L’obiettivo primario della NIS 2 è quello di favorire la diffusione di un approccio di gestione basato sull’identificazione, valutazione e mitigazione del rischio di attacco informatico. È solo infatti valutando e riconoscendo la presenza del rischio che diventa possibile definire un piano di azione e prevenzione in grado di proteggere il business e i suoi utenti in caso di incidente. Dunque, per le imprese si tratta di adottare un processo di risk assessment che comprenda:

• l’individuazione degli eventi cyber potenzialmente disastrosi che meritano un approfondimento accurato;
• la valutazione di tali eventi per stimarne il livello di rischio e la gravità che rappresenterebbe per l’attività del business. In questo caso, operazioni di vulnerability assessment e penetration test sono ideali;
• la predisposizione delle misure di prevenzione e protezione, ovvero la pianificazione di un incident response per gestire gli eventuali incidenti informatici;
• l’implementazione delle misure di prevenzione e protezione individuate, cioè la predisposizione di un piano di continuità di business e gestione della crisi;
• il monitoraggio periodico e revisione delle misure adottate tenendo presente che la NIS 2, al fine di responsabilizzare tutti gli attori coinvolti nella supply chain, impone a tutti i fornitori di disporre di adeguati requisiti in termini di sicurezza.

L’articolo 21 del NIS2 obbliga gli Stati membri a garantire che le entità essenziali e importanti gestiscano il rischio implementando sistemi, policy e best practice efficaci che coprano un’ampia gamma di misure e discipline di cybersecurity, tra cui la continuità operativa, come la gestione dei backup e il ripristino di emergenza.

È  necessario dunque:

• adottare sistemi di monitoraggio delle infrastrutture tecnologiche per conoscere in tempo reale lo stato delle soluzioni informatiche;
• prevedere adeguati sistemi di protezione da attacchi informatici o eventi dannosi;
• dotarsi di procedure di backup dei dati;
• dotare l’infrastruttura – specialmente nei nodi critici – di elementi di ridondanza in grado di assicurare l’affidabilità dell’intero sistema di elaborazione dati;
• implementare processi di Disaster Recovery per il ripristino delle infrastrutture e dei dati nel più breve tempo possibile e con il minore impatto sull’operatività aziendale.

La direttiva NIS2 impone ad ogni entità critica, obblighi di notifica per gli incidenti che hanno un “impatto significativo” sulla fornitura dei loro servizi. Queste notifiche devono essere effettuate presso l’autorità competente o il CSIRT (Computer Security Incident Response Team) pertinente.

Obblighi di notifica multi-livello
Early Warning
Entro 24 ore dal momento in cui si viene a conoscenza dell’incidente.

Official Incident Notification
Entro 72 ore dall’inizio dell’incidente.

Intermediate Status Report
Su richiesta del CSIRT o dell’autorità competente pertinente.

Final Report
Entro un mese dall’inizio dell’incidente.

Relazione finale
Descrizione dettagliata dell’incidente, compresi la gravità e l’impatto, il tipo di minaccia o la causa principale che probabilmente ha scatenato l’incidente, le misure di mitigazione applicate e in corso e, nel caso, l’impatto transfrontaliero dell’incidente.