NIS2 alza le aspettative in materia di cybersecurity per le organizzazioni che forniscono servizi essenziali e importanti in tutta l'Unione europea. Per i team IT e di sicurezza, la direttiva ha implicazioni pratiche su come le organizzazioni gestiscono il rischio informatico, controllano gli accessi, rispondono agli incidenti, affrontano le vulnerabilità e dimostrano che le misure di sicurezza vengono applicate con coerenza.
Questi requisiti stanno diventando sempre più concreti man mano che gli Stati membri dell'UE implementano NIS2 attraverso la legislazione nazionale. Nei Paesi Bassi, la Cyberbeveiligingswet che implementa NIS2 è entrata in vigore il 15 agosto 2026, introducendo nuovi obblighi in materia di cybersicurezza, registrazione e segnalazione degli incidenti per le organizzazioni che rientrano nel suo ambito di applicazione.
I team IT devono capire quali pratiche di cybersicurezza devono implementare e in che modo il loro stack tecnologico può aiutarli a mantenere questi controlli nel tempo.
Che cos'è NIS2?
La direttiva sulla sicurezza delle reti e dell'informazione 2, comunemente nota come NIS2, è una direttiva dell'UE in materia di cybersecurity progettata per rafforzare la cybersecurity e la resilienza nei settori critici e importanti.
NIS2 amplia la direttiva NIS originale applicando requisiti di gestione del rischio di cybersicurezza e di segnalazione degli incidenti a una gamma più ampia di organizzazioni. Inoltre, aumenta le aspettative in aree come la gestione delle vulnerabilità, la sicurezza degli accessi, la continuità operativa, la sicurezza della supply chain, la gestione degli incidenti e la responsabilità organizzativa.
Gli Stati membri dell'UE attuano NIS2 attraverso la legislazione nazionale. Sebbene la direttiva di base stabilisca obiettivi comuni di cybersecurity in tutta l'UE, le organizzazioni dovrebbero verificare i requisiti specifici applicabili in ogni paese in cui operano.
Chi deve conformarsi alla NIS2?
NIS2 si applica alle organizzazioni classificate come soggetti essenziali o importanti in un'ampia gamma di settori. L'applicabilità dipende da fattori quali i servizi forniti da un'organizzazione, le sue dimensioni, il settore di appartenenza e la legislazione nazionale che attua la direttiva.
I settori coperti includono aree come:
Energia
Trasporti
Infrastrutture bancarie e dei mercati finanziari
Assistenza sanitaria
Infrastruttura digitale
Gestione dei servizi ICT
Pubblica amministrazione
Produzione di determinati prodotti critici
Fornitori digitali
Servizi postali e di corriere
Gestione dei rifiuti
Produzione e distribuzione alimentare
Prodotti chimici
Ricerca
Le organizzazioni dovrebbero valutare le proprie circostanze specifiche invece di basarsi esclusivamente sul settore o sulle dimensioni dell'azienda per determinare se la NIS2 si applica.
Quali requisiti di cybersecurity introduce NIS2?
La NIS2 richiede alle organizzazioni interessate di adottare misure tecniche, operative e organizzative adeguate e proporzionate per gestire i rischi di cybersecurity. L'articolo 21 della direttiva individua diverse aree che le organizzazioni devono affrontare.
Per i team IT, diversi requisiti hanno implicazioni dirette per le operazioni di sicurezza quotidiane:
1. Gestione del rischio per la sicurezza informatica
Le organizzazioni hanno bisogno di processi per identificare i rischi di cybersecurity e implementare misure appropriate per ridurli.
Una gestione efficace del rischio dipende da una visibilità continua su sistemi, utenti, endpoint, vulnerabilità e configurazioni di sicurezza. I team IT hanno inoltre bisogno di processi per valutare se i controlli di sicurezza continuano a funzionare efficacemente man mano che gli ambienti e le minacce cambiano.
2. Prevenzione, rilevamento e risposta agli incidenti
La NIS2 richiede alle organizzazioni di prepararsi agli incidenti di sicurezza informatica e di stabilire processi per gestirli.
Questo rende la visibilità particolarmente importante. I team IT e di sicurezza hanno bisogno di informazioni sufficienti su sistemi e attività per identificare potenziali problemi, indagare sugli incidenti, intraprendere azioni correttive e fornire le prove necessarie per la segnalazione degli incidenti e l'analisi successiva agli incidenti.
3. Gestione delle vulnerabilità e sicurezza del software
La gestione delle vulnerabilità è un altro elemento importante del framework NIS2.
Le organizzazioni devono disporre di processi per identificare le vulnerabilità nei propri ambienti tecnologici e risolverle prima che creino un'esposizione non necessaria. Ciò include la manutenzione dei sistemi operativi e delle applicazioni, l'applicazione degli aggiornamenti di sicurezza, il monitoraggio dei progressi nella risoluzione e la valutazione dell'efficacia continua delle misure di sicurezza.
Un processo ripetibile di gestione delle patch può contribuire a ridurre il tempo che intercorre tra l'identificazione di una vulnerabilità e la correzione dei sistemi interessati.
4. Identità, autenticazione e controllo degli accessi
NIS2 affronta in modo specifico il controllo degli accessi e le misure di sicurezza legate all’identità.
I team IT dovrebbero essere in grado di determinare chi può accedere a sistemi e risorse, applicare autorizzazioni appropriate, rimuovere gli accessi quando non sono più necessari e utilizzare meccanismi di autenticazione forte dove opportuno.
Queste pratiche diventano particolarmente importanti per l'amministrazione e l'assistenza da remoto, dove gli utenti con privilegi potrebbero essere in grado di accedere ai sistemi dall'esterno del tradizionale perimetro di rete dell'organizzazione.
5. Monitoraggio della sicurezza e verificabilità degli audit
Le organizzazioni hanno inoltre bisogno di strumenti per valutare l'efficacia delle proprie misure di cybersecurity.
Log centralizzati, registri delle attività, informazioni sugli endpoint e report di sicurezza possono aiutare i team a indagare sugli eventi e a dimostrare come vengono applicati i controlli. Mantenere prove accessibili rende inoltre più semplice rivedere i processi di sicurezza e prepararsi agli audit.
La sola registrazione dei log non soddisfa i requisiti NIS2, ma registrazioni affidabili sono una componente importante di un programma di conformità più ampio.
6. Continuità operativa e sicurezza della catena di fornitura
La NIS2 va ben oltre la sicurezza degli endpoint e degli accessi. La direttiva riguarda anche aree che includono:
Continuità aziendale
Gestione dei backup e disaster recovery
Gestione delle crisi
Sicurezza della supply chain
Policy di sicurezza
Formazione sulla cybersecurity
Crittografia e crittografia dei dati
Sicurezza delle risorse umane
Gestione degli asset
Le organizzazioni hanno quindi bisogno di un programma di conformità coordinato che coinvolga tecnologia, processi, policy, dipendenti, fornitori e leadership.
Cosa significa NIS2 per i team IT?
Per molti team IT, NIS2 rafforza la necessità di rendere le pratiche di cybersecurity esistenti più coerenti, visibili e ripetibili.
Tra le priorità operative più importanti ci sono:
Mantenere visibilità su dispositivi, applicazioni, vulnerabilità e stato della sicurezza.
Mantenere sistemi operativi e applicazioni aggiornati con le patch tramite processi definiti.
Controllare e rivedere regolarmente l'accesso ai sistemi.
Applicare un'autenticazione forte e autorizzazioni di accesso appropriate.
Mantenere log e registri delle attività utili per indagini e audit.
Identificare rapidamente i problemi di sicurezza e definire processi di remediation ripetibili.
Automatizzare i flussi di lavoro di sicurezza e manutenzione, dove appropriato.
Mantenere inventari accurati di hardware e software.
Valutare se i controlli di cybersecurity continuano a funzionare come previsto.
Produrre prove che dimostrino come vengono applicati i controlli di sicurezza.
Per le organizzazioni che seguono già pratiche di cybersecurity mature, NIS2 può rafforzare molti processi esistenti. La sfida è garantire che tali processi operino in modo coerente in tutto l'ambiente e possano essere dimostrati quando necessario.
Implementazione di NIS2 nell'Unione europea
NIS2 stabilisce un framework comune di cybersecurity nell'Unione europea, ma ogni Stato membro attua la direttiva attraverso la propria legislazione nazionale.
Di conseguenza, le organizzazioni dovrebbero verificare i requisiti specifici applicabili in ogni paese in cui operano. Questi possono includere norme nazionali relative alla registrazione delle entità, alla gestione del rischio informatico, alla segnalazione degli incidenti, alle autorità di vigilanza e all'applicazione delle norme.
Sebbene i dettagli di implementazione varino da Paese a Paese, gli obiettivi di cybersicurezza alla base della NIS2 rimangono ampiamente coerenti in tutta l'UE.
Come Splashtop affronta la conformità alla NIS2
Splashtop è conforme ai requisiti NIS2 applicabili e ha implementato più di 150 controlli mappati sui requisiti applicabili ai fornitori di servizi cloud. Questi controlli aiutano a definire un approccio strutturato alla gestione delle responsabilità di cybersecurity associate all'erogazione di servizi basati sul cloud.
Poiché NIS2 viene attuata tramite legislazione nazionale, alcuni obblighi sono specifici del singolo Paese. Ad esempio, Splashtop si è registrata presso il National Cyber Security Centre dei Paesi Bassi (NCSC-NL) in conformità ai requisiti olandesi applicabili.
Per le organizzazioni che valutano fornitori di tecnologia nell'ambito dei propri programmi NIS2, anche le pratiche di cybersicurezza e la conformità normativa di un fornitore possono rientrare in valutazioni più ampie del rischio legato ai fornitori e alla supply chain.
Come Splashtop può supportare i requisiti di cybersecurity di NIS2
Le organizzazioni possono anche utilizzare le funzionalità di Splashtop per supportare diverse pratiche tecniche coinvolte nel mantenimento di un programma di conformità alla NIS2.
1. Accesso remoto sicuro e autenticazione
L'accesso remoto deve essere strettamente controllato quando dipendenti, amministratori IT, fornitori e tecnici dell'assistenza possono connettersi ai sistemi aziendali da sedi diverse.
Splashtop offre funzionalità di sicurezza e amministrazione, tra cui connessioni remote crittografate, autenticazione a più fattori, integrazione SSO/SAML, autorizzazioni granulari e gestione centralizzata.
Questi controlli aiutano le organizzazioni a gestire chi può accedere da remoto ai sistemi e ad applicare un'autenticazione più forte ai flussi di lavoro remoti.
2. Controllo degli accessi e privilegio minimo
Gli utenti dovrebbero ricevere il livello di accesso necessario per le loro responsabilità, senza disporre di un accesso ai sistemi inutilmente ampio.
Splashtop consente agli amministratori di gestire centralmente utenti, gruppi, computer e autorizzazioni. Le organizzazioni possono utilizzare questi controlli per determinare quali utenti possono accedere a sistemi specifici e modificare gli accessi man mano che le responsabilità cambiano.
La centralizzazione di questi controlli rende inoltre più facile per i team IT verificare le autorizzazioni di accesso remoto e rimuovere gli accessi quando non sono più necessari.
3. Log e prove di audit
Capire chi ha avuto accesso a un sistema e quando è importante per le indagini sulla sicurezza e la preparazione agli audit.
Splashtop offre funzionalità di registrazione delle sessioni e delle attività che possono aiutare le organizzazioni a mantenere registri delle attività di accesso remoto. A seconda della soluzione Splashtop e della configurazione, le organizzazioni possono anche utilizzare funzionalità aggiuntive di logging e SIEM per integrare le attività pertinenti in flussi di lavoro più ampi di monitoraggio della sicurezza.
Questi registri forniscono un'ulteriore fonte di prove quando i team IT indagano su eventi di sicurezza, esaminano l'attività di accesso o dimostrano come funzionano i controlli.
4. Gestione delle vulnerabilità e delle patch con Splashtop AEM
Le vulnerabilità non corrette possono lasciare gli endpoint inutilmente esposti. Splashtop AEM aiuta i team IT a rendere la gestione delle vulnerabilità e delle patch più continua grazie a visibilità centralizzata e automazione.
Con Splashtop AEM, i team IT possono:
Identifica le vulnerabilità che interessano gli endpoint gestiti.
Usa gli insight CVE per aiutarti a definire le priorità di remediation.
Applica patch ai sistemi operativi supportati e alle applicazioni di terze parti.
Applica le policy di patching a gruppi di endpoint.
Monitora lo stato delle patch e identifica gli errori.
Mantieni l'inventario di hardware e software.
Usa l'automazione per ridurre il lavoro di remediation ripetitivo.
Invece di fare affidamento principalmente su revisioni manuali periodiche, i team IT possono monitorare continuamente le condizioni degli endpoint e intervenire quando vengono identificate vulnerabilità o aggiornamenti mancanti.
5. Monitoraggio e remediation degli endpoint
Mantenere i controlli di cybersecurity richiede anche che i team riconoscano quando le condizioni degli endpoint escono dalle policy previste e rispondano in modo appropriato.
Splashtop AEM offre visibilità centralizzata degli endpoint, avvisi proattivi, gestione basata su policy, script, attività e funzionalità di remediation. Questi strumenti possono aiutare i team IT a identificare i problemi e applicare azioni correttive su tutti gli endpoint gestiti senza dover intervenire su ogni singolo dispositivo.
L'automazione può anche rendere più ripetibili i processi ricorrenti di sicurezza e manutenzione, contribuendo a ridurre le incoerenze che si sviluppano quando le attività dipendono in larga misura dall'intervento manuale.
Crea un approccio pi ù ripetibile alla conformità NIS2
NIS2 aumenta l'importanza dei controlli di cybersecurity che le organizzazioni possono applicare, monitorare, documentare e migliorare con continuità. Accesso sicuro, autenticazione forte, remediation delle vulnerabilità, visibilità degli endpoint e registri affidabili delle attività possono tutti contribuire a questa base.
Splashtop aiuta i team IT a centralizzare l'accesso remoto e l'assistenza sicuri, estendendo al contempo visibilità, patching, automazione e gestione degli endpoint tramite Splashtop AEM. Anche la conformità di Splashtop a NIS2 e la registrazione presso NCSC-NL forniscono ai clienti ulteriori informazioni da considerare quando valutano il livello di sicurezza dei propri fornitori di tecnologia.
Scopri di più su come Splashtop può aiutare la tua organizzazione a rafforzare l'accesso sicuro, la gestione degli endpoint e la preparazione alla NIS2.
