NIS2 e il decreto NIS italiano
Modulo 9: Regole e organizzazione · Tempo di lettura: 11 minuti
Obiettivo della lezione: Dopo questa lezione saprà spiegare cosa regola la normativa NIS2 (il decreto NIS italiano), per chi vale e cosa comporta, tramite la catena di fornitura, per le piccole imprese.
Concetti chiave: NIS2, decreto NIS, soggetto essenziale e importante, settore, dimensione, obbligo di diligenza, obbligo di notifica (24 ore, 72 ore, 1 mese), obbligo di registrazione, catena di fornitura, autovalutazione NIS
Dalla direttiva europea alla legge nazionale
NIS2 è una direttiva europea del 2022 (Direttiva (UE) 2022/2555) che mira ad aumentare la resilienza digitale delle organizzazioni importanti in tutta l'UE. Una direttiva non si applica direttamente: ogni Stato membro la recepisce con una propria legge. In Italia questo è avvenuto con il decreto legislativo 4 settembre 2024, n. 138 (decreto NIS, recepimento della NIS2). Il decreto NIS (d.lgs. 138/2024) è in vigore dal 16 ottobre 2024, con le regole ulteriormente specificate nei provvedimenti attuativi dell'Agenzia per la Cybersicurezza Nazionale (ACN). Non esiste un periodo transitorio generalizzato: chi rientra nell'ambito di applicazione deve conformarsi secondo le scadenze previste.
Secondo l'ACN, un numero significativo di organizzazioni rientra nell'ambito della normativa. Si tratta comunque di una piccola parte di tutte le imprese italiane. Per la maggior parte delle piccole imprese, quindi, la domanda principale non è "cosa devo fare per la legge?", ma "cosa mi chiederanno i miei clienti, visto che loro rientrano nella normativa?". Ci arriviamo tra poco.
L'ACN (Agenzia per la Cybersicurezza Nazionale, https://www.acn.gov.it/) è il punto di riferimento nazionale per l'attuazione della normativa NIS, anche per le piccole e medie imprese.
Lei rientra nell'ambito di applicazione? Settore e dimensione
Se un'organizzazione rientra nel decreto NIS dipende da due domande.
1. Lavora in un settore previsto dalla normativa? La direttiva individua due categorie di settori.
| Settori ad alta criticità (11 settori) | Altri settori critici (7 settori) |
|---|---|
| energia, trasporti, settore bancario, acqua potabile, infrastrutture digitali, gestione di servizi TIC, spazio, infrastrutture dei mercati finanziari, sanità, acque reflue, pubblica amministrazione | fornitori digitali, servizi postali e di corriere, gestione dei rifiuti, prodotti alimentari, sostanze chimiche, ricerca, fabbricazione (industria manifatturiera) |
Per alcuni settori valgono condizioni aggiuntive stabilite dalle autorità competenti. Non ogni organizzazione che si occupa in qualche modo di "prodotti alimentari", quindi, rientra automaticamente nell'ambito di applicazione.
2. È abbastanza grande? La Sua organizzazione rientra se:
- ha 50 o più dipendenti (equivalente a tempo pieno), oppure
- ha meno di 50 dipendenti, ma il fatturato annuo e il totale di bilancio superano entrambi i 10 milioni di euro.
Le imprese partner e collegate vengono conteggiate. Un'impresa con 20 dipendenti che fa parte di un gruppo di 200 può quindi comunque rientrare nell'ambito di applicazione.
Eccezioni: indipendentemente dalla dimensione. Alcuni tipi di organizzazioni rientrano sempre nell'ambito di applicazione, per quanto piccole: i fornitori di servizi DNS, i registri dei domini di primo livello, i fornitori di reti o servizi di comunicazione elettronica pubblici, i prestatori di servizi fiduciari e le organizzazioni della pubblica amministrazione. Anche i fornitori di servizi di registrazione dei nomi a dominio devono registrarsi.
Essenziale o importante
Le organizzazioni soggette alla normativa sono soggetti essenziali o soggetti importanti. In sintesi: le grandi organizzazioni nei settori ad alta criticità e alcuni tipi specifici designati indipendentemente dalla dimensione sono soggetti essenziali; il resto sono soggetti importanti. La differenza riguarda soprattutto la vigilanza: per i soggetti essenziali l'autorità competente può effettuare controlli anche di propria iniziativa, ad esempio con ispezioni e audit; per i soggetti importanti interviene principalmente a posteriori, quando vi sono indicazioni che qualcosa non funzioni. Gli obblighi veri e propri sono in larga parte equivalenti. Se Lei sia soggetto essenziale o importante lo può determinare con l'autovalutazione descritta di seguito.
Verificare da sé
Può consultare le risorse dell'ACN, https://www.acn.gov.it/, per un'autovalutazione gratuita sull'applicabilità della normativa NIS. Risponderà a una serie di domande su settore, dimensione e servizi per ottenere un esito. In caso di dubbio, ad esempio perché la Sua impresa fa parte di un gruppo o opera in più paesi, consulti le informazioni NIS dell'ACN, https://www.acn.gov.it/portale/nis, che includono indicazioni per i modelli di business complessi.
Cosa richiede la normativa
Se la Sua organizzazione rientra nell'ambito di applicazione, valgono tre obblighi.
Obbligo di registrazione
Registra la Sua organizzazione nel registro dei soggetti tramite il portale ACN (registrazione NIS). Così l'autorità sa chi rientra nell'ambito di applicazione e può raggiungerLa in caso di minaccia.
Obbligo di diligenza
Effettua un'analisi dei rischi e, sulla base di essa, adotta misure adeguate e proporzionate per la sicurezza dei Suoi sistemi informatici e di rete. L'ACN individua almeno dieci ambiti, tutti già incontrati in questo corso:
- analisi dei rischi (lezione 1.1 e 9.3);
- gestione degli incidenti con un piano di gestione (lezione 8.1);
- preparazione a interruzioni di servizio: backup, piani di ripristino, gestione delle crisi (modulo 6);
- sicurezza della catena di fornitura, inclusi i rischi legati ai fornitori (lezione 7.2);
- igiene informatica e formazione (lezione 9.2);
- acquisizione, sviluppo e manutenzione sicura dei sistemi, inclusi gli aggiornamenti (lezione 5.1);
- personale, politiche di accesso e gestione di apparecchiature e software (lezione 7.1);
- passkey o autenticazione a più fattori e comunicazioni sicure (modulo 2);
- una politica per la crittografia (cifratura);
- valutazione dell'efficacia delle misure, ad esempio tramite test periodici (lezione 6.3 e 9.3).
Il vertice aziendale ne è responsabile: approva le misure e vigila sulla loro attuazione. Secondo la direttiva europea, anche i vertici aziendali devono seguire una formazione sui rischi informatici. La cybersicurezza non è quindi più un compito da lasciare all'informatico di fiducia.
Obbligo di notifica
Un incidente significativo va notificato tramite il portale ACN (registrazione NIS). Si tratta di un incidente che compromette gravemente la Sua capacità di fornire servizi, causa perdite economiche o può causare danni rilevanti ad altri; le soglie precise variano in base al settore. I termini decorrono dal momento in cui Lei viene a conoscenza dell'incidente:
| Termine | Cosa invia |
|---|---|
| Entro 24 ore | Pre-notifica: se l'incidente appare dolosamente causato, se vi sono effetti transfrontalieri, chi è il referente |
| Entro 72 ore | Notifica dell'incidente: un aggiornamento con una prima valutazione di gravità e impatto |
| Entro 1 mese dalla notifica | Relazione finale: cosa è successo, la causa e le misure adottate (se l'incidente dura più a lungo: una relazione intermedia) |
Un'unica notifica tramite il portale ACN raggiunge sia il CSIRT (il team che assiste nella gestione dell'incidente) sia l'autorità competente. Inoltre, secondo la direttiva, se necessario deve informare i destinatari dei Suoi servizi sugli incidenti significativi che potrebbero riguardarli.
Notifica NIS e notifica GDPR: due obblighi diversi
Questo può sembrare simile all'obbligo di notifica delle violazioni di dati del GDPR (lezione 8.2), e le "72 ore" compaiono in entrambi i casi. Si tratta tuttavia di due obblighi distinti.
| Decreto NIS | GDPR (violazione di dati) | |
|---|---|---|
| Per chi | Organizzazioni che rientrano nel decreto NIS | Chiunque tratti dati personali, anche un libero professionista |
| Su cosa | Incidenti significativi relativi ai Suoi servizi | Violazioni della sicurezza dei dati personali |
| A chi | ACN tramite il relativo portale | Il Garante per la protezione dei dati personali |
| Termini | 24 ore, 72 ore, 1 mese | Senza ingiustificato ritardo, possibilmente entro 72 ore |
Un attacco ransomware subìto da un'organizzazione soggetta al decreto NIS in cui vengano anche sottratti dati dei clienti deve quindi essere notificato a entrambe le autorità. E una piccola impresa che non rientra nel decreto NIS ha comunque l'obbligo di notifica previsto dal GDPR se vi è una fuga di dati personali.
Se non rientra nell'ambito di applicazione: la catena di fornitura
Per la maggior parte dei lettori di questo corso, la risposta alla prima domanda è: no, la mia impresa non rientra nel decreto NIS. Il panificio con dodici dipendenti, lo studio di contabilità con cinque, il realizzatore di siti web che lavora da solo. In questo caso non ha obblighi di legge derivanti dal decreto NIS: nessuna registrazione, nessun obbligo di notifica all'ACN, nessuna vigilanza diretta.
Ma la normativa può comunque raggiungerLa tramite i Suoi clienti. Le organizzazioni soggette al decreto NIS devono mettere in sicurezza la loro catena di fornitura: devono tenere conto delle vulnerabilità dei loro fornitori e prestatori di servizi diretti. L'ACN indica che la normativa non impone obblighi diretti ai fornitori stessi, ma che le organizzazioni soggette al decreto NIS possono comunque porre requisiti sulla sicurezza digitale dei propri fornitori. Tali requisiti vengono poi inseriti nel contratto o in un questionario.
Un esempio. Una piccola azienda informatica con sei dipendenti gestisce i computer portatili e la rete di un'impresa di trasporti di medie dimensioni con 140 dipendenti. L'impresa di trasporti rientra nel decreto NIS (trasporti, dimensione sufficiente). L'azienda informatica da sola no: "gestione di servizi TIC" compare sì tra i settori ad alta criticità, ma l'azienda è troppo piccola. Riceve comunque un questionario: avete l'autenticazione a due fattori sugli strumenti di gestione, chi ha accesso ai nostri sistemi, con quale rapidità notificate un incidente, dove si trovano i backup?
Quello che indica l'ACN a riguardo, e cosa significa per Lei:
- I requisiti devono essere proporzionati. Un cliente dovrebbe valutare il rischio che il Suo servizio comporta per lui. Un fornitore con accesso ai sistemi riceverà requisiti più severi rispetto, ad esempio, al fornitore del catering per il pranzo.
- Riguarda i fornitori diretti. I fornitori dei Suoi fornitori restano fuori dall'ambito della normativa.
- Una certificazione non è obbligatoria. Il decreto NIS non prescrive un marchio di qualità specifico. Una certificazione può facilitare il dialogo, ma non è una garanzia né un requisito di legge.
- Inizi presto il dialogo. Faccia una mappatura delle misure già in essere nei punti di contatto con il cliente, e metta per iscritto gli accordi.
Non esageri quindi la portata della normativa. Il decreto NIS non trasforma una piccola impresa in un'organizzazione "soggetta a NIS2", e un consulente che Le dice il contrario per venderLe una costosa certificazione racconta solo una parte della storia. Ma non la sottovaluti nemmeno: chi fornisce servizi a organizzazioni più grandi deve sempre più spesso dimostrare di avere le basi in ordine. Le misure di base viste in questo corso sono esattamente ciò che di solito viene richiesto in questi questionari.
Questa lezione fornisce una spiegazione generale e non costituisce una consulenza legale. Per le regole aggiornate consulti https://www.acn.gov.it/portale/nis e il testo del decreto legislativo 4 settembre 2024, n. 138.
Riepilogo
- Il decreto NIS è il recepimento italiano della NIS2 ed è in vigore dal 16 ottobre 2024.
- Lei rientra nell'ambito di applicazione se opera in un settore ad alta criticità o in un altro settore critico e ha 50 o più dipendenti, oppure fatturato annuo e totale di bilancio entrambi superiori a 10 milioni di euro; alcuni tipi di organizzazione (come i fornitori di servizi DNS e la pubblica amministrazione) rientrano indipendentemente dalla dimensione.
- Obblighi: registrazione tramite il portale ACN, obbligo di diligenza con analisi dei rischi e misure adeguate sotto la responsabilità del vertice aziendale, e notifica degli incidenti significativi entro 24 ore, 72 ore e 1 mese.
- La notifica NIS all'ACN è indipendente dalla notifica delle violazioni di dati al Garante prevista dal GDPR; a volte sono necessarie entrambe.
- Una piccola impresa di solito non rientra direttamente nell'ambito di applicazione, ma può ricevere requisiti di sicurezza proporzionati tramite i clienti che vi rientrano.
Quiz
Esercizio
Esercizio A9.1: Rientra nel decreto NIS? Riceverà sei brevi descrizioni di organizzazioni (settore, numero di dipendenti, fatturato, totale di bilancio, eventualmente un gruppo o un grande cliente). Determini per ciascuna organizzazione: rientra nell'ambito di applicazione, non rientra ma probabilmente riceverà requisiti tramite un cliente, oppure non rientra. Il programma verifica e mostra per ciascuna organizzazione i passaggi dell'albero decisionale.
Per approfondire
Sul decreto NIS non è ancora disponibile un articolo nella knowledge base di WebOké; utilizzi le fonti ufficiali.
- ACN, portale NIS: https://www.acn.gov.it/portale/nis
- ACN, risorse sulla cybersicurezza nazionale: https://www.acn.gov.it/
- Direttiva NIS2 (UE) 2022/2555: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
- Commissione Europea sulla direttiva NIS2: https://digital-strategy.ec.europa.eu/en/policies/nis2-directive
- ENISA: https://www.enisa.europa.eu/
- CSIRT Italia: https://www.csirt.gov.it/
- Testo del decreto legislativo 4 settembre 2024, n. 138: https://www.acn.gov.it/portale/nis