Direttiva NIS2: ha inizio la fase operativa e che nessuno resti indietro

La voce (preoccupata) delle associazioni professionali

Le associazioni di professionisti e aziende alla luce della NIS2 e della prospettiva di compliance esprimono pareri contrastanti: dalla preoccupazione all’offerta di collaborazione, dal terrore, alla completa disponibilità per ogni esigenza di attuazione.

È Paola Generali, presidente di Assintel, la prima a parlare delle difficoltà di chi supporta e di chi deve osservare i regolamenti nell’ambito PMI. Spiega infatti che “implementare è difficile a causa del mindset diffuso fra le piccole e medie imprese. La percezione è quella di una imposizione. Il principale e immediato approccio passa per un audit tecnico che funzioni da checkup ma subito a seguire si presenta un problema di costi e di competenze per fare quanto necessario”.

La proposta suggerita da Assintel sta in una compliance finanziata per le azione PMI, piuttosto che farla apparire come una addendum alle cose da fare. “Supportare le PMI significa aiutarle anche economicamente”, conclude la Generali.

Associso, per voce del suo presidente Yuri Rassega, richiede di “ascoltare chi è in trincea occupandosi di quelle persone che poi scaricano a terra sui sistemi”.

Dello stesso parere AIPSA che, con il suo presidente Alessandro Manfredini, sostiene una “sicurezza partecipata e non delegabile, perché ognuno di noi deve fare il suo compito. I tavoli di lavoro tecnici un ottimo modo per incubare idee e scambiare e condividere, prima del disegno della misura tecnica attuativa”. L’auspicio rivolto da ACN è quello di “trovare momenti di condivisione per sostenere le aziende e un servizio al Paese”.

È dall’AIAD che arriva “un sentimento di diffuso terrore” per voce del suo presidente Giuseppe Cossiga, che sottolinea anche alcune stranezze legate al ‘manchismo’: “alcune aziende e soggetti mancano dalla lista dei soggetti NIS ma devono ottemperare lo stesso; mancano inoltre le risorse finanziare per la PA e il sostegno ai privati del tutto assenti anche nel DDL Cybersicurezza” (attualmente legge 90 del 2024 n.d.r.).

Il presidente di AIAD sottolinea, inoltre, la preoccupazione legata ai temi di sovranità nazionale: “colpisce la soluzione adottata per i Paesi la cui industria dovrebbe assicurare la cyber sicurezza nazionale italiana. Oltre all’industria nazionale e a quella europea si è scelto di estendere non soltanto ai Paesi Nato ma anche a quelli che hanno accordi con la Nato. In buona sostanza allargare eccessivamente il campo suscita perplessità di non poco conto in ordine al perseguimento, già di per sé complesso, di una sovranità paritetica condivisa”.

Infine, Anitec assinform, per voce del suo presidente Gianmatteo Manghi, vede con favore alla NIS2 per “interessare l’intera filiera produttive su tre obiettivi: tecnologie nativamente sicure, sviluppare le competenze x la sicurezza e i processi come elementi fondamentali attuativi”, dichiarandosi “a disposizione per collaborare alla applicazione della NIS2 e renderla efficace ed efficiente”.

Osservazioni finali

Nonostante l’esigenza e la disponibilità a cooperare, non vi è garanzia di successo se non si concordano alcuni elementi specifici.

Alcuni esempi a seguire rappresentano casistiche sui cui dettagli si giocherà la partita dell’efficacia dell’attuazione NIS2:

1. Le attività di registrazione dei soggetti NIS richiedono un accesso mediante identificazione certa del soggetto che opera come punto di contatto, che per effettuare dichiarazioni per conto della propria entità deve essere in possesso di deleghe esplicite ma deve anche capire cosa sta dichiarando. Questa caratterizzazione del punto di contatto, non è immediatamente nativo per tutte le organizzazioni: la delega estesa, potrebbe essere in contrasto con le politiche di ‘segregation of duties’ (SOD) e con le logiche del ‘Need to know’ che nelle grandi organizzazioni sono normali prassi di security. Inoltre, non tutte le aziende hanno una organizzazione dei ruoli e responsabilità perfettamente definite con deleghe esplicite e talvolta i soggetti di security sono innestati in strutture IT che hanno obiettivi e commitment diversi.
2. La numerosa e annunciata emissione di determine e DPCM attuativi dalla NIS2, come anche l’importante normazione Europea per la Digital Europe richiedono di seguire costantemente ogni nuovo atto in uscita: attività necessaria, ma che richiede tempo. Ecco perché da qualche tempo, da più voci delle associazioni di professionisti della security è sorta la richiesta/esigenza di trasformare la copiosa quantità di normative, in un testo unico sulla cyber security e i suoi obblighi, esattamente come si fa per la normativa sulla sicurezza sul lavoro, che tra l’altro condivide con il modello della cyber security alcuni elementi fondanti: modello attuativo basato sul profilo di rischio, la notifica di incidenti, la a formazione preventiva.
3. Se è vero che per ogni ambito tecnico è necessario avere personale aziendale in grado di capirlo e attuarlo garantendo compliance ma anche efficacia operativa (notifiche incidenti, compilazione rapporti), allora è da osservare che raramente le PMI hanno figure di questo tipo e spesso accade anche le medie imprese che non assumono personale interno preposto alla sicurezza, per contenere i costi. Ma una possibile soluzione in questo caso potrebbe essere il ricorso a figure di intermediario della sicurezza (prese in outsourcing o consulenziali o previste presso entità territoriali come servizio dell’associazione) che possano supportare la raccolta dei dati, la compilazione dei documenti, esattamente come il pubblico ufficiale di Polizia e Carabinieri raccoglie le denunce presso gli uffici e le questure nazionali.