Dal 16 ottobre 2024 è in vigore la nuova normativa Network and Information Security (direttiva NIS), recepita con il D.Lgs. 138/2024 (Decreto NIS). Tale direttiva è un passo importantissimo verso una sicurezza informatica maggiore, nonchè una spinta verso l’adozione da parte delle aziende di piani di Business Continuity per garantire la continuità operativa in caso di incidenti e responsabilità specifiche per gli organi di amministrazione e direttivi.
Tra gli obbiettivi principali della normativa si riscontra:
- il rafforzare la cybersecurity nell’Unione Europea
- il promuovere un quadro normativo più uniforme tra gli Stati membri
- elevare il livello di sicurezza informatica, ridurre le vulnerabilità e aumentare la resilienza delle infrastrutture critiche, sia pubbliche che private, di fronte alle crescenti minacce cyber.
Gli interessati dalla NIS2
La direttiva si applica principalmente ad “organizzazioni di medie e grandi dimensioni”, con esclusione delle imprese con meno di 50 dipendenti o un fatturato annuo inferiore a 10 milioni di euro, a meno che non siano considerate di importanza critica. Anche le piccole imprese potrebbere, infatti, essere coinvolte se operanti in settori critici o facenti parte della catena di approvvigionamento di soggetti classificati “essenziali”.
I principali settori di rilievo sono quelli “tradizionali“:
I principali settori di rilievo sono quelli “tradizionali“:
- Energia
- Telecomunicazioni
- Trasporti
- Banche e mercati finanziari
- Sanità.
Inoltre, e classificati come settori ad alta criticità, ci sono:
- Acque reflue
- Gestione dei servizi ICT B2B
- Pubblica amministrazione
- Spazio.
Concludiamo poi, con gli altri settori critici, riguardanti:
- Servizi postali
- Gestione dei rifiuti
- Chimica
- Alimentare
- Produzione di dispositivi medici
- Elettronica
- Apparecchiature elettriche
- Macchinari
- Autoveicoli
- Trasporti specializzati
- Fornitori di servizi digitali
- Organizzazioni di ricerca.
I soggetti sono infatti distinti in “essenziali” e “importanti”, con obblighi proporzionali al livello di criticità. I soggetti essenziali, che operano in settori critici per la società e l’economia, sono sottoposti a requisiti più rigorosi.
Gli obblighi per le aziende
Le organizzazioni interessate dovranno:
- Registrarsi sulla piattaforma ACN entro il 28 febbraio 2025 (sul Portale ACN).
- Adottare misure di sicurezza tecniche, organizzative e operative per ridurre i rischi informatici (da completare entro il 1° ottobre 2026).
- Notificare gli incidenti significativi alle autorità competenti entro tempi stretti (obbligatorio a partire dal 1° gennaio 2026).
- Valutare la sicurezza della catena di approvvigionamento, inclusi i rapporti con i fornitori.
- Formare il personale e i dirigenti sui temi della cybersecurity, con particolare attenzione a phishing, social engineering e gestione delle password.
Le sanzioni
Le violazioni della NIS 2 possono portare a sanzioni significative:
- Fino a 10 milioni di euro o il 2% del fatturato annuo per i soggetti essenziali.
- Fino a 7 milioni di euro o l’1,4% del fatturato annuo per i soggetti importanti.
- Sanzioni accessorie per i dirigenti, inclusa l’incapacità a svolgere funzioni dirigenziali.
Per maggiori informazioni, consigliamo di visitare il sito ufficiale del Azienda per la Cybersicurezza Nazionale – ACN.