### L’Entrata in Vigore della Normativa NIS2: Un Nuovo Approccio alla Sicurezza Informatica

A partire dal 17 ottobre, la normativa NIS2, parte integrante del Cyber Resilience Act adottato dal Parlamento Europeo nel marzo 2024, ha iniziato a operare. Questa legge rappresenta un passo cruciale per il rafforzamento delle misure di sicurezza nel contesto della crescente minaccia informatica. La sua applicazione coinvolge una vasta gamma di attori, tra cui fornitori di servizi digitali, operatori di servizi essenziali nei settori del’energia, dei trasporti, della salute e dei servizi finanziari, oltre ovviamente agli enti pubblici. Sono più di 160.000 le aziende europee chiamate a riconsiderare e potenziare le proprie strategie di cybersecurity.

### Cambiamenti Economici e Investimenti nella Sicurezza Informatica

La Commissione Europea prevede che, nei primi anni dall’applicazione della NIS2, molte organizzazioni potrebbero affrontare un incremento significativo dei costi nella sicurezza informatica. Si parla di un aumento massimo del 22% della spesa, che si riduce al 12% per quelle entità già coperte dalla precedente direttiva. Questo scenario potrebbe dare impulso al mercato della cybersecurity, con previsioni di crescita che potrebbero portarlo a valere 60 miliardi di euro entro la fine del 2024, raggiungendo addirittura i 90 miliardi entro il 2027.

### Cosa Sono le Vulnerability Disclosure Policies?

Un elemento rilevante nella riduzione del rischio informatico delineato dalla NIS2 è rappresentato dalle Vulnerability Disclosure Policies (VDP). Queste politiche hanno come obiettivo principale la creazione di una procedura di divulgazione responsabile delle vulnerabilità, favorendo la segnalazione e la gestione di tali problemi in modo sistematico e organizzato. Sono tanti gli hacker etici che operano a livello globale e le VDP fungono da canale attraverso cui queste vulnerabilità possono essere comunicate in modo efficiente.

Le VDP non sono solo documenti procedurali; strutturano metodologie, definiscono ruoli di gestione e promuovono un dialogo aperto con la comunità di hacker etici. La loro implementazione facilita anche un approccio corretto nella gestione delle vulnerabilità, rendendo più agevole la risoluzione di problematiche critiche.

Due sono i termini fondamentali legati alle VDP: “recognised” e “incentivized”. Un programma è ritenuto “recognised” quando prevede il riconoscimento del contributo dell’hacker che ha individuato la vulnerabilità. D’altro canto, è definito “incentivized” se offre una ricompensa economica per il lavoro svolto, avvicinandosi al concetto di Bug Bounty.

### L’importanza dei Bug Bounty e i loro Vantaggi

I programmi di Bug Bounty rappresentano una delle strategie più efficaci per le aziende nel campo della sicurezza informatica. Eccone alcuni dei principali vantaggi:

1. **Accesso a una Community di Hacker Affidabili**: L’aspetto chiave di un Bug Bounty Program consiste nella capacità di attingere a una rete di hacker etici altamente qualificati. La selezione di esperti in grado di collaborare in modo efficiente consente alle aziende di scoprire e risolvere vulnerabilità in modo proattivo.

2. **Conoscenza del Mercato**: Contrariamente a quanto si possa pensare, un programma di Bug Bounty non è una semplice chiamata pubblica. È un’attività complessa che richiede pianificazione e gestione, consentendo alle aziende di approfondire la propria comprensione della cybersecurity attraverso l’interazione con esperti del settore.

3. **Gestione Interna Ottimizzata**: Con un processo ben definito, le aziende possono evitare il sovraccarico di lavoro che può derivare da una cattiva gestione delle segnalazioni delle vulnerabilità. Una chiara struttura operativa e la corretta profilazione del personale coinvolto nel programma possono rendere il processo di segnalazione molto più fluido ed efficiente.

### Un Nuovo Approccio alla Sicurezza: Proattività e Gestione del Rischio

L’attuazione della NIS2 segna un cambio di paradigma nella gestione della sicurezza informatica. Si passa da un approccio reattivo, in cui le aziende