Linea guida NIS2 per gli studi contabili: quali misure minime di cybersecurity adottare?

La nuova direttiva NIS2 impone alle società di revisione contabile di adottare ulteriori misure per prevenire violazioni della sicurezza informatica. La legge europea sulla sicurezza informatica è in vigore dal 16 gennaio 2023. I Paesi Bassi e gli altri Stati membri hanno tempo fino a ottobre 2024 per recepire la normativa a livello nazionale. Ciò significa che da quel momento in poi i contabili dovranno conformarsi alle nuove linee guida in materia di sicurezza informatica.

Che cos'è la nuova direttiva NIS2?

La nuova direttiva NIS2 inasprisce i requisiti per i soggetti essenziali e aggiunge obblighi per i "soggetti importanti", comprese le società di revisione contabile. In un articolo precedente abbiamo spiegato cosa comporta la nuova direttiva e quali sono i cambiamenti rispetto alla NIS1. La differenza principale è l'estensione ai "soggetti importanti" oltre ai soggetti essenziali, alle quali la direttiva già si applicava. Anche le società di revisione contabile sono considerate soggetti importanti e dal 2024 dovranno rispettare linee guida più severe in materia di sicurezza informatica.

Cosa cambia per le società di revisione?

Le società di revisione contabile devono già rispettare le linee guida per una buona documentazione informatica, in particolare per quanto riguarda la sicurezza delle informazioni che garantisce la continuità, l'affidabilità e i rischi del trattamento automatizzato dei dati (ISA 315 (COS 315) dell'ISAAB). Le società di revisione contabile sono inoltre tenute a presentare una relazione sulla cybersecurity basata su un esame da parte di un esperto (articolo 2:393, paragrafo 4 del BW).

Inoltre, sono state aggiunte nuove regole. Ad esempio, il consiglio di amministrazione è ora responsabile della cybersecurity dello studio contabile, e non più solo di un partner IT all'interno dello studio. La nuova direttiva aggiunge altri tre cambiamenti:

• Elenco delle misure minime di sicurezza di base
  La direttiva è più concreta, grazie a un elenco di misure minime di sicurezza di base che le imprese devono applicare. La direttiva impone un approccio alla gestione del rischio.
• Gestire la sicurezza nella catena di fornitura
  Le aziende devono affrontare i rischi per la sicurezza nella loro catena di fornitura, compresi quelli derivanti dalle relazioni con i fornitori.
• Controllo più rigoroso
  Le autorità nazionali possono esercitare un controllo e un'applicazione più rigorosi. La nuova direttiva armonizza le norme in materia di sanzioni e gli obblighi di segnalazione in modo più equo tra tutti gli Stati membri.

Sarete multati se non vi adeguerete?

Le società di revisione contabile che non rispettano la nuova direttiva riceveranno un avvertimento e poi un richiamo. L'autorità locale potrà poi imporre multe, fino a un massimo di 10 milioni di euro o al due per cento del fatturato annuo.

Per soci e amministratori la questione è personale. L'articolo 20 impone alla direzione di seguire una formazione sulla cybersecurity e la nostra formazione NIS2 per dirigenti ti permette di farlo online, con un certificato come prova.

Quali rischi corrono le società di revisione?

L'Unione Europea considera le imprese contabili come soggetti importanti. I rischi informatici hanno un impatto sulle aziende stesse e sulla società in generale. Naturalmente, i commercialisti sono da tempo consapevoli del rischio rappresentato dalla criminalità informatica. Per esempio, una ricerca di Skopos mostra che la maggioranza dei commercialisti ritiene che la sicurezza delle informazioni debba ricevere maggiore attenzione.

La società di contabilità Grant Thornton sottolinea il passaggio dal guadagno all'intento malevolo e i rischi crescenti che ne derivano. Inoltre, è già stato riferito che le aziende olandesi sono state violate dai servizi segreti russi.

La SRA, che rappresenta 375 commercialisti indipendenti con 900 filiali nei Paesi Bassi come organizzazione di rete, riferisce che gli studi di commercialisti sono sempre più esposti, ad esempio, a ransomware, malware e cryptojacking.

Prevenire la criminalità informatica: cosa può fare uno studio contabile?

In base alla nuova direttiva NIS2, a partire dal 2024 le imprese contabili dovranno adottare misure adeguate per prevenire le violazioni della sicurezza informatica o limitarne le conseguenze. Potete già prendere provvedimenti in vista della nuova direttiva. La SRA raccomanda, ad esempio, di

• Mappare i rischi
  È possibile adottare misure adeguate solo se si conoscono i rischi a cui è esposto il proprio studio contabile. Assicuratevi di aver tracciato una mappa dei rischi o di affidarvi a specialisti esterni. All'interno dei rischi, distinguete tra quelli relativi alla fornitura diretta di servizi e alla continuità operativa. Classificate i rischi per creare un elenco di priorità e adottare le misure appropriate.
• Un quadro di riferimento per la cybersecurity
  Sviluppate un quadro di riferimento per la cybersecurity per riflettere a livello di organizzazione sui rischi informatici e sulle misure importanti. Iniziate con un semplice foglio A4 che delinea i principi, i quadri e le diverse responsabilità. In un secondo momento, si può passare a una policy più completa, ad esempio incentrata sui rischi informatici specifici dello studio contabile.
• Prepararsi alle violazioni dei dati e agli hackeraggi
  Preparatevi alle violazioni dei dati e agli hackeraggi, perché ogni organizzazione può subirli. Create un piano che indichi chi deve rispondere e come e quali misure di ripristino sono necessarie. Tenere traccia di tutti gli incidenti e analizzare l'accaduto. Chiudete le lacune nella sicurezza e verificate se le misure adottate producono i risultati previsti.
• Adottare misure concrete
  Adottare misure concrete quando permangono lacune nella sicurezza. Oppure, rispettate le misure specificate nella nuova direttiva NIS2 per prepararvi ai cambiamenti del 2024. Migliorare la cybersecurity, sia all'interno dello studio contabile che nei rapporti con i fornitori. La nuova direttiva impone alle aziende di considerare la cybersecurity lungo l'intera catena di fornitura.
• Esternalizzare l'IT a specialisti
  Esternalizzate l'IT e la cybersecurity a specialisti che si occupano quotidianamente di questi temi. Inoltre, affidate a specialisti la migrazione delle applicazioni nel cloud o l'aggiunta, il miglioramento o la modifica di altri servizi IT. Lo sviluppo si basa sulla Security by Design, pensando alla (cyber)sicurezza in ogni fase.

Inoltre, alcune misure di base possono migliorare direttamente la resilienza informatica del vostro studio contabile, come ad esempio:

Semplificare le cose con Guardey

In qualità di studio contabile, potresti sentirti sopraffatto da tutto questo. Dopotutto, preferiresti concentrarti sul tuo lavoro di contabilità. Lascia quindi che sia Guardey a occuparsi dell’aspetto umano della sicurezza informatica. Guardey forma il tuo team attraverso brevi sfide ludiche della durata di tre minuti a settimana, lo mette alla prova con simulazioni realistiche di phishing e ti fornisce i report richiesti dalla normativa NIS2.

Scopri la nostra soluzione o contattaci per qualsiasi domanda. Saremo lieti di illustrarti come Guardey possa aiutare il tuo studio contabile e come adeguarti alla direttiva NIS2 a partire dal 2024!