Cybersecurity e Direttiva NIS 2

I sessione: 19 maggio; 14.30 - 17.30
Quadro Normativo della Cybersecurity e Direttiva NIS 2
Docente: Michele Iaselli

Evoluzione normativa della cybersecurity in Europa e in Italia
• Il quadro normativo europeo: regolamenti e direttive principali
• La cybersecurity nell’era digitale: dal GDPR alla NIS 2
• Il ruolo dell’ENISA e delle autorità nazionali
• Le norme chiave: dal reg. UE n. 2019/881 (Cybersecurity Act) al D.Lgs. n. 138/2024 (decreto attuativo della direttiva NIS 2)

Focus sulla Direttiva NIS 2
• Principali novità rispetto alla NIS 1
- Ampliamento dei settori e delle aziende coinvolte
- Rafforzamento dei requisiti di cybersecurity
- Maggiore cooperazione tra Stati membri

• Soggetti obbligati
 - Entità essenziali (es. energia, trasporti, sanità, finanza)
- Entità importanti (es. data center, provider cloud, e-commerce, fornitori ICT)

• Obblighi di sicurezza e resilienza
- Implementazione di misure tecniche e organizzative adeguate
- Analisi del rischio e gestione della catena di fornitura
- Obbligo di notifica degli incidenti di sicurezza

Le norme collegate alla NIS 2

• GDPR e protezione dei dati personali
- Cybersecurity e protezione dei dati: connessione tra NIS 2 e GDPR
- Violazioni dei dati personali e obblighi di notifica (Art. 33 GDPR)

• Regolamento DORA (Digital Operational Resilience Act) per il settore finanziario
 - Resilienza digitale per banche, assicurazioni e istituzioni finanziarie
- Obblighi di gestione del rischio informatico e test di sicurezza

• Standard di sicurezza internazionali
 - ISO/IEC 27001: Sistemi di gestione della sicurezza delle informazioni (ISMS)
- NIST Cybersecurity Framework: gestione del rischio informatico
- Controlli CIS: best practice per la sicurezza aziendale

Sanzioni e implicazioni legali della NIS 2

• Regime sanzionatorio
- Nuove sanzioni amministrative fino a 10 milioni di euro o il 2% del fatturato globale
- Differenze tra sanzioni GDPR e NIS 2

• Rischi legali per le aziende
- Conseguenze della mancata osservanza
- Obblighi di diligenza e responsabilità

II sessione: 22 maggio; 14.30 - 17.30
Aspetti Tecnici della Cybersecurity e Implementazione della Direttiva NIS 2
Docente: Francesco Capparelli

I Fondamenti della Cybersecurity

• Concetti chiave spiegati in modo semplice
- Cosa significa protezione informatica? (riservatezza, integrità e disponibilità dei dati)
- Quali sono i principali pericoli informatici? (hacker, malware, phishing)
- Come avvengono gli attacchi informatici? (esempi pratici di attacchi recenti)

• Esempi concreti di attacchi e danni legali
- Attacco ransomware a uno studio legale: cosa succede se i dati dei clienti vengono bloccati?
- Furto di dati in un’azienda: quali responsabilità legali emergono?
- Violazione della sicurezza di un fornitore IT: chi ne risponde legalmente?

La Sicurezza Informatica e la Direttiva NIS 2

• Le misure tecniche richieste dalla NIS 2 spiegate in modo chiaro
- Protezione della rete e dei sistemi aziendali (come funziona un firewall?)
- Controllo degli accessi e protezione delle password (cos’è l’autenticazione a due fattori?)
- Monitoraggio della sicurezza (cos’è un sistema di allerta per gli attacchi informatici?)
- Piani di emergenza e continuità operativa (come ci si prepara a un incidente informatico?)

• Cosa Fare in Caso di Attacco Informatico? – Rispondere a un Incidente di Sicurezza
- Le 5 fasi per gestire un incidente informatico
1. Individuazione: Come riconoscere che si è subito un attacco
2. Contenimento: Cosa fare subito per limitare i danni
3. Eliminazione della minaccia: Come si ripulisce un sistema infetto
4. Ripristino: Tornare operativi in sicurezza
5. Lezione appresa: Cosa cambiare per evitare futuri attacchi

• Sicurezza Informatica in Azienda – Cosa Controllare per Essere in Regola
- Checklist pratica per la conformità alla NIS 2:
1. La mia azienda ha un responsabile della sicurezza informatica (CISO)?
2. Sono stati definiti ruoli e responsabilità interne?
3. Abbiamo politiche aziendali chiare per la protezione dei dati?
4. I nostri fornitori IT sono conformi alle normative sulla sicurezza?
5. Abbiamo mai simulato un attacco per testare la sicurezza?

• Best practice per migliorare la sicurezza informatica
- Evitare errori comuni (password deboli, email sospette, mancati aggiornamenti)
- Semplici accorgimenti per proteggere dati e dispositivi aziendali

III sessione: 27 maggio; 14.30 - 17.30
Conformità Aziendale alla Direttiva NIS 2 – Approccio Pratico
Docente: Giulia Finocchiaro

Governance della Cybersecurity e Modelli Organizzativi

• Ruoli e responsabilità nella compliance alla NIS 2
- Il ruolo del CISO, del DPO e dei team di sicurezza
- Consiglio di Amministrazione e Top Management: obblighi e responsabilità nella gestione della sicurezza
- I team di Cyber ​​Risk e IT Security: chi deve fare cosa?

• Struttura di un programma di compliance alla cybersecurity
- Quadro di riferimento (Controlli ISO 27001, NIST, CIS)
- Organizzazione interna della compliance: Security Governance, IT Security, Legal & Compliance
- Modello di gestione del rischio cyber a livello aziendale

Attuazione della Compliance: Fase Operativa

• Gap Analysis e Roadmap di Adeguamento
- Audit iniziale: individuare punti critici e gap rispetto alla NIS 2
- Definizione di un piano di adeguamento: passo chiave e risorse necessarie
- Tempistiche e roadmap di compliance

• Sviluppo di policy e procedure aziendali
- Politica sulla sicurezza informatica e Politica sulla sicurezza delle informazioni
- Piano di risposta agli incidenti e notifica di violazione dei dati
- Piano di continuità aziendale e piano di ripristino in caso di emergenza

Risk Management e NIS 2: Metodologie e Strumenti

• Approccio al Risk Management nella Cybersecurity
- Metodologie per la gestione del rischio cyber
- Quali strumenti utilizzare per la valutazione del rischio (ISO 27005, NIST 800-30, modello FAIR)
- Risk Register: come monitorare e aggiornare i rischi IT aziendali

• Valutazione del rischio secondo la NIS 2
- Asset aziendali e loro criticità
- Threat modeling: identificazione delle minacce più probabili
- Analisi dell’impatto e gestione delle priorità

Incident Response e Obblighi di notifica

• Creazione di un piano di risposta agli incidenti
- Fasi della gestione degli incidenti (Identificazione, Contenimento, Eradicazione, Recupero, Post-mortem)
- Definizione di un piano di gestione della crisi informatica
- Simulazioni di attacco per migliorare la prontezza operativa

• Obblighi di notifica in caso di incidente di sicurezza
- Tempistiche e modalità di segnalazione alle autorità competenti
- Ruolo del CSIRT nazionale e cooperazione con le autorità
- Best practice per la gestione della comunicazione interna ed esterna

Compliance e Relazioni con i Fornitori (Supply Chain Security)

• Gestione della sicurezza nella catena di fornitura
- Cybersecurity dei fornitori critici: verifica e audit periodici
- Contratti e clausole di sicurezza per terze parti (DPA, SLA, security addendum)
- Terze parti e gestione del rischio di fornitura (TPRM – Third Party Risk Management)

• Case study su attacchi alla supply chain
- Esempi reali di attacchi subiti da aziende per dipendenza nei fornitori
- Come proteggere l’azienda da un attacco di terza parte