Direttiva NIS2: i nuovi adempimenti per la cybersecurity e i settori coinvolti

Perché una nuova direttiva sulla cybersecurity?

L’adozione di una nuova direttiva in materia di cybersecurity è stata dettata dalla necessità di uniformare a livello unionale la resilienza delle reti e dei sistemi informatici.

La Direttiva NIS2 si pone dunque proprio l’obiettivo di fornire strumenti adeguati a far fronte alle criticità rilevate a livello europeo, quali:

• insufficiente livello di resilienza informatica delle imprese che operano in UE;
• disomogeneità di resilienza informatica tra i diversi Stati membri;
• insufficiente comprensione delle minacce e assenza di una risposta congiunta alle crisi.

Le finalità della Direttiva NIS2

La Direttiva NIS2, dunque, si pone come uno strumento di miglioramento e implementazione delle misure previste già dalla precedente NIS1 in materia di cybersecurity e prevede:

• l’adozione da parte degli Stati membri di una strategia nazionale di sicurezza informatica;
• ciascun Stato membro deve designare i Computer Security Incident Response TeamS (CSIRT), responsabili dei rischi e degli incidenti;
• ogni Stato membro deve individuare un’autorità nazionale competente in materia di sicurezza informatica e un punto di contatto unico (SPOC)

Inoltre, la Direttiva NIS2 istituisce il gruppo di cooperazione NIS per sostenere e facilitare la cooperazione strategica e lo scambio di informazioni tra gli Stati e la rete CSIRT.

A chi si applica la Direttiva NIS2?

La Direttiva NIS2 amplia l’ambito di applicazione delle norme precedenti aggiungendo nuovi settori, basandosi principalmente sul grado di digitalizzazione e interconnessione, nonché sulla loro rilevanza per l’economia e la società, introducendo una soglia dimensionale e lasciando altresì una certa discrezionalità agli Stati membri per individuare anche realtà sottosoglia, la cui rilevanza settoriale, però, comporta la necessaria applicazione della Direttiva NIS2.

Inoltre, la Direttiva NIS2 elimina la distinzione tra operatori di servizi essenziali e fornitori di servizi digitali e le entità vengono classificate sulla base della loro importanza e suddivise in: entità essenziali e entità importanti, soggette a diversi regimi di vigilanza.

La Direttiva, poi, individua due tipi di settori rilevanti per l’applicabilità della stessa: Settori ad alta criticità e Altri settori critici.

I settori interessati dalla NIS2sono:

• Settori ad alta criticità: energia (elettricità, teleriscaldamento e teleraffreddamento, petrolio, gas e idrogeno); trasporti (aerei, ferroviari, idrici e stradali); banche; infrastrutture dei mercati finanziari; sanità, compresa la fabbricazione di prodotti farmaceutici, inclusi i vaccini; acqua potabile; acque reflue; infrastrutture digitali (punti di scambio Internet; fornitori di servizi DNS; registri di nomi TLD; fornitori di servizi di cloud computing; fornitori di servizi di data center; reti di fornitura di contenuti; fornitori di servizi fiduciari; fornitori di reti pubbliche di comunicazione elettronica e di servizi di comunicazione elettronica disponibili al pubblico); gestione dei servizi ICT (fornitori di servizi gestiti e fornitori di servizi di sicurezza gestiti), pubblica amministrazione e spazio.
• Altri settori critici: servizi postali e di corriere; gestione dei rifiuti; prodotti chimici; prodotti alimentari; produzione di dispositivi medici, computer ed elettronica, macchinari e attrezzature, veicoli a motore, rimorchi e semirimorchi e altre attrezzature di trasporto; fornitori digitali (mercati online, motori di ricerca online e piattaforme di servizi di social networking) e organizzazioni di ricerca.

Combinando i parametri dimensionali con l’individuazione dei settori, la Direttiva prevede che:

• Le imprese sono essenziali se operano nei settori ad alta criticità e hanno più di 250 dipendenti o un fatturato annuo superiore a 50 milioni di euro.
• Per le imprese non essenziali ma operanti nei settori ad alta criticità o negli altri settori critici, la direttiva si applicherà se questi hanno più di 50 dipendenti o un fatturato annuo superiore a 10 milioni di euro.

Quali misure dovranno adottare le aziende?

La Direttiva NIS2 prevede 10 elementi chiave che le imprese sono tenute a implementare e adottare, tra cui la gestione degli incidenti, la sicurezza della catena di approvvigionamento, la gestione e la divulgazione delle vulnerabilità, l’uso della crittografia e la cifratura.

Per quanto riguarda l’obbligo di segnalazione, NIS2 prevede che le imprese abbiano 24 ore di tempo a partire dal momento in cui vengono a conoscenza di un incidente, per presentare un allarme tempestivo al CSIRT o all’autorità nazionale competente. A questa segnalazione deve seguirne un’altra entro 72 ore dal momento in cui se ne viene a conoscenza e da un rapporto finale entro un mese.

Quali conseguenze per la violazione delle disposizioni di cui alla NIS2?

La Direttiva prevede un sistema sanzionatorio non indifferente. In relazione alle sanzioni amministrative, la nuova direttiva NIS distingue tra soggetti essenziali e importanti.

• Per i soggetti essenziali, la direttiva impone agli Stati membri di prevedere un certo livello di ammende amministrative, in particolare un massimo di almeno 10.000.000 di euro o il 2% del fatturato mondiale totale annuo dell’esercizio finanziario precedente, se superiore.
• Per le entità importanti, la NIS2 impone agli Stati membri di prevedere un’ammenda massima di almeno 7.000.000 di euro o di almeno l’1,4% del fatturato totale annuo a livello mondiale dell’esercizio finanziario precedente, se superiore.

Oltre a queste sanzioni amministrative, la NIS2 prevede anche una serie di disposizioni circa la responsabilità delle persone fisiche che ricoprono posizioni dirigenziali e ciò, nel sistema nel panorama italiano, sicuramente potrà avere un impatto in termini di Modello 231, che potrebbe non rivelarsi più sufficiente da solo in tema di cybersecurity.

Quale giurisdizione?

NIS2 si preoccupa anche di individuare la giurisdizione a cui ricorrere in caso di conflitto.

Di regola gli enti essenziali e importanti sono considerati sotto la giurisdizione dello Stato membro in cui sono stabiliti.

I fornitori di reti pubbliche di comunicazione elettronica o i fornitori di servizi di comunicazione elettronica accessibili al pubblico rientrano nella giurisdizione dello Stato membro in cui forniscono i loro servizi.

Gli enti della pubblica amministrazione rientrerebbero nella giurisdizione dello Stato membro che li ha istituiti.

Alcuni tipi di entità sarebbero sotto la giurisdizione dello Stato membro in cui hanno il loro stabilimento principale nell’Unione. Tali entità comprendono i fornitori di servizi di sistemi di nomi di dominio, i registri di nomi di dominio di primo livello, le entità che forniscono servizi di registrazione di nomi di dominio, i fornitori di servizi di cloud computing, i fornitori di servizi di data center, i fornitori di reti di distribuzione di contenuti, i fornitori di servizi gestiti, i fornitori di servizi di sicurezza gestiti, nonché i fornitori di mercati online, di motori di ricerca online e di piattaforme di social network. Questo per garantire che tali entità non debbano affrontare una moltitudine di requisiti legali diversi, dal momento che forniscono servizi transfrontalieri in misura particolarmente elevata.

Sul punto, sarà utile osservare come tali disposizioni sulla giurisdizione verranno concretamente attuate, al fine di valutarne la derogabilità o meno.