Cosa è e cosa prevede

La NIS 2 (Direttiva UE 2022/2555) è una direttiva dell’Unione Europea entrata in vigore il 17 gennaio 2023 che ha introdotto nuove misure di cybersecurity per gli Stati membri. L’obiettivo della NIS 2 è creare un livello comune elevato di cibersicurezza e migliorare la resilienza e le capacità di risposta agli incidenti dell’UE.

I soggetti della direttiva sono classificati in due categorie, soggetti essenziali e importanti, in funzione della loro importanza per il settore o il tipo di servizi che forniscono, nonché delle loro dimensioni.

La direttiva NIS 2 si applica a soggetti pubblici o privati di medie o grandi dimensioni dei seguenti settori:

•  settori ad alta criticità: energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, settore sanitario, acqua potabile, acque reflue, infrastrutture digitali, gestori di servici Tlc b2b, pubblica amministrazione e settore spazio;

•  altri settori critici: servizi postali e di corriere; gestione dei rifiuti; fabbricazione, produzione e distribuzione di sostanze chimiche; produzione, trasformazione e distribuzione di alimenti; fabbricazione (in sei sottosettori: dispositivi medici e medico-diagnostici in vitro; computer e prodotti di elettronica e ottica; apparecchiature elettriche; macchinari e apparecchiature n.c.a.; autoveicoli, rimorchi e semirimorchi; altri mezzi di trasporto); fornitori di servizi digitale; ricerca.

Indipendentemente dalla dimensione, la NIS 2 si applica anche ai soggetti critici e ai fornitori di servizi di registrazione di dominio.

La direttiva si applica anche alle PA centrali e regionali, mentre è il singolo Stato a decidere se applicarla anche alle PA locali e, inoltre, agli istituti d’istruzione che svolgono attività di ricerca critiche.