Question 1

Chi è soggetto a NIS2 in Italia?

Accepted Answer

La direttiva NIS2 si applica agli enti che operano in 18 settori definiti (energia, trasporti, salute, banche, infrastrutture digitali, acqua, alimentare, industria, ecc.) che superano determinate soglie dimensionali. I soggetti essenziali sono le grandi imprese (più di 250 dipendenti o più di 50 milioni di euro di fatturato) nei settori altamente critici dell'Allegato I. I soggetti importanti riguardano le medie imprese (più di 50 dipendenti o più di 10 milioni di euro di fatturato) in tutti i settori interessati. L'Italia ha recepito NIS2 con il Decreto Legislativo n. 138 del 4 settembre 2024, entrato in vigore il 17 ottobre 2024. L'Agenzia per la Cybersicurezza Nazionale (ACN) è l'autorità competente per l'identificazione e la supervisione dei soggetti interessati.

Question 2

Quando è entrata in vigore NIS2?

Accepted Answer

La direttiva (UE) 2022/2555, nota come NIS2, è stata pubblicata nella Gazzetta ufficiale dell'Unione europea il 27 dicembre 2022. Gli Stati membri avevano tempo fino al 17 ottobre 2024 per recepirla nel diritto nazionale. L'Italia ha recepito la direttiva con il D.Lgs. 138/2024, entrato in vigore il 17 ottobre 2024. I soggetti rientranti nell'ambito di applicazione devono registrarsi presso la piattaforma ACN e adottare le misure di sicurezza richieste entro i termini stabiliti dall'Agenzia. È fortemente consigliato avviare il processo di conformità senza attendere la notifica individuale da parte dell'ACN.

Question 3

Quali sono le sanzioni previste da NIS2?

Accepted Answer

NIS2 prevede due livelli di sanzioni amministrative a seconda della categoria del soggetto. Per i soggetti essenziali, la sanzione massima è di 10.000.000 € o il 2% del fatturato annuo mondiale totale dell'esercizio precedente, applicando il valore più elevato. Per i soggetti importanti, il massimale è di 7.000.000 € o l'1,4% del fatturato annuo mondiale. Oltre alle sanzioni pecuniarie, l'ACN può emettere ingiunzioni di conformità, sospendere temporaneamente certificazioni o autorizzazioni e rendere pubbliche le violazioni accertate. In base al D.Lgs. 138/2024, i dirigenti possono essere ritenuti personalmente responsabili in caso di gravi inadempienze.

Question 4

NIS2 si applica ai subappaltatori?

Accepted Answer

Sì, NIS2 ha una portata estesa sulla catena di fornitura. I soggetti interessati (essenziali e importanti) hanno l'obbligo di garantire che i propri fornitori e prestatori di servizi che accedono ai loro sistemi informativi o trattano dati critici mantengano un livello di sicurezza adeguato. In pratica, ciò significa che i subappaltatori e i fornitori IT dei soggetti NIS2 si vedranno imporre requisiti di sicurezza tramite clausole contrattuali, questionari di valutazione e potenzialmente audit. Anche se un'azienda non è direttamente soggetta a NIS2, potrebbe dover soddisfare determinati requisiti di sicurezza per conservare i propri clienti soggetti alla normativa.

Question 5

Come notificare un incidente all'ACN?

Accepted Answer

NIS2 impone un processo di notifica in più fasi. Entro 24 ore dal rilevamento di un incidente significativo, il soggetto deve trasmettere un preallarme all'ACN indicando se l'incidente sembra risultare da un atto doloso e se ha un impatto transfrontaliero. Entro 72 ore, deve seguire una notifica completa con una valutazione iniziale dell'incidente, della sua gravità e dei probabili impatti. Entro un mese dalla risoluzione, deve essere trasmessa una relazione finale con l'analisi delle cause radice e le misure correttive adottate. L'ACN ha predisposto una piattaforma dedicata per la registrazione e la segnalazione degli incidenti, accessibile tramite il portale istituzionale.

Question 6

Qual è la differenza tra soggetti essenziali e importanti?

Accepted Answer

La distinzione tra soggetti essenziali (SE) e soggetti importanti (SI) si basa principalmente su due criteri: il settore di attività e le dimensioni dell'organizzazione. I soggetti essenziali operano nei settori altamente critici elencati nell'Allegato I della direttiva (energia, trasporti, salute, acqua, infrastrutture digitali, ecc.) e superano le soglie dimensionali delle grandi imprese. I soggetti importanti comprendono sia le organizzazioni di medie dimensioni nei settori dell'Allegato I, sia le imprese nei settori aggiuntivi dell'Allegato II (alimentare, chimica, industria, ecc.). La principale differenza pratica riguarda il regime di vigilanza: i SE sono soggetti a controlli proattivi regolari, mentre i SI sono soggetti a una vigilanza reattiva attivata da un incidente o un reclamo.

Question 7

NIS2 sostituisce il GDPR?

Accepted Answer

No, NIS2 non sostituisce il GDPR. I due regolamenti sono complementari e coesistono. Il GDPR (Regolamento Generale sulla Protezione dei Dati) riguarda la protezione dei dati personali e si applica a qualsiasi organizzazione che tratti dati di residenti europei, indipendentemente dalle dimensioni o dal settore. NIS2 riguarda la sicurezza delle reti e dei sistemi informativi degli enti operanti in settori critici. I due testi si rafforzano reciprocamente: buone pratiche di cybersicurezza NIS2 contribuiscono alla sicurezza dei dati personali richiesta dal GDPR. In caso di incidente informatico che comporti una violazione dei dati, un'azienda può essere contemporaneamente soggetta agli obblighi di notifica NIS2 (verso l'ACN) e GDPR (verso il Garante per la protezione dei dati personali).

Question 8

Il mio provider di hosting è responsabile della mia conformità NIS2?

Accepted Answer

No, il provider di hosting non può essere ritenuto responsabile della conformità NIS2. La responsabilità della conformità spetta al soggetto interessato stesso, ovvero alla vostra organizzazione. Si tratta di una responsabilità condivisa: se si utilizzano servizi cloud o di hosting, occorre garantire che i fornitori rispettino adeguati livelli di sicurezza (questo è l'obbligo sulla sicurezza della catena di fornitura), ma la conformità complessiva rimane sotto la vostra responsabilità. Ciò include la governance, la gestione dei rischi, la notifica degli incidenti e la continuità operativa. In pratica, dovrete strutturare i vostri rapporti contrattuali con i fornitori IT per includervi clausole di sicurezza conformi ai requisiti NIS2.

Question 9

NIS2 si applica alle microimprese?

Accepted Answer

In linea generale, NIS2 non si applica alle microimprese e alle piccole imprese (meno di 50 dipendenti e meno di 10 milioni di euro di fatturato). La direttiva è stata concepita per colpire gli enti il cui fallimento avrebbe un impatto significativo sulla società o sull'economia. Tuttavia, esistono importanti eccezioni: alcuni tipi di enti sono soggetti a NIS2 indipendentemente dalle loro dimensioni, tra cui gli operatori di reti pubbliche di comunicazione elettronica, i fornitori di servizi DNS, i gestori di registri di nomi di dominio di primo livello e i prestatori di servizi fiduciari qualificati. Inoltre, anche una microimpresa può essere indirettamente interessata se è subappaltatrice di un soggetto interessato.

Question 10

Qual è la scadenza per la conformità a NIS2?

Accepted Answer

Il D.Lgs. 138/2024 è entrato in vigore il 17 ottobre 2024; gli obblighi sono quindi applicabili da tale data. L'ACN procederà all'identificazione progressiva dei soggetti interessati che dovranno registrarsi sulla piattaforma dedicata. È fortemente consigliato avviare le attività di conformità senza attendere la notifica ufficiale, poiché la piena conformità richiede diversi mesi di lavoro: mappatura degli asset, analisi dei rischi, implementazione delle misure tecniche e organizzative e formazione del personale. I soggetti che tardano ad agire si espongono a sanzioni non appena l'ACN inizierà le proprie attività di vigilanza.

Question 11

Come dimostrare la conformità a NIS2?

Accepted Answer

NIS2 non prevede un'unica certificazione obbligatoria, ma la prova della conformità si basa su una documentazione completa e su audit regolari. Un soggetto conforme deve disporre di una politica di sicurezza documentata e approvata dalla direzione, di un'analisi dei rischi aggiornata, di un registro degli incidenti, di un piano di continuità operativa testato, di prove di formazione, di contratti con i fornitori comprendenti clausole di sicurezza e di relazioni di audit interni o esterni. L'ACN può richiedere questi documenti nell'ambito delle sue attività di vigilanza. L'utilizzo di framework riconosciuti come ISO 27001 o le Misure Minime di sicurezza ICT dell'AgID può facilitare la dimostrazione della conformità.

Question 12

NIS2 riguarda le associazioni e le organizzazioni non profit?

Accepted Answer

Le associazioni e le organizzazioni non profit possono essere soggette a NIS2 se svolgono attività in uno dei 18 settori coperti e superano le soglie dimensionali (50 dipendenti o 10 milioni di euro di budget). Ad esempio, un'associazione che gestisce una rete di distribuzione dell'acqua, un istituto sanitario in forma associativa o una fondazione di ricerca scientifica potrebbe essere soggetta alla direttiva. La forma giuridica (associazione, fondazione, ecc.) non è il criterio determinante: ciò che conta è la natura dell'attività e le soglie dimensionali. Le associazioni di piccole dimensioni che operano al di fuori dei settori critici non sono generalmente interessate. In caso di dubbio, si consiglia di consultare l'ACN o un avvocato specializzato.

Question 13

Cos'è la supply chain NIS2?

Accepted Answer

La sicurezza della catena di fornitura (supply chain security) è uno degli obblighi fondamentali di NIS2. Impone ai soggetti interessati di valutare e gestire i rischi di cybersicurezza derivanti dai loro rapporti con fornitori e prestatori di servizi, in particolare quelli che accedono ai loro sistemi informativi, trattano dati critici o forniscono componenti software integrati nei loro prodotti. In pratica, ciò si traduce in una mappatura dei fornitori critici, questionari di sicurezza, clausole contrattuali che impongono livelli minimi di sicurezza e diritti di audit. Questo obbligo risponde alla proliferazione degli attacchi alla catena di fornitura (come SolarWinds) che aggirano le difese di un'organizzazione prendendo di mira i suoi fornitori.

Question 14

L'ACN controlla già le imprese?

Accepted Answer

Sì, l'ACN dispone già di poteri di controllo, ereditati dalla direttiva NIS1 e dall'istituzione dell'Agenzia stessa nel 2021. Con NIS2, recepita dal D.Lgs. 138/2024, questi poteri sono stati significativamente ampliati. L'ACN può ora effettuare ispezioni documentali e in loco, richiedere audit di sicurezza condotti da organismi qualificati, emettere ingiunzioni di conformità con scadenze e irrogare sanzioni amministrative. Per i soggetti essenziali, i controlli possono essere avviati in modo proattivo, senza attendere il verificarsi di un incidente. Il pieno dispiegamento di questi controlli avverrà progressivamente man mano che l'ACN identificherà i soggetti interessati in Italia.

Question 15

NIS2 si applica in tutta Europa?

Accepted Answer

Sì, NIS2 è una direttiva europea che si impone a tutti i 27 Stati membri dell'Unione europea. Tuttavia, essendo una direttiva (e non un regolamento), necessita di recepimento nel diritto nazionale di ciascuno Stato membro. Ciò significa che le modalità pratiche di applicazione (identificazione dei soggetti, processi di notifica, sanzioni effettive) possono variare da un paese all'altro, anche se i requisiti sostanziali sono armonizzati. Per i gruppi internazionali, ciò implica il monitoraggio del recepimento in ciascun paese interessato. Il meccanismo di vigilanza è organizzato attorno al principio dello stabilimento principale: un soggetto che opera in più Stati membri è generalmente vigilato dall'autorità del paese in cui si trova il suo stabilimento principale per i servizi transfrontalieri.

Domande frequenti su NIS2

Domande frequenti su NIS2