Direttiva NIS2 2022/2555
Conformità agli obblighi europei di cybersicurezza per i fornitori di servizi digitali e cloud
Cos'è
La Direttiva NIS2 (Network and Information Security Directive 2 — Direttiva UE 2022/2555) è il principale atto normativo dell'Unione Europea in materia di cybersicurezza, che abroga e sostituisce la precedente Direttiva NIS (2016/1148). Recepita in Italia con il D.Lgs. 138/2024, stabilisce requisiti vincolanti per la gestione del rischio di sicurezza informatica, la notifica degli incidenti e la continuità operativa per le organizzazioni classificate come soggetti essenziali o importanti in settori strategici.
Rispetto alla Direttiva NIS originale, NIS2 amplia significativamente il perimetro dei soggetti obbligati — includendo i fornitori di servizi cloud e digitali — e introduce requisiti più stringenti in termini di governance, supply chain security e responsabilità del management.
Memori, in qualità di fornitore di servizi cloud e di intelligenza artificiale, rientra nel perimetro applicativo della Direttiva NIS2 ed ha formalizzato la propria conformità agli obblighi previsti dalla normativa, con iscrizione al registro dell'Agenzia per la Cybersicurezza Nazionale (ACN) e adozione delle misure di sicurezza richieste.
Cosa garantisce concretamente
Governance della cybersicurezza
La Direttiva NIS2 impone che il management aziendale assuma responsabilità diretta sulla gestione della sicurezza informatica. In Memori questo si traduce in:
Supervisione formale da parte della direzione (CTO e CEO) sui processi di sicurezza, integrata con il Sistema di Gestione della Sicurezza delle Informazioni già certificato ISO 27001:2022
Aggiornamento periodico delle competenze del personale in materia di cybersicurezza
Politiche documentate per la gestione del rischio di sicurezza delle reti e dei sistemi informativi
Gestione del rischio di sicurezza
Memori adotta misure tecniche e organizzative proporzionate ai rischi identificati, che includono:
Valutazione continua del rischio aggiornata nel sistema di gestione, con tracciamento documentato delle non conformità e delle azioni correttive
Protezione contro le minacce informatiche: sistemi di rilevamento e prevenzione attivi sull'infrastruttura cloud, con scansione automatica tramite AWS GuardDuty dei file caricati sulla piattaforma
Protezione delle comunicazioni e dei dati: tutte le comunicazioni avvengono via HTTPS/TLS; i dati sensibili sono protetti in conformità alle policy di sicurezza documentate nel sistema di gestione
Gestione degli incidenti di sicurezza
In conformità con gli obblighi di notifica previsti dalla NIS2:
Gli incidenti significativi vengono identificati, classificati e gestiti tramite un processo documentato che prevede notifica tempestiva all'ACN entro le scadenze normative (pre-notifica entro 24 ore, notifica completa entro 72 ore)
Gli admin di piattaforma vengono avvisati via email in caso di incidenti, disservizi o problemi gravi
Al termine di ogni incidente, il team tecnico conduce una retrospettiva post-incidente per analizzare le cause e prevenire ricorrenze
Continuità operativa e disaster recovery
Aggiornamenti pianificati della piattaforma garantendo continuità del servizio senza interruzioni improvvise
Monitoraggio continuo della disponibilità tramite Uptime Kuma, con alert automatici in caso di anomalie
Backup con crittografia conservati in ambienti separati su infrastruttura cloud europea (Italia, Irlanda, Germania EU)
Piano di continuità operativa integrato con le misure di disaster recovery gestite dal partner Cloudsome
Sicurezza della supply chain
La NIS2 introduce obblighi espliciti sulla sicurezza della catena di fornitura. In Memori questo si applica a:
Qualificazione e monitoraggio dei fornitori critici: provider cloud (Cloudsome, AWS, Hetzner), provider LLM (OpenAI, Anthropic, Mistral, ecc.) e servizi accessori (DeepL, ConvertAPI, Azure AI Speech) sono selezionati, valutati e gestiti secondo procedure documentate
Accordi contrattuali che definiscono i requisiti di sicurezza per ciascun fornitore (SLA, DPA, policy di data retention)
Trasparenza verso il cliente sui sub-responsabili coinvolti nel trattamento dei dati e sulle relative policy di sicurezza
Protezione delle reti e dei sistemi informativi di AIsuru (la piattaforma di Memori)
La conformità NIS2 si integra con quanto già implementato ai sensi della ISO 27001:2022 e della ISO 27017:2015 per la piattaforma AIsuru:
Segregazione logica degli ambienti multi-tenant: ogni cliente vede esclusivamente i propri Agenti, utenti e configurazioni
Separazione degli ambienti sviluppo → staging → produzione, con deployment automatizzato tramite Bitbucket Pipelines e code review obbligatoria su ogni modifica
Logging e monitoraggio: log centralizzati tramite Kibana e Injest, con tracciamento di tutte le attività degli utenti e degli amministratori di sistema e alert automatici per comportamenti anomali
Audit e revisione periodica
La conformità NIS2 è soggetta a revisione periodica, integrata nel ciclo di audit del Sistema di Gestione della Sicurezza delle Informazioni (ISO 27001:2022). Le misure di sicurezza vengono aggiornate in risposta all'evoluzione delle minacce e alle indicazioni dell'ACN.
Ultimo aggiornamento