Le disposizioni del Decreto legislativo n. 138/2024 sono già applicabili dal 18 ottobre 2024 e prevedono tutta una serie di deadlines per consentire la realizzazione dell’ambizioso fine a cui l’UE mira.
NIS2: a chi si applica?
La NIS2 si applica ai soggetti pubblici e privati che presentano congiuntamente i seguenti requisiti:
- Territorio: il soggetto fornisce la propria attività all’interno dell’Unione Europea;
- Dimensione: il soggetto si qualifica come media o grande impresa ai sensi dell’art. 2 della raccomandazione 2003/361/CE, ossia occupa più di 50 persone e ha un fatturato annuo o un totale di bilancio annuo superiore a 10 milioni di euro (eccetto per PA di cui all’Allegato III e soggetti essenziali e importanti ex art. 3, ai quali il limite dimensionale non si applica);
- Settore: ove il soggetto fornisca i propri servizi in un settore critico (Allegato II), oppure in un settore altamente critico (Allegato I).
Quali sono i settori critici?
I settori critici sono:
- Servizi postali e di corriere;
- Gestione dei rifiuti;
- Fabbricazione, produzione e distribuzione di sostanze chimiche;
- Produzione, trasformazione e distribuzione di alimenti;
- Fabbricazione di dispositivi medici e di dispositivi medico – diagnostici in vitro quali definiti all’art. 2, punto 1) del Regolamento UE 2017/745 e soggetti che fabbricano dispositivi medico – diagnostici in vitro quali definiti dall’art. 2 punto 2) del Regolamento (UE) 2017/746;
- Fabbricazione di computer e prodotti di elettronica;
- Fabbricazione apparecchiature elettriche;
- Fabbricazione di macchinari e apparecchiature n.c.a.;
- Fabbricazione di autoveicoli, rimorchi e semirimorchi;
- Fabbricazione di altri mezzi di trasporto;
- Fornitori di servizi digitali;
- Ricerca (Organizzazioni di ricerca).
Quali sono i settori altamente critici?
- Energia;
- Trasporti;
- Settore bancario;
- Infrastrutture dei mercati finanziari;
- Settore sanitario (prestatori di assistenza sanitaria, laboratori di riferimento dell’UE, soggetti che svolgono attività di ricerca e sviluppo relative ai medicinali quali definiti dall’art. 1, punto 2 Direttiva 2001/83/CE);
- Soggetti che fabbricano prodotti farmaceutici di cui alla sezione C, divisione 21, della NACE rev. 2;
- Soggetti che fabbricano dispositivi medici considerati critici durante un’emergenza sanitaria pubblica di cui all’art. 22 del Regolamento (UE) 2022/123;
- Acqua potabile;
- Acque reflue;
- Infrastrutture digitali;
- Gestione di servizi TIC (B2B);
- Spazio.
Quali obblighi impone la NIS2?
I soggetti che rientrano nell’ambito di applicazione della NIS2 devono rispettare obblighi in materia di gestione del rischio per la sicurezza informatica e per la segnalazione degli incidenti. Più precisamente:
- governance: gli organi amministrativi e direttivi devono: (i) approvare le misure di implementazione di gestione dei rischi adottate; (ii) sovraintendere alla relativa attuazione, (iii) seguire una formazione specifica. Tali organi sono responsabili personalmente di eventuali violazioni;
- Risk management: adozione di misure tecniche e organizzativeproporzionate per la gestione dei rischi informatici;
- Catena di approvvigionamento: obbligo di attentamente valutare gli aspetti di sicurezza dei rapporti con i propri fornitori;
- Segnalazione: segnalare gli incidenti di sicurezza con impatto significativo alle autorità competenti.
Quali sono i prossimi step?
Dicembre 2024: attività di assesment per valutare se si rientra nel perimetro della NIS2.
Dal 1° gennaio 2025 al 28 febbraio 2025: I soggetti a cui si applica la NIS2 devono registrarsi su un’apposita piattaforma digitale.
31 marzo 2025: l’ACN deve predisporre l’elenco dei soggetti a cui si applica la normativa entro il 15 aprile, con comunicazione ai soggetti interessati.
Entro il 31 maggio 2025: i soggetti che ricevono la comunicazione dell’ACN dovranno fornire tutta un’ulteriore serie di informazioni.
Da gennaio 2026: adeguamento agli obblighi di notifica degli incidenti.
Entro ottobre 2026: adempiere agli obblighi degli organi di amministrazione e direttivi, di gestione dei rischi e implementazione misure di sicurezza e relativi alle banche dati di registrazione dei nomi a dominio.
Quali adempimenti per essere compliant in materia di cybersicurezza?
Possibili adempimenti, potrebbero essere i seguenti:
- Risk assesment: esame delle misure informatiche in uso con valutazione circa l’idoneità o meno delle stesse a fornire un adeguato livello di sicurezza;
- Valutazione del rischio informatico. Lasciare traccia della valutazione di rischio effettuata in seguito alle misure adottate dall’IT;
- Adozione di misure necessarie;
- Adozione di policies interne su cybersicurezza. Tali policies si ritiene costituiscano non solo parte integrante delle misure organizzative di cui all’obbligo di Risk management, ma anche utili strumenti per garantire che tutti gli obblighi di cui sopra vengano rispettati o, quantomeno, minimizzare il rischio che vengano disattesi. Tali policies dovrebbero essere di facile fruizione e indirizzate a tutti i soggetti che utilizzano strumenti informatici, in particolar modo quelli che possono essere maggiormente soggetti a rischio sicurezza e includere ad esempio direttive su analisi dei rischi e sicurezza, segnalazioni, continuità operativa in caso di incidenti, crittografia e formazione;
- Ruoli in materia di sicurezza informatica: Individuare con precisione chi è tenuto a fare cosa in materia di sicurezza informatica (ad esempio chi è responsabile per le segnalazioni, che per le valutazioni di rischio, chi per il continuo monitoraggio, ecc.) e incaricarli formalmente;
- Rapporti con fornitori: elaborare policies per consentire una valutazione relativa ai fornitori in materia di sicurezza informatica e predisporre clausole contrattuali che garantiscano la sicurezza della catena di approvvigionamento;
- Data protection: valutazione circa l’impatto di nuove misure adottate anche su lalto privacy per comprendere in che modo gli interventi gli interventi di implementazione della sicurezza informatica abbiano eventualmente influenzato le misure tecniche e organizzative relative alla questione data protection (ad esempio gli strumenti di conservazione dei dati, il data flow intrasocietario, ecc.).
Ovviamente questa è solo una panoramica generale delle possibili misure da adottare sul lato organizzativo e potrebbero essere ancora ulteriormente implementate, attesa la novità della materia.
Ad ogni modo, cominciare a muoversi sin da ora potrebbe costituire un importante passo verso una compliance in materia di sicurezza informatica ormai inevitabile.