Consulenza Direttiva NIS2

Il d.lgs. n. 138/2024 (decreto NIS) recante il recepimento della nuova Direttiva NIS, indica all’articolo 3 il suo ambito di applicazione. In particolare, vi rientrano i soggetti pubblici e privati delle tipologie di cui agli allegati I, II, III e IV, che sono sottoposti alla giurisdizione nazionale ai sensi dell’articolo 5.

Nell’allegato I del decreto sono elencati i settori altamente critici. Nell’allegato II sono elencati gli altri settori critici.

Nell’allegato III sono elencate le categorie di pubbliche amministrazioni alle quali si applica il decreto.

Nell’allegato IV sono elencate le ulteriori tipologie di soggetti a cui si applica il decreto a seguito di identificazione governativa.

La maggior parte dei soggetti pubblici e privati rientrano nell’ambito di applicazione sulla base dei criteri (dimensioni e tipologia di soggetto) stabiliti dal decreto, mentre un numero limitato di ulteriori soggetti può essere inserito nell’ambito di applicazione in esito all’identificazione da parte dell’Autorità nazionale competente NIS, su proposta delle Autorità di settore competenti.

In particolare, ricadono nell’ambito di applicazione del decreto NIS i soggetti pubblici e privati che, ai sensi dell’articolo 3, soddisfano i seguenti criteri: 

• appartengono alle tipologie di cui agli allegati I e II e superano i massimali per le piccole imprese (ossia sono almeno medie imprese) ai sensi dell’articolo 2, paragrafo 2, dell’allegato alla raccomandazione 2003/361/CE;
• indipendentemente dalle loro dimensioni (ovvero anche micro e piccole imprese) sono:
  • identificati come soggetti critici ai sensi del d.lgs. 134/2024 che recepisce la Direttiva (UE) 2022/2557 del Parlamento europeo e del Consiglio, del 14 dicembre 2022 (Direttiva CER – Resilience of Critical Entities);
  • fornitori di reti pubbliche di comunicazione elettronica o di servizi di comunicazione elettronica accessibili al pubblico (allegato I);
  • prestatori di servizi fiduciari (allegato I);
  • gestori di registri dei nomi di dominio di primo livello e fornitori di servizi di sistema dei nomi di dominio (allegato I);
  • fornitori di servizi di registrazione dei nomi di dominio (allegato II);
  • pubbliche amministrazioni di cui all’articolo 1, comma 3, della legge 31 dicembre 2009, n. 196, ricomprese nelle categorie elencate nell’allegato III;
  • imprese associate o collegate ad un soggetto essenziale o importante che soddisfano almeno uno dei seguenti criteri:
    • adottano decisioni o esercitano una influenza dominante sulle decisioni relative alle misure di gestione del rischio per la sicurezza informatica di un soggetto importante o essenziale;
    • detengono o gestiscono sistemi informativi e di rete da cui dipende la fornitura dei servizi del soggetto importante o essenziale;
    • effettuano operazioni di sicurezza informatica del soggetto importante o essenziale;
    • forniscono servizi TIC o di sicurezza, anche gestiti, al soggetto importante o essenziale.

Tali soggetti dovranno riconoscersi in base ai suddetti criteri, autoidentificarsi e manifestarsi all’Autorità nazionale competente NIS attraverso l’apposita registrazione sulla piattaforma digitale messa a disposizione da ACN (articolo 7, comma 1).

Inoltre, l’Autorità Nazionale Competente NIS (ACN) su proposta delle Autorità di settore, può identificare:

• sulla base di una valutazione del rischio:
  • i soggetti che forniscono servizi di trasporto pubblico locale (allegato IV);
  • gli istituti di istruzione che svolgono attività di ricerca (allegato IV);
  • i soggetti che svolgono attività di interesse culturale (allegato IV);
  • le società in house, società partecipate e società a controllo pubblico, come definite nel decreto legislativo 19 agosto 2016, n. 175 (allegato IV);
• ulteriori soggetti, indipendentemente dalle loro dimensioni, che appartengono ai settori o alle tipologie di cui agli allegati I, II, III e IV che soddisfano almeno uno dei seguenti criteri:
  • il soggetto era stato già identificato come operatore di servizi essenziali ai sensi del decreto legislativo 18 maggio 2018, n. 65 (NIS) ossia prima della data di entrata in vigore del decreto di recepimento della NIS2;
  • il soggetto è l’unico fornitore nazionale di un servizio essenziale per il mantenimento di attività sociali o economiche fondamentali;
  • una perturbazione del servizio fornito dal soggetto potrebbe avere un impatto significativo sulla sicurezza pubblica, l’incolumità pubblica o la salute pubblica;
  • una perturbazione del servizio fornito dal soggetto potrebbe comportare un rischio sistemico significativo, in particolare per i settori nei quali tale perturbazione potrebbe avere un impatto transfrontaliero;
  • il soggetto è critico in ragione della sua particolare importanza a livello nazionale o regionale per quel particolare settore o tipo di servizio o per altri settori indipendenti nel territorio dello Stato;
  • il soggetto è considerato critico ai sensi del presente decreto quale elemento sistemico della catena di approvvigionamento, anche digitale, di uno o più soggetti considerati essenziali o importanti.

Tali soggetti, alla conclusione della procedura di identificazione di cui all’articolo 3, comma 13, riceveranno una specifica notifica da parte dell’Autorità nazionale competente NIS e di conseguenza dovranno successivamente registrarsi sulla piattaforma di ACN (articolo 7, comma 1) 

La Direttiva NIS2 aggiorna le norme dell’UE in materia di cybersicurezza introdotte nel 2016 modernizzando e uniformando il quadro giuridico esistente. Fa parte di un ampio pacchetto di strumenti giuridici e di iniziative a livello dell’Unione, mirato ad aumentare la resilienza di soggetti pubblici e privati alle minacce nell’ambito cibernetico.

I principali elementi della nuova normativa NIS sono:

1. l’estensione degli ambiti di applicazione rispetto alla precedente normativa NIS.
   La nuova normativa riguarda, in particolare:
   • oltre 80 tipologie di soggetto, raggruppate in 18 settori, di cui 11 settori altamente critici (originariamente 8) e 7 settori critici (originariamente nessuno);
   • l’intera infrastruttura ICT del soggetto (originariamente solo reti e sistemi serventi i servizi essenziali);
2. l’identificazione dei soggetti, distinti tra essenziali e importanti:
   • prevede un meccanismo di identificazione automatica sulla base di criteri oggettivi, includendo nell’ambito di applicazione tutti i soggetti riconducibili alle specifiche tipologie individuate dalla normativa che sono ritenute medie o grandi imprese (micro e piccole imprese, salvo eccezioni, sono fuori ambito) ai sensi della Raccomandazione 2003/361/CE;
   • può anche essere esercitata dall’Autorità nazionale competente NIS, su proposta delle Autorità di settore competenti, per inserire nell’ambito di applicazione ulteriori soggetti (cd. identificazione governativa);
3. il rafforzamento degli obblighi con:
   • l’obbligo di implementare misure di sicurezza in relazione ad almeno 10 ambiti, con un approccio multi-rischio e proporzionale rispetto al rischio posto al sistema informativo e di rete;
   • un processo di notifica degli incidenti più articolato;
   • un rafforzamento dei poteri di esecuzione, ispettivi e sanzionatori. In particolare, le sanzioni si allineano a quanto previsto dal GDPR;
4. l’introduzione di nuovi strumenti, quali:
   • la divulgazione coordinata delle vulnerabilità (CVD);
   • la gestione delle crisi, specie a carattere transfrontaliero, con l’istituzione del Cyber crisis liaison organisation network (CyCLONe) e dell’Autorità nazionale competente per la gestione delle crisi informatiche.

I principali obblighi previsti dal decreto riguardano:

-la registrazione e l’aggiornamento delle informazioni;
-gli obblighi in materia di misure di sicurezza informatica;
-gli obblighi in materia di notifica di incidente;

La nuova normativa NIS2 mira a garantire un aumento del livello di sicurezza cibernetica comune, grazie all’armonizzazione delle norme applicabili ai diversi operatori nei diversi Stati membri e al rafforzamento dei livelli standard di sicurezza rispetto a quelli previsti dalla disciplina vigente.

Ciò contribuirà ad un maggior livello di protezione dei dati anche personali, come richiesto dal GDPR.

Le sanzioni previste dal decreto sono differenziate in base alla gravità delle violazioni e alla tipologia dell’ente coinvolto. Per gli enti essenziali, le sanzioni possono arrivare fino a un massimo di 10 milioni di euro o il 2% del fatturato globale annuo totale dell’anno precedente, a seconda di quale sia il valore più alto. Per gli enti ritenuti importanti, le sanzioni possono raggiungere fino a 7 milioni di euro o l’1,4% del fatturato globale annuo totale dell’anno precedente, se superiore​

Inoltre, il decreto prevede anche la responsabilità personale dei dirigenti e degli organi di gestione, con la possibilità di applicare loro sanzioni amministrative accessorie, come l’inabilità temporanea all’esercizio di funzioni dirigenziali. È prevista anche la sospensione delle certificazioni o delle autorizzazioni relative, in tutto o in parte, ai servizi forniti dall’ente penalizzato​