Direttiva NIS2. Un breve vademecum per la conformità, tra cybersecurity e protezione dati personali.

Sommario. 1. Ambito di applicazione oggettivo. – 2. Ambito di applicazione soggettivo. – 3. Chi è tenuto ad agire. – 4. Obblighi di registrazione e di implementazione. – 5. Obblighi di notifica. – 6. Vigilanza e sanzioni. – 7. NIS e GDPR.

——————————————————————————————————————–

1. Ambito di applicazione oggettivo.

La Direttiva sulle misure per un livello comune elevato di cibersicurezza in tutta l’Unione europea[1], denominata NIS2, inserendosi nel più ampio quadro delle politiche strategiche della Commissione Europea in materia di cibersicurezza, come il Cybersecurity Act[2] e il Cyber Resilience Act[3], aggiorna le norme introdotte con la Direttiva del 2016, per tenere il passo con una maggiore digitalizzazione e un panorama in evoluzione delle minacce e degli incidenti, modernizzando la disciplina esistente e riducendo la discrezionalità degli Stati membri.

Se la prima direttiva NIS fu recepita in Italia con il D.lgs. 65/2018, la NIS2 (di seguito semplicemente “Direttiva”) è entrata nel nostro mediante un disegno di legge presentato alla Camera dei deputati e poi trasformatosi in legge-delega (n. 15) il 21 febbraio 2024, approvata in Consiglio dei Ministri il 7 agosto 2024 e adottata mediante il Decreto legislativo 4 settembre 2024, n. 138, pubblicato in Gazzetta Ufficiale del 1° ottobre e in vigore dal 16 ottobre[4] (di seguito “Decreto”).

È opportuno ricordare che l’applicazione di tale Decreto deve essere coordinata con le altre norme nazionali applicabili, quali il Perimetro di Sicurezza Nazionale Cibernetico[5], la legge 28 giugno 2024, n. 90[6], che ha introdotto, tra gli altri, l’obbligo di individuare un «referente per la cybersicurezza», il quale svolge anche la funzione di punto di contatto unico dell’amministrazione con l’Agenzia per la cybersicurezza nazionale (“ACN”), nonché, ove l’organizzazione sia anche tenuta alla protezione fisica delle infrastrutture critiche, la Direttiva CER[7].

Estendendo l’ambito di applicabilità delle norme in materia di cibersicurezza a nuovi settori e entità, la Direttiva migliora ulteriormente la resilienza e le capacità di risposta agli incidenti degli enti pubblici e privati, delle autorità competenti e dell’UE nel suo complesso e mira a garantire:

• la preparazione degli Stati membri, imponendo loro di essere adeguatamente equipaggiati (ad esempio, con un team di risposta agli incidenti di sicurezza informatica e un’autorità nazionale competente in materia di reti e sistemi informativi);
• la cooperazione tra tutti gli Stati membri, istituendo un gruppo di cooperazione per sostenere e facilitare la cooperazione strategica e lo scambio di informazioni;
• una cultura della sicurezza in tutti i settori che sono vitali per l’economia e la società e che dipendono fortemente dalle TIC, come l’energia, i trasporti, l’acqua, le infrastrutture bancarie, dei mercati finanziari, l’assistenza sanitaria e le infrastrutture digitali.

La Direttiva interviene, pertanto, nella disciplina della sicurezza informatica e punta a rafforzare la resilienza delle reti e dei sistemi informativi delle organizzazioni, stabilendo l’obbligo di adottare misure tecniche, operative e organizzative per la gestione dei rischi relativi alla sicurezza dei sistemi informativi e di rete.

Tali misure devono:

• essere proporzionate al grado di esposizione a rischi del soggetto, alle dimensioni del soggetto e alla probabilità e gravità degli incidenti, inclusi gli impatti sociali ed economici;
• assicurare un livello di sicurezza dei sistemi informativi e di rete adeguato ai rischi esistenti, considerando le conoscenze più aggiornate e lo stato dell’arte in materia, e, ove applicabile, delle pertinenti norme nazionali, europee e internazionali, nonché i costi di attuazione.

Tale adeguatezza si valuta tenendo conto, da un lato, delle risultanze delle valutazioni coordinate dei rischi per la sicurezza effettuate dal Gruppo di Cooperazione NIS, e, d’altro canto, delle vulnerabilità specifiche per ogni diretto fornitore e fornitore di servizi nonché della qualità complessiva dei prodotti e delle pratiche di sicurezza dei fornitori e fornitori di servizi.

Al fine di prevenire o ridurre al minimo l’impatto degli incidenti per i destinatari dei loro servizi e per altri servizi, infatti, un aspetto rilevante è quello della gestione degli eventuali incidenti (Incident Response), che viene normativamente proceduralizzata nell’art. 23 della Direttiva.

Un «incidente», ai sensi dell’art. 2, comma 1, lett. t), del Decreto, è «un evento che compromette la disponibilità, l’autenticità, l’integrità o la riservatezza di dati conservati, trasmessi o elaborati o dei servizi offerti dai sistemi informativi e di rete o accessibili attraverso di essi».

• Ambito di applicazione soggettivo.

Ai sensi dell’art. 3 del Decreto, la Direttiva in Italia si applica alle organizzazioni operanti nei seguenti settori ad alta criticità[8]:

• energia elettrica, teleriscaldamento e teleraffrescamento, petrolio, gas, idrogeno;
• trasporti aereo, ferroviario, per vie d’acqua, su strada;
• bancario;
• infrastrutture dei mercati finanziari;
• sanitario;
• acqua potabile;
• acque reflue;
• infrastrutture digitali;
• gestione dei servizi TIC (business-to-business) ;
• spazio e servizi spaziali.

La Direttiva si applica, altresì, alle organizzazioni operanti nei seguenti settori critici[9]:

• servizi postali e di corriere;
• gestione dei rifiuti;
• fabbricazione, produzione e distribuzione di sostanze chimiche;
• produzione, trasformazione e distribuzione di alimenti;
• fabbricazione di dispositivi medici e di dispositivi medicodiagnosticiin vitro, di computer e prodotti di elettronica e ottica, di apparecchiature elettriche, di macchinari e apparecchiature n.c.a., di autoveicoli, rimorchi e semirimorchi, di altri mezzi di trasporto;
• fornitori di servizi digitali, indipendentemente dalle dimensioni dell’impresa (mercati online, motori di ricerca on line, piattaforme di social network, servizi di registrazione dei nomi di dominio);
• ricerca.

Si applica, infine, a[10]:

• Pubbliche Amministrazioni centrali, Regioni e Province autonome, Città metropolitane, Comuni con popolazione superiore a 100.000 abitanti, Comuni capoluoghi di regione, tuttavia, va ricordato che nel gergo della disciplina de qua, le P.A. centrali sono considerate soggetti “essenziali” mentre le P.A. regionali e locali soggetti “importanti”;
• aziende sanitarie locali;
• enti di regolazione dell’attività economica e produttori di servizi economici, enti a struttura associativa, produttori di servizi assistenziali, ricreativi e culturali, enti e istituzioni di ricerca, istituti zooprofilattici sperimentali;
• soggetti che forniscono servizi di trasporto pubblico locale;
• istituti di istruzione che svolgono attività di ricerca;
• soggetti che svolgono attività di interesse culturale;
• società in house, società partecipate e società a controllo pubblico, come definite nel decreto legislativo 19 agosto 2016, n. 175.

Con riferimento alle dimensioni delle organizzazioni cui si applica la disciplina in commento, l’art. 3 del Decreto chiarisce che lo stesso si applica:

• (comma 2) ai soggetti delle tipologie di cui all’allegato I e II, che superano i massimali per le piccole imprese ai sensi dell’articolo 2, paragrafo 2, dell’allegato alla raccomandazione 2003/361/CE”;
• (comma 5) indipendentemente dalle loro dimensioni, anche:
  • ai soggetti che sono identificati come soggetti critici ai sensi del decreto legislativo, che recepisce la direttiva (UE) 2022/2557 del Parlamento europeo e del Consiglio, del 14 dicembre 2022;
  • ai fornitori di reti pubbliche di comunicazione elettronica o di servizi di comunicazione elettronica accessibili al pubblico;
  • ai prestatori di servizi fiduciari;
  • ai gestori di registri dei nomi di dominio di primo livello e fornitori di servizi di sistema dei nomi di dominio;
  • ai fornitori di servizi di registrazione dei nomi di dominio;
• (comma 6) indipendentemente dalle loro dimensioni, alle pubbliche amministrazioni di cui all’articolo 1, comma 3, della legge 31 dicembre 2009, n. 196[11], ricomprese nelle categorie elencate nell’allegato III.

Restano esclusi i soggetti operanti nella sicurezza nazionale, pubblica sicurezza e difesa, il Parlamento, l’Autorità Giudiziaria e la Banca Centrale.

Il Decreto, nell’art. 6, commi 1 e 2, va a dettagliare la distinzione tra soggetti “essenziali” e soggetti “importanti” all’interno dei destinatari del provvedimento, per cui si considerano essenziali (in aggiunta ai soggetti individuati come tali dall’ACN):

(a) i soggetti di cui all’Allegato I che superano i massimali per le medie imprese sopra riferiti;

(b) i soggetti identificati come soggetti critici ai sensi del decreto che recepirà la direttiva CER;

(c) i fornitori di reti pubbliche di comunicazione elettronica e i fornitori di servizi di comunicazione elettronica accessibili al pubblico che si considerano medie imprese;

(d) i prestatori di servizi fiduciari qualificati e i gestori di registri dei nomi di dominio di primo livello, nonché i prestatori di servizi di sistema dei nomi di dominio;

(e) le pubbliche amministrazioni centrali di cui all’Allegato III, comma 1, lettera a).

Per contro, tutti gli altri soggetti destinatari della disciplina (non definiti “essenziali”), sono “importanti”, sempre se rientranti nella giurisdizione nazionale.

• Chi è tenuto ad agire.

L’art. 23, comma 1, del Decreto, fa riferimento, quali destinatari degli obblighi di cui si darà conto nel prosieguo del presente contributo, agli «organi di amministrazione e gli organi direttivi» dei soggetti essenziali e dei soggetti importanti (mentre la NIS2 parla soltanto di «organi di gestione»).

La responsabilità di approvare e sovraintendere l’implementazione delle misure di gestione dei rischi di cibersicurezza è affidata al livello più elevato di responsabilità manageriale (nel privato i C-Level[12], nella P.A. per analogia i Dirigenti), e si può scomporre nei seguenti ambiti.

• Responsibility – Responsabilità operativa per la gestione quotidiana della cibersicurezza (art. 20, Direttiva). Nell’art. 23, comma 1, lett. a, del Decreto, è specificato che tali soggetti «approvano le modalità di implementazione delle misure di gestione dei rischi per la sicurezza informatica adottate da tali soggetti ai sensi dell’articolo 24»; tale responsabilità include la valutazione dei rischi, la pianificazione delle misure di mitigazione l’adozione di soluzioni tecnologiche e organizzative adeguate.
• Accountability – Trasparenza e rendicontazione delle azioni intraprese. Tali soggetti, secondo la medesima norma (lett. b), «sovrintendono all’attuazione degli obblighi», dunque, hanno la responsabilità di garantire che le politiche e le procedure di sicurezza siano seguite e che i risultati siano documentati e verificabili.
• Liability – Responsabilità legale per eventuali violazioni dell’art. 20 della Direttiva (rubricato “Governance”).

Nel comma 2, dell’art. 23, del Decreto, si specifica che gli «organi di amministrazione e gli organi direttivi», inoltre:

1. sono tenuti a seguire una formazione specifica in materia di sicurezza informatica;
2. promuovono l’offerta periodica di una formazione coerente a quella di cui alla lettera a) ai loro dipendenti, per favorire l’acquisizione di conoscenze e competenze sufficienti al fine di individuare i rischi e valutare le pratiche di gestione dei rischi per la sicurezza informatica e il loro impatto sulle attività del soggetto e sui servizi offerti. documentare le procedure e le registrazioni, nell’ambito dell’accountability e della liability.

Tali soggetti sono altresì (comma 3) informati su base periodica o, se opportuno, tempestivamente, degli incidenti e delle notifiche previste dal Decreto.

• Obblighi di registrazione e di implementazione.

L’articolo 7, comma 1, del Decreto, prevede che «Dal 1° gennaio al 28 febbraio di ogni anno successivo alla data di entrata in vigore del presente decreto, i soggetti di cui all’articolo 3, si registrano o aggiornano la propria registrazione sulla piattaforma digitale resa disponibile dall’Autorità nazionale competente NIS ai fini dello svolgimento delle funzioni attribuite all’Agenzia per la cybersicurezza nazionale. A tal fine, tali soggetti forniscono o aggiornano almeno le informazioni seguenti:

a) la ragione sociale;

b) l’indirizzo e i recapiti aggiornati, compresi gli indirizzi e-mail e i numeri di telefono;

c) la designazione di un punto di contatto, indicando il ruolo presso il soggetto e i recapiti aggiornati, compresi gli indirizzi e-mail e i numeri di telefono;

d) ove applicabile, i pertinenti settori, sottosettori e tipologie di soggetto di cui agli allegati I, II, III e IV».

Nell’art. 6 della Determinazione del Direttore generale dell’ACN del 26 novembre 2024, è stabilito che «Dal 1° dicembre al 28 febbraio 2025, gli utenti designati quali punti di contatto compilano, tramite il Servizio NIS/Registrazione, la dichiarazione per il soggetto designante ai fini della sua registrazione, assicurandosi che le informazioni fornite siano corrette e aggiornate».

Il punto di contatto, che riferisce direttamente al vertice gerarchico del soggetto NIS nonché agli organi di amministrazione e direttivi del soggetto medesimo, è, come specificato nell’art. 4 della Determinazione, una persona fisica designata dal soggetto NIS con il compito di curare l’attuazione delle disposizioni del decreto NIS per conto del soggetto stesso.

In particolare, il punto di contatto accede al Portale ACN e ai Servizi NIS, effettua, per conto del soggetto, la registrazione di cui all’articolo 7 del decreto NIS, e interloquisce, per conto del soggetto NIS, con l’Autorità nazionale competente NIS.

Le funzioni di punto di contatto possono essere svolte dal rappresentante legale del soggetto NIS, da uno dei procuratori generali del soggetto NIS o da un dipendente del soggetto NIS delegato dal rappresentante legale del soggetto medesimo.

La designazione del punto di contatto, secondo l’art. 4 della Determinazione, può soddisfare l’obbligo di nomina e comunicazione del referente per la cybersicurezza di cui all’articolo 8, comma 2, della legge 28 giugno 2024, n. 90.

Dopodiché, entro il 31 marzo 2025, ACN rilascerà l’elenco dei soggetti essenziali e importanti, con formale comunicazione entro il 15 aprile, e ogni anno, ai sensi dell’art. 7, comma 4, dal 15 aprile al 31 maggio, tramite la medesima piattaforma digitale, i soggetti che hanno ricevuto tale comunicazione «forniscono o aggiornano almeno le informazioni seguenti:

a) lo spazio di indirizzamento IP pubblico e i nomi di dominio in uso o nella disponibilità del soggetto;

b) ove applicabile, l’elenco degli Stati membri in cui forniscono servizi che rientrano nell’ambito di applicazione del presente decreto;

c) i responsabili di cui all’articolo 38, comma 5, indicando il ruolo presso il soggetto e i loro recapiti aggiornati, compresi gli indirizzi e-mail e i numeri di telefono;

d) un sostituto del punto di contatto di cui al comma 1, lettera c), indicando il ruolo presso il soggetto e i recapiti aggiornati, compresi gli indirizzi e-mail e i numeri di telefono».

L’ACN potrà, dunque, sottoporre i soggetti registrati ad attività di vigilanza e audit sulla sicurezza, anche per mezzo di organismi indipendenti, sebbene alcuni specifici obblighi e adempimenti saranno definiti entro la fine del 2025.

Alla luce di tale quadro normativo:

– al più presto, tutte le organizzazioni dovranno svolgere un assessment per stabilire se siano o meno soggette agli obblighi della Direttiva;

– tra il 1° gennaio e il 28 febbraio 2025[13], le organizzazioni che a seguito dell’assessment ritengano di rientrare nell’ambito di applicazione del Decreto dovranno registrarsi sulla piattaforma digitale resa disponibile da ACN, fornendo le informazioni richieste dalla normativa;

– entro il 15 aprile 2025, le organizzazioni che avranno ricevuto la “comunicazione” dovranno nominare un soggetto che ha la responsabilità dell’adempimento degli obblighi del Decreto;

– entro il 31 maggio 2025, le organizzazioni che avranno ricevuto la “comunicazione” dovranno fornire le ulteriori informazioni richieste dal Decreto;

– dal 1° gennaio 2026, sarà operativo anche l’obbligo di notifica degli incidenti, di cui si dirà nel prosieguo del presente contributo;

– entro il 1° ottobre 2026, si dovrà adempiere all’obbligo di raccolta e mantenimento di una banca dei dati di registrazione dei nomi di dominio (ove applicabile), nonché agli obblighi degli organi di amministrazione e direttivi e agli obblighi in materia di misure di sicurezza, che saranno tarati dall’ACN sul rispettivo grado di esposizione dell’organizzazione ai rischi, sulle dimensioni delle organizzazioni, sulla probabilità che si verifichino incidenti, sulla loro gravità in termini di impatto sociale ed economico; in fase di prima applicazione della disciplina, e cioè fino al 31 dicembre 2025, il legislatore nazionale, nell’art. 42 del Decreto, ha inteso prevedere un’applicazione graduale, di conseguenza, sino al 31 dicembre 2025, il termine per l’adempimento degli obblighi di cui agli articoli 23, 24 e 29 è fissato in diciotto mesi dalla “comunicazione”.

Nello specifico, gli obblighi di implementazione sono enucleati nell’art. 24 del Decreto (“Obblighi in materia di gestione dei rischi per la sicurezza informatica”), come di seguito riportato.

«1. I soggetti essenziali e i soggetti importanti adottano misure tecniche, operative e organizzative adeguate e proporzionate, secondo le modalità e i termini di cui agli articoli 30, 31 e 32, alla gestione dei rischi posti alla sicurezza dei sistemi informativi e di rete che tali soggetti utilizzano nelle loro attività o nella fornitura dei loro servizi, nonché per prevenire o ridurre al minimo l’impatto degli incidenti per i destinatari dei loro servizi e per altri servizi. Tali misure:

a) assicurano un livello di sicurezza dei sistemi informativi e di rete adeguato ai rischi esistenti, tenuto conto delle conoscenze più aggiornate e dello stato dell’arte in materia e, ove applicabile, delle pertinenti norme nazionali, europee e internazionali, nonché dei costi di attuazione;

b) sono proporzionate al grado di esposizione a rischi del soggetto, alle dimensioni del soggetto e alla probabilità che si verifichino incidenti, nonché alla loro gravità, compreso il loro impatto sociale ed economico.

2. Le misure di cui al comma 1 sono basate su un approccio multi-rischio, volto a proteggere i sistemi informativi e di rete nonché il loro ambiente fisico da incidenti, e comprendono almeno i seguenti elementi:

a) politiche di analisi dei rischi e di sicurezza dei sistemi informativi e di rete;

b) gestione degli incidenti, ivi incluse le procedure e gli strumenti per eseguire le notifiche di cui agli articoli 25 e 26;

c) continuità operativa, ivi inclusa la gestione di backup, il ripristino in caso di disastro, ove applicabile, e gestione delle crisi;

d) sicurezza della catena di approvvigionamento, ivi compresi gli aspetti relativi alla sicurezza riguardanti i rapporti tra ciascun soggetto e i suoi diretti fornitori o fornitori di servizi;

e) sicurezza dell’acquisizione, dello sviluppo e della manutenzione dei sistemi informativi e di rete, ivi comprese la gestione e la divulgazione delle vulnerabilità;

f) politiche e procedure per valutare l’efficacia delle misure di gestione dei rischi per la sicurezza informatica;

g) pratiche di igiene di base e di formazione in materia di sicurezza informatica;

h) politiche e procedure relative all’uso della crittografia e, ove opportuno, della cifratura;

i) sicurezza e affidabilità del personale, politiche di controllo dell’accesso e gestione dei beni e degli assetti;

l) uso di soluzioni di autenticazione a più fattori o di autenticazione continua, di comunicazioni vocali, video e testuali protette, e di sistemi di comunicazione di emergenza protetti da parte del soggetto al proprio interno, ove opportuno.

3. Nel valutare quali misure di cui al comma 2, lettera d), siano adeguate, i soggetti tengono conto delle vulnerabilità specifiche per ogni diretto fornitore e fornitore di servizi e della qualità complessiva dei prodotti e delle pratiche di sicurezza informatica dei propri fornitori e fornitori di servizi, comprese le loro procedure di sviluppo sicuro[14]. Per la medesima finalità i soggetti tengono altresì conto dei risultati delle valutazioni coordinate dei rischi per la sicurezza delle catene di approvvigionamento critiche effettuate dal Gruppo di cooperazione NIS.

4. Qualora un soggetto rilevi di non essere conforme alle misure di cui al comma 2, esso adotta, senza indebito ritardo, tutte le misure appropriate e proporzionate correttive necessarie».

Appare chiara la scelta del legislatore europeo di non entrare, in tale fase, nel merito delle misure di sicurezza, i cui obblighi («proporzionati») saranno comunque definiti dall’ACN, ai sensi dell’art. 31, comma 1, del Decreto, «tenuto debitamente conto del grado di esposizione dei soggetti ai rischi, delle dimensioni dei soggetti e della probabilità che si verifichino incidenti, nonché della loro gravità, compreso il loro impatto economico e sociale».

Ai sensi del comma 2, dell’art. 31, l’Autorità NIS stabilisce, altresì, «termini, modalità, specifiche e tempi graduali di implementazione degli obblighi di cui al comma 1, secondo le modalità di cui all’articolo 40, comma 5, anche differenziandoli in relazione:

a) alle categorie di rilevanza di cui all’articolo 30, comma 2, delle attività e dei servizi che i sistemi informativi e di rete supportano, svolgono o erogano;

b) al settore, al sottosettore e alla tipologia di soggetto, tenendo conto del grado di maturità iniziale nell’ambito della sicurezza informatica;

c) all’individuazione del soggetto quale essenziale o importante».

E però, appare opportuno segnalare che la Commissione UE, come previsto dalla Direttiva, ha adottato di recente un Regolamento di esecuzione[15], cui si rinvia, che riguarda soltanto alcuni soggetti (fornitori di servizi DNS, i registri dei nomi di dominio di primo livello, i fornitori di servizi di cloud computing, i fornitori di servizi di data center, i fornitori di reti di distribuzione dei contenuti, i fornitori di servizi gestiti, i fornitori di servizi di sicurezza gestiti, i fornitori di mercati online, di motori di ricerca online e di piattaforme di servizi di social network, nonché i prestatori di servizi fiduciari) e che stabilisce i requisiti tecnici e metodologici delle misure.

Sebbene tali requisiti siano applicabili soltanto ai soggetti elencati, costituiscono un punto di riferimento per le strategie di security, pur essendo, nella stragrande maggioranza dei casi, generici, similmente all’elencazione del comma 2 dell’art. 24, e coincidenti con quanto richiesto per la certificazione ISO/IEC 27001.

È opportuno, altresì, dare conto dell’articolo 27 della Direttiva (“Uso di schemi di certificazione della cybersicurezza”), in cui il legislatore ha inteso attribuire alle autorità nazionali NIS, al fine di dimostrare il rispetto degli obblighi di cui all’articolo 24, la facoltà di «imporre ai soggetti essenziali e ai soggetti importanti di utilizzare categorie di prodotti TIC, servizi TIC e processi TIC, di cui, rispettivamente, all’articolo 2, comma 1, lettere ff) , gg) e hh) , sviluppati dal soggetto essenziale o importante o acquistati da terze parti, che siano certificati nell’ambito dei sistemi europei di certificazione della cybersicurezza di cui all’articolo 49 del regolamento (UE) 2019/881 del Parlamento europeo e del Consiglio, del 17 aprile 2019».

• Obblighi di notifica.

Come accennato, la normativa de qua impone, anche allo scopo di contenere eventi di entità potenzialmente nazionale e/o europea, l’obbligo di notificare al Computer Security Incident Response Team – Italia (“CSIRT Italia”), istituito presso l’ACN[16], eventuali incidenti che abbiano un “impatto significativo” sulla fornitura dei loro servizi senza ingiustificato ritardo.

Poiché dalla valutazione se un incidente è o meno significativo dipenderà la necessità di comunicare un incidente all’ACN, è importante specificare che tale locuzione (ai sensi dell’art. 23, par. 3, della Direttiva nonché dell’art. 25, comma 4, del Decreto) comprende un incidente:

• che ha causato o è in grado di causare una grave perturbazione operativa dei servizi o perdite finanziarie per i soggetti interessati;
• ha avuto ripercussioni o è in grado di ripercuotersi su altre persone fisiche o giuridiche, causando perdite materiali o immateriali considerevoli[17].

Ai sensi del comma 5, dell’art. 25, del Decreto, entro 24 ore da quando si viene a conoscenza dell’incidente “significativo” deve essere inviato un early warning (pre-notifica) all’autorità competente che indichi, ove possible, se l’incidente viene sospettato essere il risultato di atti illegittimi o malevoli e può avere un impatto transfrontaliero.

Entro le 72 ore deve essere altresì prodotta una notifica dell’incidente con un’analisi dettagliata del fatto, che aggiorni le informazioni della pre-notifica e contenga una valutazione iniziale sulla gravità e sull’impatto, nonché, ove disponibili, gli indicatori di compromissione.

Al CSIRT (che può chiedere una relazione intermedia sui pertinenti aggiornamenti della situazione) è obbligatorio inviare una relazione finale entro un mese dall’evento, contenente una descrizione di maggior dettaglio, comprensiva di:

1) una descrizione dettagliata dell’incidente, ivi inclusi la sua gravità e il suo impatto;

2) il tipo di minaccia o la causa originale (root cause) che ha probabilmente innescato l’incidente;

3) le misure di attenuazione adottate e in corso;

4) ove noto, l’impatto transfrontaliero dell’incidente.

In caso di incidente in corso al momento della trasmissione della relazione finale, è necessario inviare, ai sensi dell’art. 25, comma 5, lettera e), una relazione mensile sui progressi e una relazione finale entro un mese dalla conclusione della gestione dell’incidente.

L’ACN, ove lo ritenga opportuno, può informare il pubblico circa l’incidente, allo scopo di prevenire eventuali propagazioni dell’evento o per interesse pubblico.

Giova ricordare che il Decreto ha codificato l’obbligo, per il CSIRT, di fornire un supporto agli enti “attaccati” entro 24 ore dalla prenotifica, mediante un riscontro sull’incidente e orientamenti sulle possibili misure di mitigazione, nonché, ove il segnalante lo richieda, supporto tecnico, e, se aleggia il sospetto che l’incidente abbia carattere criminale, orientamenti sull’opportunità di segnalare l’evento all’organo centrale del Ministero dell’interno per la sicurezza e la regolarità dei servizi di telecomunicazione.

Il Decreto ha stabilito che i soggetti essenziali e importanti sono tenuti a notificare gli incidenti significativi anche ai destinatari dei loro servizi, se possano ripercuotersi negativamente sulla fornitura, indicando, possibilmente, le conseguenti minacce e misure di mitigazione da adottare.

Infine, va segnalato che, in fase di prima applicazione della disciplina, e cioè fino al 31 dicembre 2025, il legislatore nazionale, nell’art. 42, comma 1, lett. c), del Decreto, ha inteso prevedere un’applicazione graduale, di conseguenza, sino al 31 dicembre 2025, il termine per l’adempimento degli obblighi di cui all’articolo 25 (obblighi di notifica) è fissato in nove mesi dalla ricezione della comunicazione di cui all’articolo 7, comma 3, lettere a) e b). L’ACN può, tuttavia, stabilire modalità e specifiche di base per assicurare la conformità dei soggetti essenziali e dei soggetti importanti.

• Vigilanza e sanzioni.

La Direttiva ha previsto che le Autorità nazionali competenti possano esercitare una serie di poteri di vigilanza, quali lo svolgimento di audit sulla sicurezza[18], ispezioni in loco presso la sede delle organizzazioni, scansioni di sicurezza e richieste di accesso a dati e informazioni, ivi comprese le evidenze delle politiche adottate.

Il legislatore nazionale, dunque, ha codificato tali poteri nell’art. 34, comma 1, del Decreto, laddove ha previsto che l’ACN «monitora e valuta il rispetto da parte dei soggetti essenziali e dei soggetti importanti degli obblighi previsti dall’articolo 7 e dal capo IV, nonché i relativi effetti sulla sicurezza dei sistemi informativi e di rete», svolgendo le richiamate attività di vigilanza.

Nel comma 4, il legislatore ha inteso chiarire che l’ACN «vigila sul rispetto, da parte degli enti della pubblica amministrazione, del presente decreto, con indipendenza operativa rispetto agli enti della pubblica amministrazione sottoposti a vigilanza».

L’art. 36, comma 1, del Decreto, specifica che l’ACN può sottoporre le organizzazioni cui è applicabile la disciplina de qua, «a:

a) verifiche della documentazione e delle informazioni trasmesse all’Autorità nazionale competente NIS ai sensi del presente decreto;

b) ispezioni in loco e a distanza, compresi controlli casuali;

c) richieste di accesso a dati, documenti e altre informazioni necessari allo svolgimento dei poteri di cui al presente articolo, dichiarando la finalità della richiesta e specificando le informazioni richieste ai soggetti».

Dopo che, nell’aprile 2025, l’ACN avrà completato la lista dei “soggetti NIS2”, ove verranno riscontrate difformità rispetto alle prescrizioni della Direttiva e del Decreto, invierà una diffida all’operatore e, nel caso di cui le anomalie non siano state sanate o sanabili, potrà irrogare sanzioni in funzione del fatto che lo stesso sia qualificato come essenziale o come importante:

1. per i soggetti essenziali, escluse le pubbliche amministrazioni, con sanzioni amministrative pecuniarie fino a un massimo di euro 10.000.000 o del 2% del totale del fatturato annuo su scala mondiale per l’esercizio precedente del soggetto, se tale importo è superiore;
2. per i soggetti importanti, escluse le pubbliche amministrazioni, con sanzioni amministrative pecuniarie fino a un massimo di euro 7.000.000 o dell’1,4% del totale del fatturato annuo su scala mondiale per l’esercizio precedente del soggetto, se tale importo è superiore;
3. per le pubbliche amministrazioni con sanzioni amministrative pecuniarie da euro 25.000 a euro 125.000.

Il Decreto ha previsto un minimo edittale delle sanzioni che è un ventesimo o di un trentesimo del massimo edittale rispettivamente per i soggetti essenziali e quelli importanti.

Per le violazioni meno gravi (quali, ad esempio, la mancata o inesatta registrazione, comunicazione o aggiornamento delle informazioni sulla piattaforma dell’ACN, la mancata collaborazione con l’ACN, ecc.) è prevista una sanzione fino al 0,1% o fino allo 0,07% del fatturato mondiale annuo, mentre, la reiterazione delle violazioni, può comportare aumenti delle sanzioni fino al triplo.

Sanzioni accessorie possono essere irrogate ove l’ACN veda ignorata la sua richiesta di implementazione di determinate misure, con conseguente sospensione di un certificato o un’autorizzazione relativi ai servizi erogati dal soggetto o divieti di svolgere funzioni dirigenziali nell’ente ai componenti degli organi di amministrazione e direttivi.

Quanto, infine, alle circostanze di cui terrà conto l’ACN nell’irrogare le sanzioni, si deve far riferimento all’elenco di cui al comma 6, dell’art. 34, del Decreto, ossia:

«a) la gravità della violazione e l’importanza delle disposizioni violate, considerando gravi in particolare:

1) le violazioni ripetute;

2) la mancata notifica di incidenti significativi o il mancato rimedio a tali incidenti;

3) il mancato rimedio alle carenze a seguito di istruzioni vincolanti emesse dall’Autorità nazionale competente NIS;

4) l’ostacolo alle attività di vigilanza di cui al presente capo;

5) la fornitura di informazioni false o gravemente inesatte relative agli obblighi di cui al presente decreto;

b) la durata della violazione;

c) eventuali precedenti violazioni pertinenti commesse dal soggetto interessato;

d) qualsiasi danno materiale o immateriale causato, incluse le perdite finanziarie o economiche, gli effetti sugli altri servizi e il numero di utenti interessati;

e) un’eventuale condotta intenzionale o negligenza da parte dell’autore della violazione;

f) qualsiasi misura adottata dal soggetto per prevenire o attenuare il danno materiale o immateriale;

g) qualsiasi adesione a codici di condotta o meccanismi di certificazione approvati;

h) il livello di collaborazione delle persone fisiche o giuridiche ritenute responsabili con l’Autorità nazionale competente NIS».

• NIS e GDPR.

La cibersicurezza è la pricipale difesa per i soggetti titolari dei trattamenti di dati personali, poiché è, in primo luogo, un argine contro gli accessi non autorizzati, e una sua gestione ottimale difende i tre pilastri del RID –  riservatezza, integrità e disponibilità del dato –  ai quali la Direttiva NIS2 (e anche il Regolamento “DORA”[19]) aggiunge l’autenticità del dato, definita, nella certificazione ISO/IEC 27000:2018, come la qualità di un dato di “essere ciò che afferma di essere”, dunque comprendente affidabilità e non-repudiation (non ripudio), principio che impedisce a una entità di negare la propria partecipazione a un’azione digitale né la sua autenticità.

La definizione di «incidente», nel Decreto, come accennato, comprende «un evento che compromette la disponibilità, l’autenticità, l’integrità o la riservatezza di dati conservati, trasmessi o elaborati o dei servizi offerti dai sistemi informativi e di rete o accessibili attraverso di essi».

Il motivo dell’introduzione dell’autenticità nel RID (rectius, RIDA) è, infatti, dovuto al crescere costante, da un lato, del fenomeno delle tecniche di ingegneria sociale e, dall’altro, alla grande diffusione dell’Internet of Things (IoT) e del cloud, rendendo necessario non solo avere meccanismi di autenticazione affidabili e scalabili, ma anche essere sicuri che le informazioni derivino realmente dalla fonte che afferma di inviarle e che, nella catena di trasmissione delle comunicazioni, non siano state modificate (prevenzione di attacchi man-in-the-middle, phishing, ecc.[20]); si pensi a marca temporale, firma elettronica, certificati digitali, crittografia, metadati ecc.

Nel Considerando 79 della Direttiva il legislatore ha affermato a chiare lettere la necessità di adottare, per le misure di gestione dei rischi di cibersicurezza, un approccio multirischio «mirante a proteggere i sistemi informatici e di rete e il loro ambiente fisico da eventi quali furti, incendi, inondazioni, problemi di telecomunicazione o interruzioni di corrente, o da qualsiasi accesso fisico non autorizzato nonché dai danni alle informazioni detenute dai soggetti essenziali o importanti e agli impianti di trattamento delle informazioni di questi ultimi e dalle interferenze con tali informazioni o impianti che possano compromettere la disponibilità, l’autenticità, l’integrità o la riservatezza dei dati conservati, trasmessi o elaborati o dei servizi offerti da tali sistemi informatici e di rete o accessibili attraverso di essi».

Inoltre, coerentemente con la Direttiva 2022/2557 (“CER”) ove applicabile, i soggetti essenziali e importanti dovrebbero, altresì, affrontare «la questione della sicurezza delle risorse umane e disporre di strategie adeguate di controllo dell’accesso».

Orbene, nei report di audit, nei pareri e nelle relazioni dei Data Protection Officer, ricorre spesso l’approccio multirischio, che nello specifico ambito della protezione dati personali viene tarato sulla gravità degli impatti sulla vita degli interessati.

L’adozione di tale approccio è dettata – oltre che dalla norma di certificazione ISO 27001 – dal GDPR[21], nel quadro del combinato disposto dell’art. 5, par. 1, lett. f), dedicato al principio di integrità e riservatezza del trattamento, e dell’art. 32, laddove prescrive che:

«tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio (art. 32, par. 1)»;

«nel valutare l’adeguato livello di sicurezza, si tiene conto in special modo dei rischi presentati dal trattamento che derivano in particolare dalla distruzione, dalla perdita, dalla modifica, dalla divulgazione non autorizzata o dall’accesso, in modo accidentale o illegale, a dati personali trasmessi, conservati o comunque trattati» (art. 32, par. 2)».

Va da sé che è necessario definire e implementare misure di sicurezza adeguate al rischio, monitorandone l’efficacia, e ciò costituisce un primo punto di contatto, in termini di compliance normativa, tra il GDPR e gli obblighi di implementazione dettati dalla Direttiva NIS2.

In secondo luogo, con riferimento agli obblighi di formazione, poiché, come accennato, nel comma 2, dell’art. 23, del Decreto, si specifica che gli «organi di amministrazione e gli organi direttivi» sono tenuti, da un lato, a seguire corsi di formazione specificici in materia di sicurezza informatica, e, d’altro canto, a promuovere l’offerta periodica di una formazione ai loro dipendenti, sarà necessario strutturare, con il supporto del DPO, una serie di sessioni formative obbligatorie in tema di cibersicurezza, risk assessment e incident management che, fatte salve le premesse sul contesto normativo di riferimento, abbiano “un taglio” prettamente operativo, principalmente per rispondere a domande quali “come valutare in astratto il rischio di un eventuale incidente?”, “mediante quali misure di sicurezza si può mitigare tale rischio?”, “cosa fare e chi coinvolgere nell’immediatezza di un incidente?”, “come valutare il rischio concreto di un incidente occorso?”, ecc.

Peraltro, il Decreto prevede che i soggetti che saranno qualificati come essenziali o importanti dovranno comunicare e aggiornare annualmente, tramite la piattaforma messa a disposizione da ACN, un elenco delle attività svolte e dei servizi erogati.

Infine, appare necessario un coordinamento con il DPO in merito al riesame della procedura interna di Incident Response, verosimilmente coordinata con la procedura di gestione delle violazioni di dati personali (data breach) adottata ai fini della piena conformità agli articoli 33 e 34 del GDPR, disposizioni, queste, che prevedono obblighi di notifica alle autorità di controllo dell’applicazione del Regolamento (in Italia l’Autorità Garante per la protezione dei dati personali) nonché obblighi di comunicazione agli interessati laddove vi siano rischi elevati per i medesimi.

In tale contesto, fin dalla fase iniziale dell’application della disciplina NIS2 nella governance dell’organizzazione, considerata la complementarità tra le normative NIS2 e GDPR, anche nell’ottica del principio di accountability caro al legislatore del 2016, sembra consigliabile coinvolgere il DPO per addivenire a una compliance integrata.

Ciò sarà ancor più necessario ove gli organi di amministrazione decidano di adottare un “Sistema di Gestione” o un “Modello Organizzativo” ad hoc per la NIS2[22] –  comprendente una procedura per l’analisi e il trattamento dei rischi cyber potenzialmente disastrosi, con riferimento ai requisiti 6.1.2 e 6.1.3 della ISO/IEC 27001:2022 –  nell’intento di raccogliere e documentare le misure di gestione del rischio adottate per garantire la sicurezza cibernetica dell’organizzazione, compreso un criterio per l’effettuazione di audit di conformità legislativa (sia dell’organizzazione sia del sistema di gestione).

---

[1] Direttiva (UE) 2022/2555 del Parlamento europeo e del Consiglio del 14 dicembre 2022 relativa a misure per un livello comune elevato di cibersicurezza nell’Unione, recante modifica del regolamento (UE) n. 910/2014 e della direttiva (UE) 2018/1972 e che abroga la direttiva (UE) 2016/1148, in https://eur-lex.europa.eu/eli/dir/2022/2555

[2] Regolamento (UE) 2019/881 del Parlamento europeo e del Consiglio, del 17 aprile 2019, relativo all’ENISA, l’Agenzia dell’Unione europea per la cibersicurezza, e alla certificazione della cibersicurezza per le tecnologie dell’informazione e della comunicazione, e che abroga il regolamento (UE) n. 526/2013 («regolamento sulla cibersicurezza»), in https://digital-strategy.ec.europa.eu/it/policies/cybersecurity-act, nonché la relativa normativa di recepimento, Decreto legislativo 3 agosto 2022, n. 123, Norme di adeguamento della normativa nazionale alle disposizioni del Titolo III «Quadro di certificazione della cibersicurezza» del regolamento (UE) 2019/881.

[3] Proposal for a REGULATION OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL on horizontal cybersecurity requirements for products with digital elements and amending Regulation (EU) 2019/1020, in https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=celex:52022PC0454

[4] L’articolo 40 del Decreto affida alla Presidenza del Consiglio dei Ministri e alla Autorità nazionale di cybersicurezza (“ACN”) di adottare, secondo un calendario che arriva fino all’aprile del 2026, dei provvedimenti attuativi, tra i quali quelli sull’individuazione, entro il 16 novembre 2024, dei soggetti ai quali le norme si applicano a prescindere dalle loro dimensioni. Inoltre, entro il mese di aprile del 2025, verrà adottato un DPCM comprendente norme di dettaglio su vigilanza e sanzioni.

[5] Perimetro di Sicurezza Nazionale Cibernetico (PSNC), sulla sicurezza informatica delle reti, dei sistemi e dei servizi che possono avere un impatto sulla sicurezza nazionale. Il Decreto Legislativo 105/2019 ha introdotto il PSNC con l’obiettivo di “tutelare la sicurezza dello Stato e garantire un elevato livello di sicurezza cibernetica da cui dipende l’esercizio di una funzione essenziale o l’erogazione di un servizio essenziale dello Stato”. L’Art. 33 della Direttiva NIS2 specifica che il PSNC risulta equivalente alla NIS2 per la gestione del rischio e il sistema di notifica alle autorità, sebbene ai soggetti nel PSNC non si applichi la Direttiva.

[6] “Disposizioni in materia di rafforzamento della cybersicurezza nazionale e di reati informatici”, che si applica alle «pubbliche amministrazioni centrali individuate ai sensi dell’articolo 1, comma 3, della legge 31 dicembre 2009, n. 196, le regioni e le province autonome di Trento e di Bolzano, le città metropolitane, i comuni con popolazione superiore a 100.000 abitanti e, comunque, i comuni capoluoghi di regione, nonché le società di trasporto pubblico urbano con bacino di utenza non inferiore a 100.000 abitanti, le società di trasporto pubblico extraurbano operanti nell’ambito delle città metropolitane e le aziende sanitarie locali».

[7] Direttiva UE 2022/2557, che sostituisce la precedente direttiva del 2008 sulla resilienza delle infrastrutture critiche (energia, trasporti, banche, acque, pubblica amministrazione, spazio, ecc.), con l’obiettivo di rafforzare la sicurezza per le minacce come rischi naturali, attacchi terroristici, minacce interne o sabotaggio, e, parallelamente alla NIS2, mira a proteggere le infrastrutture diverse da quelle informatiche dei soggetti critici. La Direttiva “CER” è stata recepita nel nostro ordinamento con il Decreto Legislativo 4 settembre 2024, n. 134.

[8] Per le sottocategorie si rinvia all’allegato I del Decreto (“Soggetti ad alta criticità”).

[9] Per le sottocategorie si rinvia all’allegato II del Decreto (“Altri soggetti critici”).

[10] Allegati III e IV del Decreto (“Amministrazioni centrali, regionali, locali e di altro tipo” e “Ulteriori tipologie di soggetti”).

[11] Elenco ISTAT più recente disponibile al link https://www.istat.it/wp-content/uploads/2016/09/Istat_lista_AAPP_settembre2023.pdf

[12] In particolare, il Chief Information Security Officer (CISO), è la figura centrale per (i) la stesura del piano strategico dell’organizzazione in materia di sicurezza che renda le misure di sicurezza coerenti con le normative e le migliori pratiche, (ii) il coordinamento e l’implementazione delle misure, (iii) la vigilarnza sugli aggiornamenti del piano rispetto all’evoluzione tecnologica e alle minacce emergenti.

[13] Il termine è invece il 17 gennaio per i fornitori di servizi di sistema dei nomi di dominio, i gestori di registri dei nomi di dominio di primo livello, i fornitori di servizi di registrazione dei nomi di dominio, i fornitori di servizi di cloud computing, i fornitori di servizi di data center, i fornitori di reti di distribuzione dei contenuti, i fornitori di servizi gestiti, i fornitori di servizi di sicurezza gestiti, nonché i fornitori di mercati online, di motori di ricerca online e di piattaforme di servizi di social network.

[14] La NIS2 richiede alle organizzazioni di affrontare tempestivamente le vulnerabilità di sicurezza, dunque, in sostanza, l’implementazione di processi periodici di scansione e di strumenti di gestione delle vulnerabilità, fondamentali per applicare le correzioni tempestivamente.

[15] Regolamento di esecuzione (UE) 2024/2690 della Commissione UE.

[16] Al link https://www.csirt.gov.it/segnalazione la pagina di notifica, mentre al link https://www.acn.gov.it/portale/w/acn-pubblica-la-guida-alla-notifica-degli-incidenti-informatici la guida (links consultati il 4 novembre 2024).

[17] Va segnalato altresì che nel citato Regolamento di Esecuzione 2024/2690 un incidente è considerato significativo ai fini della direttiva NIS 2 se sono soddisfatti uno o più dei criteri seguenti: 1) l’incidente ha causato o è in grado di causare al soggetto in perimetro una perdita finanziaria diretta superiore a € 500.000, o al 5 % del suo fatturato totale annuo dell’esercizio precedente, se tale importo è inferiore; 2) l’incidente ha causato o è in grado di causare l’esfiltrazione di segreti commerciali del soggetto in perimetro (ex art. 2.1 Dir. UE 2016/943); 3) l’incidente ha causato o è in grado di causare il decesso di una persona fisica; 4) l’incidente ha causato o è in grado di causare danni considerevoli alla salute di una persona fisica; 5) si è verificato un accesso non autorizzato ai sistemi informativi e di rete, che si sospetta essere malevolo ed è in grado di causare gravi perturbazioni operative; 6) l’incidente, somma di più eventi che singolarmente non sono considerati significativi, soddisfa tutti i seguenti criteri: almeno due volte nell’arco di sei mesi; nel ripetersi presenta la stessa causa; soddisfa il punto 1 (perdita finanziaria).

[18] Con riferimento agli audit, è opportuno ricordare quanto previsto dal comma 7, dell’art. 34, del Decreto: «Gli audit sulla sicurezza, periodici e mirati, nonché le scansioni di sicurezza di cui agli articoli 35 e 37, sono svolti da organismi indipendenti e si basano su valutazioni del rischio effettuate dall’Autorità nazionale competente NIS o dal soggetto sottoposto ad audit o su altre informazioni disponibili in relazione ai rischi. L’Autorità nazionale competente NIS può richiedere, anche solo in parte, di acquisire gli esiti di tali audit sulla sicurezza e di tali scansioni di sicurezza. I costi di tali audit sulla sicurezza e di tali scansioni di sicurezza sono a carico del soggetto sottoposto ad audit, salvo in casi debitamente giustificati in cui l’Autorità nazionale competente NIS decida altrimenti, in linea con il piano di risposta agli incidenti e alle crisi informatiche su vasta scala di cui all’articolo 13, comma 3».

[19] REGOLAMENTO (UE) 2022/2554 DEL PARLAMENTO EUROPEO E DEL CONSIGLIO del 14 dicembre 2022 relativo alla resilienza operativa digitale per il settore finanziario e che modifica i regolamenti (CE) n. 1060/2009, (UE) n. 648/2012, (UE) n. 600/2014, (UE) n. 909/2014 e (UE) 2016/1011.

[20] L’ACN ha definito una “tassonomia cyber” in grado di: agevolare lo scambio di informazioni a livello nazionale attraverso l’adozione di un lessico comune che rappresenti una base metodologica sia per la condivisione di informazioni riguardo agli eventi cyber sia per la notifica degli incidenti al CSIRT Italia; identificare, definire e caratterizzare gli eventi cyber attraverso un’unica tassonomia rilevante a livello nazionale; fornire alle organizzazioni un documento che si armonizzi con le tassonomie internazionali in materia di cybersecurity e che sia al contempo adeguato al contesto normativo nazionale.

[21] REGOLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO E DEL CONSIGLIO del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati).

[22] Va ricordato che un “Sistema di Gestione” o un “Modello Organizzativo”, una volta adottati, sono vincolanti per tutti i dipendenti ai sensi dell’art. 2104 del Codice civile (Diligenza del prestatore di lavoro).