NIS2 · D.Lgs. 4 settembre 2024, n. 138
Cybersecurity a norma di legge. E a prova di ispezione.
Il decreto che recepisce la direttiva NIS2 ha trasformato la sicurezza informatica in un obbligo con nomi, scadenze e sanzioni. Ti aiuto a capire cosa devi fare e in che ordine, e a farlo davvero.
// 01 Chi è dentro
Il perimetro è più largo di quanto pensi.
Regola generale: medie e grandi imprese dei settori elencati negli allegati del decreto. Ma alcune categorie rientrano a prescindere dalle dimensioni, e la filiera trascina dentro anche chi formalmente è fuori.
Settori ad alta criticità
- Energia
- Trasporti
- Settore bancario
- Infrastrutture dei mercati finanziari
- Settore sanitario
- Acqua potabile
- Acque reflue
- Infrastrutture digitali
- Gestione dei servizi ICT (B2B)
- Spazio
- Pubblica amministrazione
Altri settori critici
- Servizi postali e di corriere
- Gestione dei rifiuti
- Sostanze chimiche
- Prodotti alimentari
- Fabbricazione: dispositivi medici, elettronica, apparecchiature elettriche, macchinari, autoveicoli, altri mezzi di trasporto
- Fornitori di servizi digitali
- Ricerca
Gli allegati III e IV del decreto estendono il perimetro ad altre categorie di pubbliche amministrazioni e a ulteriori soggetti (ad esempio trasporto pubblico locale, istituti di istruzione che svolgono attività di ricerca, soggetti che svolgono attività di interesse culturale, società in house e partecipate).
Soggetti essenziali
- Vigilanza ex ante ed ex post
- Misure di base 43 misure · 116 requisiti
- Sanzione massima 10 M€ o 2% del fatturato mondiale
Soggetti importanti
- Vigilanza ex post
- Misure di base 37 misure · 87 requisiti
- Sanzione massima 7 M€ o 1,4% del fatturato mondiale
// 02 Cosa chiede il decreto
Nove obblighi. Nessuno facoltativo.
Registrazione sul Portale ACN
Dichiarazione e aggiornamento annuale nella finestra 1° gennaio – 28 febbraio.
Punto di contatto e referente CSIRT
Le persone che parlano con l’ACN e con il CSIRT Italia, con sostituti designati.
Informazioni e fornitori rilevanti
Aggiornamento dei dati e dell’elenco dei fornitori rilevanti, dal 15 aprile al 31 maggio.
Categorizzazione di attività e servizi
Elenco categorizzato da trasmettere ogni anno, dal 1° maggio al 30 giugno.
Misure di gestione del rischio
Tecniche, operative e organizzative (art. 24), declinate nelle misure di base ACN.
Notifica degli incidenti
Pre-notifica in 24 ore, notifica in 72 ore, relazione finale entro un mese (art. 25).
Responsabilità degli organi di amministrazione
Approvano le misure, ne sovrintendono l’attuazione e ne rispondono (art. 23).
Formazione
Obbligatoria per gli organi di amministrazione, da promuovere per il personale.
Sicurezza della catena di approvvigionamento
Rischi dei fornitori diretti e dei loro processi di sviluppo e manutenzione.
// 03 Incidenti significativi
Quando succede, l’orologio parte subito.
I termini decorrono da quando vieni a conoscenza dell’incidente significativo. Non da quando hai finito di capire cosa è successo. Senza una procedura scritta, 24 ore sono un attimo.
- T0
Conoscenza dell’incidente
Rilevamento, prima valutazione di significatività, attivazione del team.
- 24h
Pre-notifica
Al CSIRT Italia, senza ingiustificato ritardo e comunque entro 24 ore.
- 72h
Notifica
Aggiornamento con valutazione iniziale, gravità, impatto e, se disponibili, indicatori di compromissione.
- 1 mese
Relazione finale
Descrizione dettagliata, causa probabile, misure di mitigazione adottate, impatto transfrontaliero.
Se l’incidente coinvolge dati personali, in parallelo corre la notifica al Garante entro 72 ore prevista dal GDPR. Due binari, una sola crisi: ne parlo qui.
// 04 Cosa ti consegno
Documenti che servono, non che pesano.
Ogni consegna ha uno scopo preciso: farti adempiere, farti decidere, farti dimostrare. Se un documento non fa nessuna delle tre cose, non lo scrivo.
Parliamo del tuo caso- Supporto completo agli adempimenti sul Portale ACN
- Mappatura di sistemi informativi, servizi e fornitori rilevanti
- Gap analysis sulle misure di base, requisito per requisito
- Piano di adeguamento con priorità, responsabili e scadenze
- Politiche e procedure di sicurezza su misura
- Procedura di gestione e notifica degli incidenti, con modelli
- Formazione per gli organi di amministrazione e il personale
- Valutazione dei fornitori e clausole contrattuali di sicurezza
- Audit interni e simulazioni di verifica
- Dossier delle evidenze, pronto per verifiche e ispezioni
// art. 38 D.Lgs. 138/2024
Fino a 10 milioni di euro o il 2% del fatturato annuo mondiale per i soggetti essenziali. Fino a 7 milioni o l’1,4% per gli importanti.
E per chi amministra un soggetto essenziale che ignora le diffide, può arrivare anche l’incapacità temporanea a svolgere funzioni dirigenziali. Il budget per la sicurezza, a confronto, sembra improvvisamente ragionevole.
// ultima chiamata (per fortuna, non in senso letterale)
Sei nell’elenco NIS? Allora il tempo è già una risorsa scarsa.
Partiamo da una fotografia onesta della situazione: misure, procedure, evidenze. In una chiamata capisci dove sei e quanto manca.