Rimanere aggiornati sulle più recenti direttive normative e di compliance è fondamentale per garantire che la tua organizzazione non violi le misure pensate per proteggere la tua azienda, i tuoi clienti e i tuoi partner commerciali dalle minacce di cybersecurity. Questo articolo illustra lo stato attuale di due direttive chiave NIS2 e spiega perché è importante essere conformi. Come per qualsiasi normativa introdotta, la non conformità può comportare danni sia finanziari sia reputazionali. In alcuni casi, come per la direttiva NIS2, le sanzioni possono arrivare fino a 10 milioni di euro.
Per i membri dell’Unione Europea (UE) e per coloro che fanno affari con entità europee, due delle principali direttive da monitorare sono NIS2 (Direttiva sulla sicurezza delle reti e dei sistemi informativi) e DORA (Digital Operational Resilience Act). Entrambe sono progettate per rafforzare la cybersecurity e la resilienza operativa nei settori essenziali e importanti.
Poiché i progressi verso l’adeguamento a queste normative possono variare, rimanere aggiornati sui requisiti e lavorare attivamente per soddisfarli consente di migliorare e rendere più coerenti gli sforzi di sicurezza dei dati.
“Che tu sia un’organizzazione essenziale o importante nell’UE, o un partner di un’organizzazione con sede nell’UE, implementare tecnologie solide per proteggere i dati sensibili può aiutarti a rispettare i maggiori obblighi richiesti,” ha dichiarato Eduard Sesaras, Lead Solutions Engineer di GoAnywhere MFT. “L’MFT, ovvero il Managed File Transfer, può aiutare le organizzazioni essenziali a scambiare informazioni critiche per il business in modo sicuro, riducendo il rischio di errore umano.”
Fondamenti della NIS2
La prima direttiva NIS, introdotta nel 2016, aveva l’obiettivo di migliorare la sicurezza informatica dei servizi essenziali nell’UE. Ha stabilito requisiti di sicurezza di base per i settori industriali critici e definito diversi obiettivi chiave:
- Rafforzamento dei requisiti di sicurezza nell’UE, in particolare per i settori critici
- Estensione dell’ambito dei settori considerati essenziali e importanti, e quindi soggetti ai requisiti NIS2
- Requisiti più stringenti in materia di sicurezza e gestione del rischio, inclusi migliori meccanismi di segnalazione degli incidenti e protezione delle reti e dei sistemi informativi
- Maggiore attenzione alla sicurezza della supply chain, per garantire che i fornitori terzi rispettino gli standard di cybersecurity
- Maggiori poteri alle autorità nazionali per applicare sanzioni in caso di non conformità
La NIS2, entrata in vigore il 15 gennaio 2023, mira ad ampliare questi obiettivi. Estende l’elenco dei settori considerati critici per l’economia e fondamentali per garantire la stabilità finanziaria, la salute e la capacità di comunicazione dei Paesi. Queste funzioni essenziali richiedono la conformità ai requisiti stabiliti dalla NIS2.
I settori coinvolti includono:
- Trasporti
- Bancario
- Energia
- Sanità
- Infrastrutture digitali
- Servizi postali
- Spazio
- Pubblica amministrazione
- Fornitori di telecomunicazioni
- Gestori di servizi informatici e di comunicazione
Inoltre, la NIS2 chiarisce ulteriormente la classificazione delle entità come “essenziali” o “importanti”, prevedendo controlli più rigorosi per i settori definiti “essenziali”.
La NIS2 richiede anche alle organizzazioni di segnalare qualsiasi incidente significativo di cybersecurity entro 24 ore. Sono state adottate specifiche normative che definiscono cosa si intende per “incidente significativo”, includendo criteri come soglie di perdita finanziaria e interruzioni operative.
Stato attuale della NIS2 e perchè è importante
Le direttive aggiornate sono applicabili nell’Unione Europea da ottobre 2024. Al momento della stesura, solo una manciata dei 27 Stati membri era conforme ai requisiti della NIS2, ma molti Paesi dovrebbero completare l’adeguamento entro l’inizio del 2025. È possibile monitorare lo stato di ciascun Paese UE tramite il NIS2 Tracker. (Al 15 Aprile 2026, solo sei Stati membri — Belgio, Croazia, Grecia, Italia, Lituania e Romania — hanno recepito completamente la direttiva NIS2 nelle rispettive legislazioni nazionali.)
La versione rafforzata della NIS2 introduce anche sanzioni più severe per la non conformità, che possono arrivare fino a 10 milioni di euro o al 2% del fatturato annuo, a seconda di quale importo sia maggiore. Questo può variare tra gli Stati membri, poiché l’implementazione della direttiva nelle leggi nazionali è responsabilità di ciascun Paese.
Sono previste sanzioni anche nel caso in cui le organizzazioni non segnalino un incidente significativo di cybersecurity entro la finestra di 24 ore. Inoltre, le organizzazioni non conformi possono essere soggette a richiami pubblici, avvertimenti e persino restrizioni operative.
Le soluzioni di MFT svolgono un ruolo fondamentale nel soddisfare i requisiti di sicurezza dei dati all’interno della UE
La conformità alle direttive NIS2 può essere semplificata grazie a una soluzione completa e robusta di Managed File Transfer (MFT). L’MFT riduce il carico delle attività manuali e il rischio di errore umano legato ai processi necessari per lo scambio sicuro di dati sensibili.
“Con una soluzione MFT, le organizzazioni nell’UE e i loro partner possono essere certi che i file finanziari e altri dati sensibili siano protetti sia durante il trasferimento sia nella fase di “messa a disposizione” delle controparti. Inoltre, le organizzazioni “essenziali” e importanti possono conformarsi più facilmente ai requisiti della NIS2 grazie a una soluzione centralizzata per il trasferimento dei file,” ha aggiunto Seseras. “Funzionalità come i protocolli di crittografia, insieme a misure di sicurezza proattive per bloccare le minacce prima ancora che accedano all’ambiente MFT, possono essere integrate in ogni fase del processo di trasferimento. Inoltre, le probabilità di errore umano diminuiscono significativamente quando queste misure di sicurezza sono automatizzate.”
Una soluzione MFT robusta consente di soddisfare in modo efficiente i principali requisiti di compliance:
- Segnalazione degli incidenti: le funzionalità di auditing e reporting aumentano la visibilità, consentendo indagini tempestive e una corretta segnalazione degli incidenti, un principio chiave sia per NIS2 che per DORA.
- Gestione del rischio: i dati sono protetti sia in transito sia nella fase di “messa a disposizione” delle controparti tramite solidi protocolli di crittografia, soddisfacendo i requisiti relativi a memorizzazione, trasmissione e protezione dei dati.
- Archiviazione e conservazione sicura dei dati: GoAnywhere protegge i file sia durante il trasferimento sia nella fase di “messa a disposizione” delle controparti. Utilizza crittografia end-to-end (TLS, SSH, FTPS) per i dati in movimento e AES (Advanced Encryption Standard) per i dati archiviati.
- Sicurezza della supply chain: le organizzazioni possono definire e limitare chi può inviare, ricevere o accedere ai file, grazie a controlli granulari sugli accessi. NIS2 richiede un’attenta gestione della sicurezza dei fornitori terzi.
- Sicurezza dei sistemi: GoAnywhere è progettato con un approccio “secure by design” e funge da gateway sicuro per i trasferimenti, limitando l’accesso diretto ai sistemi interni. Offre diverse opzioni di configurazione, come blocco automatico degli IP, policy sulle password, controlli di accesso e algoritmi di crittografia.
- Governance dei dati in caso di crisi: può essere configurato per alta disponibilità, con load balancing e clustering, oltre a supportare siti di disaster recovery per garantire la protezione delle informazioni critiche.
- Protezione dei dati personali (GDPR): i protocolli di crittografia integrati assicurano la protezione dei dati personali in conformità al GDPR e ad altre normative sulla privacy.
- Controllo degli accessi e integrità dei dati: requisiti di autenticazione avanzati, inclusa l’autenticazione a più fattori (MFA), permettono di gestire in modo preciso accessi e permessi per ogni utente.
- Audit e responsabilità: funzionalità dettagliate di auditing e reporting supportano la tracciabilità e la responsabilità, in linea con i requisiti normativi.
I vantaggi della sicurezza proattiva di GoAnywhere MFT
A supporto della gestione del rischio contribuisce anche la sicurezza proattiva di Threat Brain, una funzionalità di threat intelligence unica nel suo genere integrata in GoAnywhere. Questa funzione raccoglie indicatori provenienti dall’ampio portafoglio di soluzioni di cybersecurity di Fortra, permettendo di identificare e bloccare in modo continuo gli indirizzi IP con cattiva reputazione o intenzioni malevole prima che tali minacce possano entrare nell’ambiente MFT.
