La direttiva NIS2 si applica alle organizzazioni pubbliche e private che gestiscono servizi essenziali per la società, come società di produzione e distribuzione energia, servizi sanitari, trasporti, infrastrutture di comunicazione elettronica, servizi bancari e finanziari. Coinvolge, inoltre, anche i fornitori di servizi digitali che includono le piattaforme online: e-commerce, motori di ricerca, cloud computing, gestione dei servizi ICT, della pubblica amministrazione e dello spazio. La NIS2 stabilisce requisiti rigorosi per la sicurezza delle reti e dei sistemi informativi, con un focus particolare sulla gestione dei rischi provenienti da terzi. La normativa impone alle aziende di implementare politiche di gestione del rischio informatico che includano anche i fornitori esterni, affinché la sicurezza sia garantita lungo tutta la catena di approvvigionamento. L’inosservanza della normativa produce l’applicazione di sanzioni amministrative e penali.

Anche il regolamento DORA si rivolge alle entità finanziarie (come banche, assicurazioni, società di investimento, istituti di credito, operatori di criptovalute, ecc.) e ai loro fornitori critici di terze parti che forniscono servizi di Information and Communication Technology. DORA entrata in vigore il 16 gennaio 2023, è obbligatoria dal 17 gennaio 2025. Le imprese del settore Finance, operanti nell’Unione Europea, che non lo hanno già fatto, devono, ora, implementare una serie di misure connesse alla Governance, al Risk Management, alla Cybersecurity e all’Incident Management allo scopo di adeguarsi alla normativa DORA ed evitare, così, le sanzioni previste, applicate dalle entità di regolamentazione designate in ciascuno Stato. DORA richiede alle organizzazioni di dimostrare la resilienza operativa digitale attraverso l’identificazione, la protezione e la gestione dei rischi legati alle tecnologie. Per le aziende che gestiscono fornitori critici, questo implica un monitoraggio continuo e una gestione dei rischi associati, con conseguenti responsabilità in caso di incidenti informatici.