qual è l'obbligo di diligenza secondo la direttiva NIS2 in parole semplici

Dieci misure concrete per gestire i rischi informatici

Il dovere di diligenza significa che un'organizzazione adotta misure appropriate per proteggere i propri sistemi di rete e di informazione, e che può dimostrare quali misure ha adottato. Non si tratta di un singolo documento o di una casella di controllo, ma di un insieme di dieci argomenti che costituiscono insieme la base: dall'analisi dei rischi e dalle politiche alla gestione dei fornitori, alla crittografia, al controllo degli accessi e a ciò che accade in caso di incidente. Chi è soggetto alla Legge sulla sicurezza informatica deve avere organizzato qualcosa su ognuno di questi dieci argomenti — e non solo su carta, ma anche nella pratica.

Dettaglio importante: il dovere di diligenza non è un elenco fisso di prodotti tecnici obbligatori. La parola "appropriato" è determinante — ciò che è appropriato per una grande azienda energetica non è lo stesso di ciò che è appropriato per un fornitore di software di medie dimensioni. Le dimensioni dell'organizzazione, la sensibilità dei dati e il rischio che un guasto o un incidente comporta, svolgono un ruolo. Una panoramica di quali dieci misure devo implementare secondo la direttiva NIS2 mostra come questi argomenti si presentano nel contenuto. Chi già lavora con un sistema di gestione come ISO/IEC 27001 riconosce molti di questi argomenti nelle misure di controllo dell'Allegato A — anche se questo di per sé non è una garanzia di conformità al dovere di diligenza, come illustrato anche in ho ancora bisogno di ISO 27001 se sono già conforme a NIS2.

Da cui deriva: articolo 21 NIS2 e Legge sulla sicurezza informatica

Il dovere di diligenza e le dieci misure sono descritti nell'articolo 21, paragrafo 2 della direttiva NIS2; la Legge sulla sicurezza informatica recepisce questo obbligo nel diritto olandese per le organizzazioni che vi rientrano. L'NCSC fornisce inoltre informazioni su come il dovere di diligenza e l'obbligo di segnalazione si collegano nella pratica. Se un'organizzazione deve stessa conformarsi a questo obbligo dipende dal settore e dalle dimensioni — ciò può essere rintracciato tramite come faccio a sapere se la mia azienda ricade sotto la direttiva NIS2.