L’Agenzia dell’Unione Europea per la sicurezza informatica (ENISA) ha pubblicato il NIS Investments Report 2024, offrendo uno sguardo approfondito su come le organizzazioni europee stanno affrontando le sfide della sicurezza informatica in vista dell’implementazione della direttiva NIS 2.
Il report mira a fornire ai decisori politici dati per valutare l’efficacia del quadro di sicurezza informatica dell’UE, analizzando l’allocazione dei budget, lo sviluppo delle capacità e la maturità delle organizzazioni e mettendo in luce anche temi cruciali come l’impatto dell’intelligenza artificiale, le difficoltà di reclutamento nel settore e la preparazione per conformarsi alle nuove normative.
L’edizione 2024 del report si distingue per un campione ampliato, includendo nuovi settori ed entità previsti da NIS 2, e fornisce una panoramica pre-implementazione delle metriche rilevanti. Comprende un’analisi approfondita nei settori delle infrastrutture digitali e dello spazio, con dati raccolti da 1.350 organizzazioni in tutti i settori critici dell’UE, incluso il manifatturiero.
Risultati chiave
- La sicurezza informatica rappresenta ora il 9% degli investimenti IT dell’UE, con un aumento significativo di 1,9 punti percentuali rispetto al 2022, segnando il secondo anno consecutivo di crescita degli investimenti in sicurezza informatica dopo la pandemia.
- Nel 2023, la spesa IT media delle organizzazioni è salita a 15 milioni di euro, mentre la spesa per la sicurezza delle informazioni è raddoppiata, passando da 0,7 milioni di euro a 1,4 milioni di euro.
- Per il quarto anno consecutivo, la percentuale di IT Full Time Equivalent (FTE) dedicata alla sicurezza informatica è diminuita, dall’11,9% all’11,1%. Questa diminuzione potrebbe riflettere le sfide del reclutamento, con il 32% delle organizzazioni (e il 59% delle PMI) che hanno difficoltà a ricoprire ruoli di sicurezza informatica, in particolare quelli che richiedono competenze tecniche. Questa tendenza è particolarmente degna di nota dato che l’89% delle organizzazioni prevede di aver bisogno di personale aggiuntivo per la sicurezza informatica per conformarsi a NIS2.
- I nuovi settori NIS2 sono paragonabili in termini di spesa per la sicurezza informatica alle entità NIS Directive esistenti, con i loro investimenti ampiamente focalizzati sullo sviluppo e il mantenimento delle capacità di base per la sicurezza informatica. Le aree emergenti, come la crittografia post-quantistica, ricevono un’attenzione limitata, con solo il 4% delle entità intervistate che investono e il 14% che pianifica investimenti futuri.
- La maggior parte delle organizzazioni prevede un aumento una tantum o permanente dei budget per la sicurezza informatica per la conformità con NIS 2. In particolare, un numero considerevole di entità non sarà in grado di richiedere il budget aggiuntivo richiesto, una percentuale particolarmente elevata per le PMI (34%).
- Il 90% delle entità prevede un aumento degli attacchi informatici il prossimo anno, in termini di volume, costo o entrambi. Nonostante ciò, il 74% concentra i propri sforzi di preparazione alla sicurezza informatica internamente, con una partecipazione molto inferiore a iniziative a livello nazionale o UE. Questo divario sottolinea un’area critica di miglioramento, poiché un’efficace cooperazione transfrontaliera nella gestione di incidenti su larga scala può essere raggiunta solo a questi livelli più elevati.
- La consapevolezza complessiva tra le entità interessate è incoraggiante, con il 92% a conoscenza dell’ambito generale o delle disposizioni specifiche della direttiva NIS 2. Tuttavia, una percentuale notevole di entità in determinati nuovi settori NIS 2 non è a conoscenza della direttiva, il che suggerisce una potenziale necessità di campagne di sensibilizzazione più approfondite da parte delle autorità nazionali competenti.
- Le entità nei settori già coperti da NIS superano quelle appena incluse in NIS 2 in varie metriche di governance, rischio e conformità della sicurezza informatica. Analogamente, le entità nei nuovi settori NIS 2 mostrano un coinvolgimento inferiore e tassi di non partecipazione più elevati nelle attività di preparazione alla sicurezza informatica. Ciò evidenzia l’impatto positivo che la direttiva NIS ha avuto sui settori già inclusi e crea anticipazione per l’impatto che NIS 2 avrà sui nuovi settori.
Nel corso degli anni, i report sugli investimenti NIS hanno costruito un prezioso archivio di dati storici. Quest’anno, questi dati offrono una base solida per analizzare l’impatto di NIS 2 sulle nuove entità incluse nel suo ambito, fornendo preziose informazioni per valutazioni future.
Leggi il documento completo NIS Investments Report 2024
https://www.enisa.europa.eu/news/navigating-cybersecurity-investments-in-the-time-of-nis-2
