I requisiti in materia sicurezza informatica sono diventati più rigidi e oggi si applicano anche ad aziende che fino ad ora erano considerate “non critiche”. 
Il motivo? Con la nuova legge sull’attuazione della NIS-2, la Germania ha pienamente recepito la direttiva europea NIS-2 nel diritto nazionale. 

Quando si tratta di cyber sicurezza in azienda, spesso si fa riferimento anche alle “infrastrutture critiche”. Ma qui non si parla solo di fornitori di energia, ospedali o istituti finanziari. La seconda direttiva UE sulla sicurezza delle reti e dei sistemi informativi (NIS 2) riguarda molti più settori, per esempio le aziende di produzione alimentare. E NIS 2 rende la cyber sicurezza una priorità assoluta. Perché in caso di violazioni non si rischiano solo sanzioni; in alcune circostanze è persino possibile una responsabilità personale.

NIS-2 – Di che cosa si tratta

La direttiva NIS-2 ha lo scopo di garantire un livello di sicurezza uniforme per i sistemi di rete e informativi nell’UE e stabilisce obblighi vincolanti per imprese e autorità pubbliche. Queste disposizioni riguardano in Germania circa 30.000 aziende, di conseguenza molte imprese si trovano ad affrontare grandi sfide. Si tratta di una realizzazione comprovata di un intero catalogo di misure tecniche e organizzative per la sicurezza della gestione del rischio legata alla sicurezza informatica. 

Aziende “Importanti” e “Particolarmente importanti”

La direttiva NIS-2 classifica le aziende in cosiddetti “Settori” e considera qui anche il fatturato e il numero di dipendenti. Se un’azienda ha 50 o più dipendenti o se il fatturato e il bilancio totale superano i 10 milioni di Euro all’anno, e se opera in uno dei settori interessati dal NIS-2 (esempio Alimentazione e Nutrizione), il legislatore la classifica come entità importante. 
Aziende con oltre 250 dipendenti e un fatturato di 50 milioni di Euro all’anno vengono considerate entità particolarmente importanti. 

Inoltre, molte aziende rientrano nella cosiddetta “infrastruttura critica”. Questa viene definita sulla base di valori soglia, come ad esempio il numero di persone da fornire. In questo ambito sono valide particolari disposizioni di legge relative alla gestione dei rischi richiesta, alle misure di sicurezza informatica e al Business Continuity Management, anch’esso necessario.