Che cosa sono la NIS2 e il D.Lgs. 138/2024
La direttiva NIS2 (Direttiva (UE) 2022/2555) è il quadro europeo per un livello comune elevato di cybersicurezza. Ha sostituito la prima direttiva NIS del 2016 e ha ampliato in modo sostanziale la platea dei destinatari: al posto di un elenco ristretto di operatori di servizi essenziali, oggi comprende le imprese medie e grandi in 18 settori e alcuni soggetti a prescindere dalla dimensione.
L’Italia ha recepito la direttiva con il D.Lgs. 138/2024. L’autorità nazionale competente è l’Agenzia per la Cybersicurezza Nazionale (ACN), che gestisce la piattaforma digitale per la registrazione dei soggetti ed esercita la vigilanza. Per la gestione degli incidenti opera il CSIRT Italia, costituito presso l’ACN. Il decreto segue la struttura della direttiva; alcuni dettagli, come le modalità e i termini di registrazione, i tempi di adeguamento e l’entità delle sanzioni, sono stabiliti dalla normativa nazionale e dalle determinazioni dell’ACN. Verificateli sempre nel testo vigente su Normattiva e su acn.gov.it.
Per capire rapidamente se siete soggetti alla norma, usate lo strumento in questa pagina. Di seguito spieghiamo come funziona la classificazione e che cosa richiede la norma nella pratica.
Chi è soggetto: settore e dimensione
La classificazione si basa su due criteri: il settore in cui operate e la dimensione della vostra organizzazione. I settori sono definiti in due allegati della direttiva.
- Allegato I (settori ad alta criticità): energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi ICT (business-to-business), pubblica amministrazione e spazio.
- Allegato II (altri settori critici): servizi postali e di corriere, gestione dei rifiuti, sostanze chimiche, alimenti, manifattura (tra cui dispositivi medici, elettronica, apparecchiature elettriche, macchinari e veicoli), fornitori di servizi digitali e ricerca.
Per la dimensione si applicano i criteri della Raccomandazione 2003/361/CE della Commissione. Si considerano anche i dati delle imprese collegate e associate, per cui la filiale di un grande gruppo può essere soggetta alla norma anche se è piccola.
| Dimensione | Dipendenti | Soglie finanziarie | Allegato I | Allegato II |
|---|---|---|---|---|
| Grande impresa | 250 o più | fatturato oltre 50 M€ e totale di bilancio oltre 43 M€ | soggetto essenziale | soggetto importante |
| Media impresa | da 50 a 249 | fatturato e totale di bilancio oltre 10 M€ | soggetto importante | soggetto importante |
| Piccola o microimpresa | meno di 50 | fatturato o totale di bilancio fino a 10 M€ | di regola non soggetta* | di regola non soggetta* |
* Le eccezioni valgono a prescindere dalla dimensione. Tra i soggetti essenziali rientrano di regola le amministrazioni pubbliche a livello statale, i prestatori qualificati di servizi fiduciari, i registri dei nomi di dominio di primo livello e i fornitori di servizi DNS. Lo Stato può inoltre individuare come soggetto obbligato chi è l’unico fornitore di un servizio essenziale per la società o l’economia, oppure chi, in caso di interruzione, avrebbe un impatto rilevante sulla sicurezza pubblica. L’ambito di applicazione per il settore pubblico a livello locale è definito dalla normativa nazionale.
Soggetti essenziali e importanti: che cosa cambia
Gli obblighi sostanziali sono quasi identici per i due gruppi. Differiscono soprattutto il modo di vigilanza e l’entità delle sanzioni.
| Ambito | Soggetto essenziale | Soggetto importante |
|---|---|---|
| Misure di gestione dei rischi (art. 21) | sì | sì |
| Notifica degli incidenti significativi | 24 ore / 72 ore / 1 mese | 24 ore / 72 ore / 1 mese |
| Vigilanza | proattiva (ispezioni e audit anche senza un evento specifico) | ex post (di norma dopo un incidente o una segnalazione) |
| Sanzione massima secondo la direttiva | almeno 10 M€ o 2% del fatturato mondiale annuo | almeno 7 M€ o 1,4% del fatturato mondiale annuo |
| Responsabilità degli organi di vertice | sì | sì |
La direttiva fissa il limite massimo minimo delle sanzioni e gli Stati possono prevederne di più severe. Per gli importi applicabili in Italia consultate il D.Lgs. 138/2024.
Gli obblighi principali nella pratica
Misure di gestione dei rischi. Le misure devono essere proporzionate ai rischi e basate su un approccio multirischio. L’articolo 21 della direttiva richiede almeno:
- politiche di analisi dei rischi e di sicurezza dei sistemi informativi,
- gestione degli incidenti,
- continuità operativa, gestione dei backup, ripristino in caso di disastro e gestione delle crisi,
- sicurezza della catena di approvvigionamento, compresi i rapporti con fornitori e prestatori di servizi,
- sicurezza nell’acquisizione, nello sviluppo e nella manutenzione dei sistemi, con gestione e divulgazione delle vulnerabilità,
- valutazione dell’efficacia delle misure,
- igiene informatica di base e formazione,
- crittografia e cifratura,
- sicurezza delle risorse umane, controllo degli accessi e gestione degli asset,
- autenticazione a più fattori e comunicazioni protette.
Notifica degli incidenti. Per un incidente significativo si invia la pre-notifica entro 24 ore dalla conoscenza, la notifica con una valutazione iniziale entro 72 ore e la relazione finale al più tardi un mese dopo la notifica. Questi termini si rispettano solo con una procedura predisposta, ruoli definiti e log raccolti. Per approfondire, consultate la guida Attacco informatico: quanto è pronta la vostra azienda.
Responsabilità degli organi di vertice. Gli organi di amministrazione e direttivi devono approvare le misure di gestione dei rischi, sovrintenderne l’attuazione e seguire una formazione periodica. La cybersicurezza diventa così una questione di governo dell’impresa, non solo un compito del reparto IT.
Registrazione. I soggetti devono comunicare i propri dati all’autorità competente tramite la piattaforma digitale dell’ACN e mantenerli aggiornati. Procedura e termini sono stabiliti dal D.Lgs. 138/2024 e dalle determinazioni dell’ACN.
ISO 27001, DORA e catena di fornitura
La ISO/IEC 27001 è lo standard internazionale per il sistema di gestione della sicurezza delle informazioni. Le organizzazioni che già lo adottano coprono buona parte dei requisiti dell’articolo 21, perché entrambi si fondano sulla gestione del rischio. La certificazione, da sola, non equivale alla conformità al D.Lgs. 138/2024. Verificate con particolare attenzione i termini di notifica degli incidenti, la formazione degli organi di vertice, i requisiti verso i fornitori e la registrazione.
Il DORA (Regolamento (UE) 2022/2554) si applica alle entità finanziarie: banche, assicurazioni, imprese di investimento, istituti di pagamento e altre. Per la gestione del rischio ICT e la notifica degli incidenti esiste una normativa settoriale specifica, perciò le entità finanziarie soddisfano questi requisiti soprattutto in base al DORA. I fornitori di servizi ICT alle istituzioni finanziarie incontrano entrambi i quadri attraverso i requisiti contrattuali.
Catena di fornitura. Anche se non siete direttamente soggetti alla norma, ne sentirete probabilmente gli effetti. I soggetti obbligati devono gestire i rischi legati ai fornitori e inseriscono quindi nei contratti requisiti di sicurezza, questionari e diritto di audit. I fornitori di servizi IT, software e manutenzione sono i primi interessati.
Da dove cominciare: un piano in cinque passaggi
- Classificazione. Con lo strumento qui sopra stimate se siete soggetto essenziale o importante e verificate il risultato nel D.Lgs. 138/2024.
- Gap analysis. Confrontate le misure esistenti con i requisiti dell’articolo 21. Se avete la ISO 27001, partite dalla dichiarazione di applicabilità.
- Misure prioritarie. Introducete per prime quelle di maggiore impatto: MFA, backup immutabili, gestione delle vulnerabilità e raccolta centralizzata degli eventi.
- Procedura per gli incidenti. Stabilite chi decide se un incidente è significativo, chi notifica e come garantire i termini di 24 e 72 ore.
- Vertici e fornitori. Organizzate la formazione per il consiglio di amministrazione e rivedete i contratti con i fornitori chiave.
Humanfrog affianca le organizzazioni nella gap analysis, nell’adozione delle misure tecniche e nella sicurezza gestita, compreso il backup nei data center TIER III. Per verificare il vostro punto di partenza, contattateci.
