NIS 2, cybersecurity nella supply chain: cosa devono fare le aziende

Non è un caso se, a livello europeo, è stata emanata una nuova direttiva, la NIS2, che rappresenta un fondamentale passo avanti per migliorare la sicurezza informatica di alcuni settori chiave, e le aziende in Italia, così come nel resto dell’Unione Europea, dovranno adottare le misure necessarie per conformarsi.

Come tech company di soluzioni in cloud, prendiamo molto sul serio la sicurezza informatica e sappiamo bene che la gestione dei rischi di cybersecurity richiede una vigilanza costante per garantire che ogni processo affronti adeguatamente le potenziali minacce.

Vogliamo quindi fornire una guida sugli obblighi introdotti dalla nuova direttiva, sui settori coinvolti e su cosa devono fare le aziende per adeguarsi entro le scadenze previste.

Cos’è la Direttiva NIS2: ambito e obiettivi

La Direttiva NIS2 (Network and Information Security) è un aggiornamento della precedente direttiva NIS (2016/1148) introdotta dall’Unione Europea per migliorare la sicurezza delle reti e delle informazioni di un’ampia gamma di settori considerati critici, in quanto forniscono servizi essenziali e la loro resilienza informatica è fondamentale per evitare disservizi che potrebbero avere gravi impatti economici e sociali. 

La direttiva mira a creare una strategia comune per elevare i livelli di cybersecurity tra gli Stati membri, includendo non solo le grandi aziende, ma anche organizzazioni più piccole che forniscono servizi essenziali e critici.

L’obiettivo principale della NIS2 è rafforzare la resilienza delle infrastrutture digitali di aziende che operano all’interno dell’Unione Europea, includendo non solo le grandi aziende, ma anche organizzazioni più piccole che forniscono servizi essenziali e critici. La direttiva mira infatti a creare una strategia comune per elevare i livelli di cybersecurity, al fine di incrementare i requisiti di sicurezza e garantire una risposta più rapida e coordinata agli attacchi informatici, ormai sempre più sofisticati.

Secondo la Direttiva NIS2, le aziende devono implementare misure di cybersecurity più avanzate per proteggere dati sensibili e sistemi informativi essenziali, riducendo così il rischio di interruzioni operative causate da attacchi informatici. Le nuove norme impongono inoltre una maggiore collaborazione tra Stati membri e il rafforzamento della cooperazione tra enti pubblici e privati.

Da quando è in vigore la Direttiva NIS2 in Italia e negli altri paesi dell’UE

La Direttiva NIS2 è stata ufficialmente adottata dall’Unione Europea nel 2022 e gli Stati membri, inclusa l’Italia, devono recepirla entro il 18 ottobre 2024. Per il recepimento della direttiva, dopo mesi di attesa il Consiglio dei Ministri italiano ha approvato il Decreto Legislativo 138/2024, pubblicato in Gazzetta Ufficiale il 1° ottobre 2024: le disposizioni sono in vigore dal 16 ottobre 2024. 

Ciò significa che le aziende italiane soggette alla direttiva dovranno adeguarsi alle nuove normative entro questa data. In altri paesi europei, la direttiva entrerà in vigore nello stesso periodo, con date precise che variano a seconda del processo legislativo nazionale.

Paesi come la Germania e la Francia hanno già iniziato a implementare misure per il recepimento della direttiva, mentre altri come Spagna e Paesi Bassi stanno completando il quadro normativo per il rispetto delle scadenze imposte dall’UE. 

Ogni Stato membro è responsabile di integrare la direttiva nella propria legislazione nazionale entro i termini stabiliti e le aziende devono monitorare da vicino i cambiamenti normativi nazionali per essere pronte a rispettare i nuovi obblighi.

Quali aziende sono interessate dalla Direttiva NIS2 

La Direttiva NIS2 ha un ampio spettro di applicazione e riguarda settori considerati essenziali per l’economia e la società. Rientrano fra i settori inclusi energia, trasporti, finanza, sanità, alimentare, manifatturiero, ma anche fornitori di servizi e infrastrutture digitali, gestione dei rifiuti, prodotti chimici, approvvigionamento idrico e servizi postali,  poiché sono industrie che svolgono un ruolo cruciale nel garantire la continuità delle forniture e dei servizi. Vediamone alcuni più nel dettaglio.

Settore dei trasporti 

• Compagnie che forniscono servizi di trasporto merci e passeggeri (ferroviario, aereo, marittimo e stradale).
• Aziende logistiche che gestiscono le catene di fornitura e distribuzione, inclusi i porti e gli aeroporti.
• Fornitori di sistemi informatici per la gestione dei trasporti e del traffico, come il monitoraggio dei veicoli e l’ottimizzazione dei percorsi.

Il settore dei trasporti è uno degli ambiti strategici su cui si concentra la direttiva NIS2. Con un focus crescente sulla digitalizzazione dei processi logistici, la sicurezza dei dati relativi alle spedizioni e alla gestione dei trasporti è diventata critica. Le aziende di trasporto devono garantire la protezione delle informazioni sensibili e dei sistemi che gestiscono le operazioni di trasporto.

Settore manifatturiero 

• Aziende che producono prodotti chimici, macchinari e attrezzature industriali.
• Settori che forniscono materiali e componenti chiave per altre industrie (come l’acciaio e i prodotti finiti che supportano infrastrutture essenziali).
• Industrie che fanno uso di tecnologie IoT per il monitoraggio della produzione e della catena di approvvigionamento.

Le aziende manifatturiere, specialmente quelle che si occupano di produzione automatizzata e digitalizzata, devono anch’esse conformarsi alla NIS2. Le interruzioni nella produzione causate da attacchi informatici possono comportare enormi perdite economiche e impatti sulla supply chain globale. Le industrie con sistemi di produzione basati su IoT e altre tecnologie avanzate devono implementare standard di sicurezza informatica per mitigare i rischi.

Settore alimentare 

• Aziende che si occupano di produzione, trasformazione e distribuzione di alimenti e bevande.
• Grandi catene di distribuzione alimentare e piattaforme di vendita al dettaglio.
• Fornitori di tecnologie per la gestione della catena di approvvigionamento alimentare (ad esempio, piattaforme di tracciamento degli alimenti).

Le aziende che operano nella produzione, trasformazione, distribuzione e logistica di prodotti alimentari rientrano tra i principali soggetti della direttiva NIS2. Questo settore è sempre più dipendente da infrastrutture digitali per la gestione delle catene di approvvigionamento e della logistica, e la sicurezza informatica diventa fondamentale per proteggere la qualità e la sicurezza dei prodotti alimentari.

Gli obblighi imposti dalla normativa

Per fare un esempio, citando i settori menzionati in precedenza, le aziende che operano nei settori alimentare e manifatturiero dovranno assicurarsi che i propri fornitori di trasporto rispettino anch’essi gli standard di sicurezza previsti dalla Direttiva NIS2, adottando misure adeguate per garantire una gestione sicura del trasporto e per proteggere l’integrità della catena di approvvigionamento.

Le aziende soggette alla NIS2 dovranno effettuare valutazioni periodiche dei rischi legati alla sicurezza informatica e implementare misure e strategie per mitigare eventuali vulnerabilità. Inoltre, avranno l’obbligo di notificare rapidamente gli incidenti di sicurezza significativi alle autorità competenti.

Relativamente alla sicurezza delle catene di fornitura, ad esempio, possiamo riassumere in tre punti gli adempimenti che le aziende saranno chiamate a osservare:

• Valutazione dei rischi:

Le aziende devono valutare i rischi di sicurezza informatica non solo per i propri sistemi interni, ma anche per quelli dei fornitori critici all’interno della loro catena di fornitura. Questo include partner esterni e fornitori terzi che gestiscono dati sensibili o che forniscono servizi essenziali per l’operatività aziendale.

• Controlli sui fornitori:

Devono essere implementati criteri stringenti per la selezione dei fornitori, con contratti che includano misure di sicurezza informatica. Le aziende devono monitorare continuamente la sicurezza dei loro fornitori per prevenire vulnerabilità lungo tutta la catena di approvvigionamento.

• Tracciabilità:

Le aziende devono garantire una trasparenza maggiore sui flussi di informazioni, assicurando che ogni elemento della catena sia monitorabile e tracciabile per evitare frodi, interruzioni o attacchi informatici lungo il percorso della fornitura.

Cosa devono fare le aziende per adeguarsi alla Direttiva NIS2 

Per adeguarsi alla Direttiva NIS2, le aziende devono adottare una serie di misure volte a migliorare la sicurezza delle loro infrastrutture digitali, di cui riassumiamo di seguito le principali:

• Valutazione dei rischi: le aziende devono effettuare una valutazione completa dei rischi informatici e identificare le vulnerabilità critiche nei loro sistemi IT e OT (Operational Technology).
• Implementazione di misure di sicurezza: devono adottare misure tecniche e organizzative per mitigare i rischi identificati, come firewall avanzati, sistemi di rilevamento delle intrusioni, crittografia dei dati e backup regolari.
• Piani di continuità operativa: sviluppare piani di emergenza per garantire la continuità operativa in caso di attacco informatico.
• Formazione del personale: il personale deve essere formato e sensibilizzato sulla sicurezza informatica, con particolare attenzione ai rischi specifici del settore di appartenenza.
• Cooperazione e segnalazione: le aziende devono collaborare con le autorità competenti e segnalare tempestivamente eventuali incidenti di sicurezza informatica, con l’obbligo di comunicare entro 24 ore le violazioni gravi.

Conseguenze e sanzioni per il mancato rispetto della Direttiva NIS2

Le aziende che non si conformano alla Direttiva NIS2 rischiano gravi conseguenze, tra cui rigorose sanzioni economiche e danni reputazionali. Le multe per non conformità possono arrivare fino al 2% del fatturato globale annuo dell’azienda o a 10 milioni di euro, a seconda di quale importo sia maggiore. Inoltre, l’articolo 38 consente alle autorità di sospendere temporaneamente i certificati o le autorizzazioni in caso di mancato adeguamento da parte di un’organizzazione o di dichiarare i membri degli organi direttivi incapaci di svolgere funzioni dirigenziali fino a quando non saranno attuate le misure necessarie.

Naturalmente, al di là delle sanzioni, la conseguenza potenzialmente più dannosa del mancato rispetto delle norme di cybersecurity è proprio la maggiore vulnerabilità delle aziende a rischi operativi, come interruzioni della produzione, perdita di dati o altri danni che potrebbero compromettere la loro posizione competitiva sul mercato.

Vantaggi di usare piattaforme digitali da partner certificati ISO 27001

L’implementazione di piattaforme digitali prodotte da partner certificati ISO 27001 offre alle aziende il duplice vantaggio di migliorare sia l’efficienza operativa che la sicurezza. La certificazione ISO 27001 garantisce, infatti, che la piattaforma rispetti gli standard internazionali per la gestione della sicurezza delle informazioni, mitigando i rischi sopra menzionati.

1. Sicurezza avanzata dei dati

La certificazione ISO 27001 assicura che le aziende adottino pratiche di gestione sicura delle informazioni, come crittografia, autenticazione multifattore e monitoraggio continuo. Questo è un aspetto cruciale per proteggere i dati sensibili legati alla supply chain e per prevenire attacchi ransomware o furti di dati (dell’azienda o dei suoi clienti). Come esperti freight tech, sia CargoON che Trans.eu, gruppo di cui facciamo parte, siamo impegnati nel fornire soluzioni tecnologiche all’avanguardia per innovare la gestione dei trasporti e della supply chain, dunque l’attenzione per la sicurezza informatica è parte integrante del nostro DNA: Trans.eu Group è certificato ISO 27001 dal 2016.

2. Gestione efficiente della supply chain

La transizione digitale è ormai conditio sine qua non per mantenere la competitività in un futuro sempre più basato sulla tecnologia. Con una piattaforma in cloud come CargoON, le aziende possono gestire in modo più efficiente le proprie operazioni logistiche e di approvvigionamento, grazie all’automazione, all’ottimizzazione dei processi e alla digitalizzazione end-to-end. Questo peraltro comporta considerevoli benefici indiretti in termini di risparmio di tempi e costi. Ad esempio, con l’uso di strumenti come Dock Scheduler, le aziende possono ridurre i tempi di attesa dei veicoli fino al 70%, migliorando la gestione delle operazioni nei magazzini e riducendo i costi extra del personale o per la sosta dei mezzi.

3. Tracciabilità e conformità normativa

Per le aziende alimentari, così come per altri settori, una delle principali sfide è garantire la tracciabilità dei prodotti lungo tutta la catena di approvvigionamento. Una piattaforma come CargoON aiuta a digitalizzare l’intero processo, facilitando l’archiviazione sicura e l’accessibilità immediata a tutte le informazioni rilevanti. 

4. Risk management e business continuity

La gestione del rischio è un aspetto che non andrebbe mai sottovalutato. Le aziende che ancora si affidano a sistemi manuali e non digitalizzati possono essere più esposte al rischio di perdita dei dati, che potrebbero causare interruzioni nei servizi, mentre chi decide di sviluppare soluzioni digitali proprietarie, dovrà sobbarcarsi il compito di mantenere la sicurezza e il corretto funzionamento della tecnologia, con periodici aggiornamenti di sistemi e protocolli. Scegliendo una piattaforma come CargoON, le aziende si liberano dalla preoccupazione di mantenere la tecnologia in uso conforme agli standard richiesti, beneficiano dei vantaggi offerti da un maggiore livello di digitalizzazione dei loro processi e possono contare su un partner certificato ISO 27001 per ridurre i rischi informatici.

5. Monitoraggio in tempo reale

Avere visibilità sullo stato dei trasporti e delle operazioni logistiche è essenziale per intervenire tempestivamente con azioni correttive al verificarsi di ritardi o problemi. Con CargoON è possibile ottenere una digitalizzazione end-to-end della supply chain per un monitoraggio più accurato e per offrire anche maggiore trasparenza sullo stato delle merci ai propri clienti e partner. 

6. Integrazione con i sistemi esistenti

CargoON è progettato per integrarsi facilmente con ERP e altri sistemi in uso per la gestione della supply chain, dei trasporti e del magazzino, fornendo una soluzione scalabile che richiede tempi di implementazione estremamente brevi e minimi investimenti in infrastrutture tecnologiche. Questo facilita una transizione graduale verso la digitalizzazione, migliorando al contempo l’efficienza.

L’importanza della cybersecurity nei processi digitalizzati

La digitalizzazione ha ormai rivoluzionato il modo di fare impresa: ha portato incredibili vantaggi, ma comporta anche nuovi rischi legati alla cybersecurity. Il futuro delle aziende dipende dalla loro capacità di gestire in modo sicuro i propri dati e le proprie operazioni, trasformando le sfide della digitalizzazione in opportunità di crescita e competitività.

La gestione della catena di approvvigionamento è certamente uno degli aspetti più critici per le aziende, soprattutto con riferimento ai settori alimentare, manifatturiero e trasporti. Con la digitalizzazione dei processi di trasporto, la sicurezza informatica delle piattaforme che gestiscono queste operazioni diventa essenziale per ridurre i rischi legati agli attacchi informatici.

Scegliere di implementare piattaforme digitali con partner accreditati come CargoON è un passo fondamentale per mitigare questi rischi e garantire che i processi critici siano protetti da potenziali minacce informatiche.