Premessa

In forza della Direttiva NIS2 (Direttiva (UE) 2022/2555, nota come NIS2 (acronimo di “Network and Information Security”), in vigore dal 17 gennaio 2023, e che ha abrogato la precedente NIS1.), volta a rafforzare la sicurezza delle reti informatiche e dei sistemi informativi, recepita in Italia dal D.Lgs. 138/2024, entro il prossimo 28 febbraio le imprese con più di 50 dipendenti che rientrano nei settori critici individuati dalla normativa dovranno adempiere all’obbligo di registrazione sulla piattaforma dell’Agenzia per la Cybersicurezza Nazionale (ACN).

Inoltre, le imprese e le Pubbliche Amministrazioni che rientrano nell’ambito di applicazione della normativa dovranno conformarsi ad ulteriori obblighi imposti dalla Direttiva NIS2, al fine di incrementare il livello di sicurezza delle proprie reti e infrastrutture informatiche.

Il mancato adempimento può comportare l’applicazione di sanzioni fino a 10 milioni di euro o al 2% del fatturato annuo, oltre che di sanzioni interdittive nei confronti degli organi di amministrazione e direttivi, quale l’incapacità a svolgere funzioni dirigenziali, nonché la sospensione temporanea di certificati o autorizzazioni necessari a esercitare l’attività di impresa.

La registrazione sulla piattaforma di ACN deve essere effettuata da un “Punto di contatto” designato all’interno dell’ente, che si farà carico della gestione degli obblighi imposti dalla normativa e delle interlocuzioni con l’Autorità competente.

Entro il mese di aprile 2025, l’ACN comunicherà agli enti registrati se rientrano, o meno, nell’elenco dei soggetti “essenziali” o “importanti” e fornirà ulteriori indicazioni sugli obblighi a cui dovranno attenersi.

La classificazione in soggetti “essenziali” o “importanti” determinerà la portata degli obblighi a cui le imprese dovranno adempiere, tra cui la gestione dei rischi legati alla sicurezza informatica e la notifica tempestiva di eventuali incidenti informatici.

La NIS2: ambito di applicazione

La NIS2 si applica principalmente alle medie imprese (ossia quelle che occupano almeno 50 dipendenti oppure hanno un fatturato di almeno 10 milioni di euro oppure hanno un bilancio di almeno 10 milioni di euro) e grandi imprese (ossia quelle che occupano almeno 250 dipendenti oppure hanno un fatturato di almeno 50 milioni di euro oppure hanno un bilancio di almeno 43 milioni di euro) che operano in specifici settori definiti “ad alta criticità” e “critici”. La normativa coinvolge oltre 80 tipologie di soggetti, distinti tra “essenziali” e “importanti” in base al rischio informatico associato alla loro attività.

In particolare, la normativa si applica ai seguenti settori:

• settori ad alta criticità (Allegato I):
  - energia;
  - trasporti;
  - settore bancario;
  - infrastrutture dei mercati finanziari;
  - settore sanitario;
  - acqua potabile;
  - acque reflue;
  - infrastrutture digitali;
  - gestione dei servizi TIC;
  - spazio;
  
  
• settori critici (Allegato II):
  - servizi postali e di corriere;
  - gestione dei rifiuti;
  - produzione e distribuzione di sostanze chimiche;
  - produzione e distribuzione di alimenti;
  - fabbricazione di dispositivi medici, elettronica e apparecchiature varie;
  - fornitori di servizi digitali;
  - ricerca;
  
  

La NIS2 si applica anche alle Pubbliche Amministrazioni, come definite dall’Allegato III:

• Amministrazioni centrali, regionali e locali (limitatamente a Città metropolitane, Comuni capoluoghi di regione e Comuni con popolazione superiore a 100.000 abitanti);
• altri soggetti pubblici quali ASL, Enti di regolazione dell’attività economica, Enti produttori di servizi economici, Enti a struttura associativa, Enti produttori di servizi assistenziali, ricreativi e culturali, Enti e Istituzioni di ricerca e Istituti zooprofilattici sperimentali.

Da ultimo, l’Allegato IV elenca ulteriori soggetti che possono essere individuati dall’ACN tra quelli che forniscono servizi di trasporto pubblico locale, gli istituti di istruzione che svolgono attività di ricerca, soggetti che svolgono attività di interesse culturale, società in house, società partecipate e/o a controllo pubblico.

Sono, inoltre, ricomprese nell’ambito di applicazione della normativa anche le micro e piccole imprese le cui attività sono riconducibili a:

• fornitori di reti pubbliche di comunicazione elettronica;
• fornitori di servizi di comunicazione elettronica accessibili al pubblico;
• prestatori di servizi fiduciari;
• gestori di registri dei nomi di dominio di primo livello;
• fornitori di servizi di sistema e di registrazione dei nomi di dominio

Rimane, inoltre, facoltà di ACN di individuare quali soggetti importanti o essenziali anche piccole e micro-imprese che operano nei settori, o che svolgono attività riconducibili alle tipologie di soggetto di cui agli allegati I, II, III e IV.

Gli altri obblighi per le imprese

Le imprese che rientrano in questi settori sono soggette ad obblighi significativi per garantire la sicurezza dei loro sistemi informatici e delle loro reti. Come detto, il primo e fondamentale adempimento riguarda l’obbligo di registrazione, che deve essere completato entro il 28 febbraio 2025.

Inoltre, i principali obblighi per i soggetti rientranti nell’ambito di applicazione della NIS2 sono:

• obbligo di registrazione e aggiornamento dati (art. 7, D.Lgs. 138/2024): dal 1° gennaio al 28 febbraio di ogni anno successivo all’entrata in vigore del decreto i soggetti che si riconoscono tra quelli rientranti nell’ambito di applicazione della normativa NIS2, devono registrarsi sulla piattaforma di ACN.
  
  Inoltre, dal 15 aprile al 31 maggio di ogni anno successivo alla data di entrata in vigore del decreto, i soggetti rientranti nell’elenco dei soggetti essenziali o importanti devono fornire o aggiornare le informazioni di cui al comma 4 dell’art. 7, D.Lgs. 138/2024;
• obblighi degli organi di amministrazione e direttivi (art. 23, D.Lgs. 138/2024): gli organi di amministrazione e direttivi dei soggetti essenziali e importanti devono sovrintendere all’osservanza degli obblighi imposti dalla normativa, all’adozione e implementazione delle misure di gestione dei rischi per la sicurezza informatica, adottate ai sensi del successivo art. 24, D.Lgs. 138/2024, e sono direttamente responsabili delle eventuali violazioni. Inoltre, gli organi di amministrazione e direttivi sono tenuti a seguire una formazione in materia di cybersicurezza e a promuovere la formazione dei propri dipendenti;
  
  
• obblighi in materia di misure di gestione dei rischi per la sicurezza informatica (art. 24, D.Lgs. 138/2024): i soggetti essenziali e i soggetti importanti devono adottare misure tecniche, operative e organizzative adeguate e proporzionate alla gestione dei rischi per la sicurezza dei propri sistemi informativi e di rete, nonché per prevenire o ridurre al minimo l'impatto degli incidenti.
  
  Tra gli obblighi cui le imprese dovranno conformarsi rientrano non solo quelli relativi all’analisi e gestione dei rischi per la sicurezza e degli incidenti ma anche, ad esempio, quello di predisporre un “Business Continuity Plan” al fine di garantire la continuità operativa anche in caso di incidenti o attacchi informatici, nonché quello di valutare e gestire il rischio per la sicurezza informatica anche lungo la supply chain (“Third Parties Management”);
  
  
• obblighi in materia di notifica di incidente (art. 25, D.Lgs. 138/2024): i soggetti essenziali e i soggetti importanti devono notificare, senza ingiustificato ritardo, al CSIRT Italia (che è l’organo dell’Agenzia per la cybersicurezza nazionale che si occupa di monitoraggio preventivo e risposta agli incidenti informatici) ogni incidente che ha un impatto significativo sulla fornitura dei loro servizi;
  
  
• banca dei dati di registrazione di nomi di dominio (art. 29, D.Lgs. 138/2024): i gestori di registri dei nomi di dominio di primo livello e i fornitori di servizi di registrazione dei nomi di dominio devono raccogliere e mantenere dati di registrazione dei nomi di dominio accurati e completi in un’apposita banca dati con la dovuta diligenza, conformemente alla normativa europea in materia di protezione dei dati personali.
  
  

L’obbligo di notifica degli incidenti decorre a partire da gennaio 2026. Gli obblighi relativi alle misure di sicurezza informatica da ottobre 2026.

Sanzioni in caso di non conformità

Ai sensi degli artt. 34 e seg., D.Lgs. 1385/2024 l’ACN monitora e valuta il rispetto, da parte dei soggetti essenziali e dei soggetti importanti, degli obblighi previsti dalla normativa NIS, esercitando poteri ispettivi e di verifica. 

Come detto, l’ACN può, inoltre, comminare sanzioni in caso di mancata osservanza degli obblighi previsti dalla normativa, che possono essere pecuniare (e arrivare sino a 10 milioni di euro o al 2% del fatturato annuo), ma anche interdittive, come la sospensione di certificati e autorizzazioni essenziali per lo svolgimento delle attività d’impresa o l’interdizione da funzioni dirigenziali per gli organi di amministrazione e direttivi.

Conclusioni

In conclusione, la direttiva NIS2 rappresenta un’importante evoluzione nel panorama normativo europeo in materia di sicurezza cibernetica e impone agli enti coinvolti una serie di rigorosi obblighi in materia di sicurezza cibernetica.

Pertanto, risulta necessario e urgente per le imprese svolgere anzitutto un’attività di assessment per determinare se rientrano nell’ambito di applicazione della direttiva NIS2 e, in caso positivo, attrezzarsi per adottare tempestivamente le misure di sicurezza e di compliance previste dalla normativa. 

***

Nel ricordare che il contenuto di questa Newsletter ha necessariamente un carattere d’informazione generale e sintetica e non può essere quindi utilizzato per affrontare e risolvere determinati casi concreti, lo Studio resta a disposizione per ogni eventuale approfondimento specifico.