La Direttiva UE 2022/2555, nota come NIS 2, segna un cambiamento significativo nel panorama della cybersicurezza europea. Questa normativa mira a stabilire un livello comune di cybersicurezza tra gli Stati Membri, imponendo rigorosi obblighi alle organizzazioni operanti in settori considerati critici.

L’obiettivo primario della NIS 2 è quello di favorire la diffusione di un approccio di gestione basato sull’identificazione, valutazione e mitigazione del rischio di attacco informatico. È solo infatti valutando e riconoscendo la presenza del rischio che diventa possibile definire un piano di azione e prevenzione in grado di proteggere il business e i suoi utenti in caso di incidente. Dunque, per le imprese si tratta di adottare un processo di risk assessment che comprenda:

• L’individuazione degli eventi cyber potenzialmente disastrosi che meritano un approfondimento accurato
• La valutazione di tali eventi per stimarne il livello di rischio e la gravità che rappresenterebbe per l’attività del business. In questo caso, operazioni di vulnerability assessment e penetration test sono ideali
• La predisposizione delle misure di prevenzione e protezione, ovvero la pianificazione di un incident response per gestire gli eventuali incidenti informatici
• L’implementazione delle misure di prevenzione e protezione individuate, cioè la predisposizione di un piano di continuità di business e gestione della crisi.
• Il monitoraggio periodico e revisione delle misure adottate tenendo presente che la NIS 2, al fine di responsabilizzare tutti gli attori coinvolti nella supply chain, impone a tutti i fornitori di disporre di adeguati requisiti in termini di sicurezza.