacchi informatici. Ciò si allinea con i principi di privacy e sicurezza dei dati, che sono essenziali in un contesto ESG.
Le organizzazioni che implementano politiche efficaci di cybersecurity sono percepite come più responsabili socialmente, poiché tutelano i diritti dei propri utenti, clienti e dipendenti.
L’organizzazione deve tendere costantemente al miglioramento della resilienza ossia alla capacità di business continuity, in caso di incidenti informatici, di recuperare rapidamente le proprie funzionalità, abbreviando il più possibile i tempi di “disaster recovery” e contribuendo così al benessere della società in generale, evitando disservizi nei servizi vitali come la sanità, l’istruzione, le comunicazioni.
3. Governance (Governance)
La NIS2 si inserisce direttamente nel campo della governance, poiché stabilisce requisiti normativi e di gestione per le organizzazioni. In questo contesto, le aziende devono dimostrare la loro capacità di gestione del rischio sviluppando politiche di gestione del rischio informatico, in linea con i principi di governance, per prevenire e mitigare le minacce informatiche.
Le imprese devono inoltre rendere conto dei loro sforzi per garantire la sicurezza delle reti e dei sistemi, in modo simile a quanto richiesto dalle normative ESG che chiedono trasparenza nella gestione ambientale e sociale perfezionando anche la propria comunicazione a vantaggio di tutti gli stakeholders.
La NIS2 implica la necessità di strutture di governance che includano la sicurezza informatica, come comitati responsabili della protezione delle informazioni aziendali e della continuità operativa, il che è in linea con le migliori pratiche di governance aziendale.
NIS2 e ESG: conclusioni
Sebbene la direttiva NIS2 non tratti esplicitamente i parametri ESG, esistono connessioni indirette tra la sicurezza informatica, la resilienza delle infrastrutture e gli aspetti sociali e di governance, strettamente legati ai principi ESG.
In particolare, la protezione dei dati, la gestione dei rischi e la trasparenza nella sicurezza sono tutti elementi fondamentali che possono contribuire a migliorare le performance ESG delle aziende, rafforzando la loro responsabilità nei confronti degli stakeholder.
In un contesto sempre più digitale e interconnesso, la sicurezza informatica assume un ruolo cruciale nella governance aziendale, garantendo la continuità operativa, la fiducia degli investitori e la conformità alle normative.
Inoltre, una gestione proattiva dei rischi informatici riduce le possibilità di attacchi che potrebbero compromettere non solo i dati aziendali, ma anche la sicurezza e il benessere delle persone, contribuendo così all’aspetto sociale della sostenibilità.
Per quanto riguarda l’ambiente, pur non essendo un tema direttamente affrontato dalla NIS2, la sicurezza delle infrastrutture digitali può avere un impatto anche in questo ambito. La protezione delle reti critiche è essenziale per evitare interruzioni nei sistemi energetici, nei trasporti e nelle forniture di acqua, settori chiave per la sostenibilità ambientale.
Infine, la gestione responsabile delle risorse IT, inclusa la riduzione del consumo energetico nei data center e l’adozione di soluzioni tecnologiche più efficienti, può contribuire a ridurre l’impatto ambientale delle aziende, allineandosi ai criteri ESG: una sfida per la cybersecurity, una sfida per tutti noi.
