Direttiva NIS 2: obblighi di segnalazione per la cybersecurity

A partire dal 18 ottobre 2024 la direttiva (EU) 2016/1148 (Network and Information Security, “NIS”) verrà abrogata dalla direttiva (EU) 2022/2555 (di seguito “NIS 2” o “la Direttiva”), la quale ridefinisce obblighi e principi in materia di cybersecurity a cui gli Stati Membri dovranno adeguare le loro normative. Tralasciando le categorie di obblighi che ricadono sui destinatari previste dall'art. 21, che saranno oggetto di un altro contributo, nel presente articolo verranno approfonditi quelli di segnalazione ed il sistema di condivisione delle informazioni.

Come noto, lo strumento della notifica appare utile per due ordini di motivi: il primo riguarda la facoltà del soggetto di richiedere il supporto del proprio CSIRT ai fini della gestione dell'incidente; in tale contesto è dunque prodromico a tale scopo il potenziamento della rete di CSIRT richiesto dalla normativa; il secondo motivo riguarda invece l'importanza di tali informazioni ai fini della cyber threat intelligence, per cui maggiore è la disponibilità di dati, maggiore sarà la capacità degli operatori di ricostruire un trend di minacce ed anticiparlo.

L'obbligo di segnalazione

Preliminarmente occorre accennare a quanto d...