Panoramica della Direttiva Europea NIS2

NIS2 è una nuova direttiva dell'UE a cui devi prestare attenzione.

Non c'è dubbio che la digitalizzazione abbia reso i processi interni ed esterni più efficienti, facilitando il movimento delle merci e riducendo i costi, ma è proprio questa dipendenza dai sistemi digitali interconnessi che ha reso i produttori e le loro catene di valore vulnerabili a un livello senza precedenti di minacce alla sicurezza informatica, poiché i criminali informatici prendono di mira sempre più le vulnerabilità all'interno della catena di approvvigionamento. 

L'Unione Europea ha nuovamente affrontato questa area di profonda preoccupazione attraverso la Direttiva sulla Sicurezza delle Reti e delle Informazioni NIS2, adottando misure legali per rafforzare le difese contro la sicurezza informatica in un'ampia gamma di settori, introdurre la responsabilità esecutiva, rendere le aziende responsabili delle loro catene di approvvigionamento e implementare significative sanzioni finanziarie per la non conformità.

Esploriamo come la Direttiva NIS2 stabilisca nuovi standard per la sicurezza informatica e cosa significa per te e i tuoi partner commerciali.

La crescente minaccia della sicurezza informatica nell'industria dei PCB

Man mano che le capacità dei nostri avversari maturano, così deve maturare la nostra risposta.

Secondo il Rapporto Globale sulle Minacce 2024 di CrowdStrike, nel 2023, il settore tecnologico è stato l'industria più frequentemente presa di mira per attività di intrusione interattiva, e il settore delle telecomunicazioni è stato il secondo settore più preso di mira.

Part Insights Experience

Access critical supply chain intelligence as you design.

Learn More

Essendo componenti chiave in quasi tutti i dispositivi elettronici, i PCB sono risorse cruciali in questi e in molti altri settori vitali come l'aerospaziale, l'automotive e la sanità; qualsiasi interruzione nelle catene di approvvigionamento dei PCB causata da minacce informatiche ha il potenziale di propagarsi attraverso interi settori, causando ritardi costosi e fermi operativi. Tuttavia, nel corso dell'ultimo decennio, la produzione è stata trasformata da ciò che è stato etichettato come Industria 4.0 e innovazioni digitali come i gemelli digitali, la robotica, l'IA, il cloud computing e l'Internet Industriale delle Cose (IIoT). Sebbene questi avanzamenti potenzino la crescita e l'efficienza, aumentano anche l'esposizione del settore a minacce informatiche, offrendo nuovi punti di ingresso che i criminali informatici possono sfruttare.

Altri fattori che aumentano i rischi di sicurezza informatica nella produzione includono una formazione insufficiente dei dipendenti, dove la mancanza di consapevolezza può portare a password deboli o vulnerabilità agli attacchi di phishing. Inoltre, la dipendenza da sistemi obsoleti senza moderne funzionalità di sicurezza crea rischi informatici, così come le catene di approvvigionamento complesse con numerosi partner terzi che presentano molteplici punti di ingresso per gli hacker. La natura altamente competitiva dell'industria e la sua dipendenza dalle operazioni basate sui dati aumentano anche la probabilità di furto di proprietà intellettuale o violazioni dei dati.

Le minacce informatiche possono assumere molte forme, tra cui attacchi alla catena di approvvigionamento, ransomware, furto di proprietà intellettuale e sabotaggio della produzione, introducendo rischi finanziari, strategici e reputazionali significativi.

Tipi comuni di attacchi informatici nel settore manifatturiero

Tipi comuni di attacchi informatici nel settore manifatturiero e come funzionano:

• Attacchi ransomware: Software dannoso ("malware") che limita l'accesso a un sistema informatico o a file fino al pagamento di un riscatto.
• Attacchi phishing: Email, siti web o messaggi ingannevoli progettati per indurre gli individui a divulgare informazioni sensibili.
• Campagne di whaling: Attacchi phishing sofisticati che prendono di mira individui di alto rango all'interno di un'organizzazione.

Come si manifesta questo nella realtà? Attraverso un attacco ransomware, i malintenzionati possono interrompere completamente la produzione, con perdite che si propagano sia verso l'alto che verso il basso nella catena di approvvigionamento. La divulgazione di progetti PCB proprietari attraverso violazioni dei dati potrebbe portare a possibili perdite di mercato e svantaggi competitivi.

Part Insights Experience

Access critical supply chain intelligence as you design.

Learn More

Come esempio recente della minaccia molto reale che la cybersecurity rappresenta per l'industria, il fornitore di semiconduttori con sede negli Stati Uniti, Microchip Technology, ha confermato che un recente attacco ransomware ha portato al furto di informazioni personali e altri dati dai suoi sistemi. La compagnia ha segnalato l'incidente il 20 agosto, notificando alla SEC degli Stati Uniti che alcuni server e operazioni aziendali sono stati colpiti. Tuttavia, sono riusciti a contenere l'attacco isolando i sistemi impattati.

Comprendere la Direttiva NIS2

Un'estensione della Direttiva NIS introdotta nel 2016, che mirava principalmente ai settori dell'infrastruttura critica, come energia e trasporti, la NIS2 amplia l'ambito del quadro normativo originale, richiedendo alle organizzazioni di un'ampia gamma di industrie di adottarle, in risposta alla maturità e intensità aumentate del panorama attuale della cybersecurity.

Aspetti chiave della direttiva a cui è necessario prestare attenzione includono:

• Ambito Espanso: A differenza del suo predecessore, la Direttiva NIS2 include un'ampia gamma di settori, espandendosi dalle industrie di infrastrutture core a una gamma di settori manifatturieri, inclusa la produzione di PCB, che è classificata sotto la categoria dei settori "essenziali". L'obiettivo è proteggere le entità che forniscono servizi critici per le attività economiche e sociali.
• Requisiti di Sicurezza più Stringenti: NIS2 impone misure di cybersecurity più robuste obbligando le organizzazioni a implementare procedure per rilevare e gestire gli incidenti informatici, garantendo al contempo la continuità operativa, inclusi i requisiti di prevenzione degli incidenti, gestione del rischio e risposta agli incidenti.
• Sicurezza Migliorata della Catena di Fornitura: Regolamentata nell'Articolo 21(2)(d), uno degli elementi più importanti della Direttiva NIS2 per i produttori introduce standard per valutare la postura di cybersecurity dei fornitori. In base a questa disposizione, le entità chiave ed essenziali devono implementare misure tecniche, operative e organizzative appropriate e proporzionate per salvaguardare la sicurezza della catena di fornitura.
• Obblighi di Segnalazione degli Incidenti: Con NIS2, le organizzazioni sono ora tenute a segnalare gli incidenti alle autorità nazionali, imponendo una scadenza di 24 ore per la segnalazione iniziale e ulteriori aggiornamenti entro 72 ore.
• Responsabilità e Governance: Aggiungendo un nuovo livello di responsabilità per gli esecutivi aziendali, sotto NIS2, le organizzazioni devono nominare un ufficiale o un manager designato responsabile della cybersecurity, e la direzione senior può essere ritenuta responsabile in caso di non conformità. 
• Sanzioni per la Non Conformità: La Direttiva NIS2 consente significative sanzioni finanziarie per la non conformità. Queste sanzioni variano ma possono raggiungere fino a €10 milioni o il 2% del fatturato globale dell'azienda, creando un forte incentivo economico ad aderire agli standard.

Cosa significa NIS2 per la tua catena di approvvigionamento

Stabilendo standard di cybersecurity più rigorosi in settori fondamentali, la Direttiva NIS2 presenta sia un'opportunità che un obbligo per i produttori di PCB di soddisfare standard di cybersecurity più elevati e di creare catene di approvvigionamento più resilienti nel farlo.

Ecco alcuni impatti specifici della direttiva sulle catene di approvvigionamento nella produzione di PCB:

Meet US Government Security Requirements

Foster real-time collaboration with enhanced data security and access controls

Find Out More

Standard di Cybersecurity Rafforzati

La direttiva NIS2 impone ai produttori di PCB di soddisfare un insieme rigoroso di requisiti di cybersecurity, inclusa la creazione e il mantenimento di solidi framework di sicurezza, da valutazioni regolari delle vulnerabilità all'implementazione di autenticazione a più fattori e protocolli di crittografia.

Le organizzazioni dovranno assicurarsi di avere meccanismi e budget in atto per identificare, valutare e mitigare continuamente i rischi cyber, un impegno che potrebbe richiedere l'assunzione di personale dedicato alla cybersecurity, investimenti in strumenti avanzati di rilevamento delle minacce e la creazione di centri operativi di sicurezza (SOC) per monitorare l'attività di rete. Per coloro che in precedenza avevano allocato risorse limitate alla cybersecurity, è uno spostamento che deve essere pianificato con attenzione.

Maggiore Visibilità e Trasparenza della Catena di Approvvigionamento

L'obiettivo della direttiva di aumentare la sicurezza della catena di approvvigionamento richiederà una maggiore trasparenza dei fornitori e dei partner e potrebbe richiedere ai produttori di condurre audit e valutazioni di sicurezza attraverso la catena di approvvigionamento per garantire la conformità ai requisiti NIS2.

I produttori di PCB potrebbero aver bisogno di far dimostrare ai fornitori terzi le loro pratiche di sicurezza, qualcosa che potrebbe causare attriti con i fornitori e portare a decisioni strategiche più mirate per garantire la conformità, specialmente se i fornitori sono riluttanti o incapaci di soddisfare gli standard della direttiva.

Protocolli di segnalazione degli incidenti più rigorosi

I produttori di PCB sono tenuti a segnalare agli enti nazionali gli incidenti significativi di cybersecurity entro 24 ore e fornire ulteriori aggiornamenti entro 72 ore. Come ben sanno i produttori, ridurre il tempo di azione minimizza gli impatti. Sebbene ciò possa sollevare preoccupazioni riguardo al danno reputazionale, la segnalazione degli incidenti è essenziale per limitare i danni potenziali.

Make cents of your BOM

Free supply chain insights delivered to your inbox

Learn More

Per soddisfare questi requisiti di segnalazione, i produttori hanno bisogno di processi robusti di rilevamento, classificazione ed escalation degli incidenti. Avere un piano di risposta agli incidenti snello può prevenire l'escalation delle violazioni e limitare l'impatto sulla catena di fornitura complessiva.

Responsabilità esecutiva e cultura della gestione del rischio

Uno dei cambiamenti più impattanti della Direttiva NIS2 è il requisito della responsabilità esecutiva nella conformità alla cybersecurity. I dirigenti di alto livello nelle aziende di produzione di PCB devono ora essere informati e coinvolti nelle strategie di pianificazione e risposta alla cybersecurity.

Questo cambiamento sottolinea l'importanza di integrare la cybersecurity nella struttura di governance aziendale. Gli esecutivi devono essere formati sui rischi informatici e incoraggiati a supportare le iniziative di cybersecurity. A sua volta, la direttiva enfatizza una "cultura della cybersecurity", dove i dipendenti a tutti i livelli sono formati sulle migliori pratiche, la consapevolezza delle minacce e un comportamento digitale sicuro.

Penalità e il Costo della Non Conformità

Con penalità fino a €10 milioni o il 2% del fatturato globale di un'azienda, le ripercussioni finanziarie della non conformità alla Direttiva NIS2 sono ingenti e, per molti produttori di PCB, rappresentano una seria minaccia. Le organizzazioni possono affrontare gravi conseguenze per il mancato adempimento degli obblighi legali. Le aziende dovrebbero adottare un approccio proattivo che sfrutti l'opportunità di differenziarsi e investire nella conformità non solo come un obbligo normativo, ma come una misura che riduce i costi e migliora il brand.

Oltre alle multe, il danno reputazionale potrebbe essere sostanziale, specialmente per i produttori che lavorano con clienti sensibili o di alto profilo. La non conformità o gravi violazioni della cybersecurity potrebbero risultare in una perdita di fiducia da parte dei consumatori e dei partner e, in ultima analisi, mettere a rischio la vostra sostenibilità a lungo termine e la crescita.

Cloud Storage and Version Control

Store your libraries and design data in one secure, accessible, and version-controlled space.

Learn More

Come Conformarsi alla Direttiva NIS2

La conformità alla Direttiva NIS2 richiede una pianificazione strategica e l'allocazione di risorse. Ecco alcuni passi che i produttori di PCB dovrebbero considerare:

Effettua Valutazioni del Rischio di Cybersecurity: Per aiutare a creare una strategia di cybersecurity mirata e affrontare prima le aree ad alto rischio, inizia con una valutazione comprensiva del rischio di cybersecurity per identificare potenziali vulnerabilità. 

Sviluppa una Strategia di Sicurezza Robusta per la Catena di Fornitura: Lavora a stretto contatto con i fornitori per valutare le loro pratiche di cybersecurity e stabilire un piano d'azione per affrontare eventuali preoccupazioni. Stabilisci obblighi contrattuali per la conformità agli standard di cybersecurity e richiedi rapporti regolari sulla postura di sicurezza.

Implementa Sistemi Avanzati di Rilevamento e Risposta agli Incidenti: Investi in sistemi che offrono rilevamento e risposta in tempo reale alle minacce. Stabilisci protocolli di risposta agli incidenti che permettano un'azione rapida e la conformità con i requisiti di segnalazione.

Forma Dirigenti e Dipendenti sulle Migliori Pratiche di Cybersecurity: Implementa un programma di formazione robusto che coinvolga non solo il personale tecnico, ma anche i dirigenti e tutti i dipendenti. Costruire una cultura "consapevole della cyber" può ridurre gli errori umani e rafforzare la cybersecurity complessiva. Se cerchi ulteriore aiuto in questo ambito, Il World Economic Forum offre un playbook per costruire una cultura di resilienza cyber nella produzione.

Variant Manager

Meet demands of a globalized market that requires unique versions of your PCBs.

Learn More

Stabilisci una Chiara Governance e Responsabilità: Nomina un ufficiale di cybersecurity o stabilisci un team multifunzionale responsabile della conformità alla cybersecurity. Questo team dovrebbe riferire regolarmente al consiglio di amministrazione, fornendo aggiornamenti sulla conformità, sui rischi e sulla gestione degli incidenti.

Una catena di approvvigionamento PCB più resiliente e sicura

Sebbene la conformità possa essere un ostacolo che richiede un impegno sostanziale, investimenti e adattamenti, il vantaggio è una catena di approvvigionamento PCB più trasparente, sicura e resiliente.

Per aiutare a mettere in prospettiva lo sforzo e i costi, si stima che l'incidente nella catena di approvvigionamento del 2023 di Applied Material abbia costato all'azienda 250 milioni di dollari.

L'importanza della cybersecurity nell'era moderna non è sottovalutata da clienti e clienti e non dovrebbe essere messa a rischio dalla vostra catena di approvvigionamento. Affrontando proattivamente i loro punti di vulnerabilità e assicurando la conformità con il NIS2, le aziende possono non solo mitigare i rischi di interruzione ma differenziarsi come partner affidabili e di fiducia che stanno facendo la loro parte nell'assicurare la stabilità e la sicurezza della catena di approvvigionamento PCB globale.