NIS2: la sicurezza informatica diventa responsabilità dei vertici aziendali
Il D.Lgs. 138/2024, che recepisce la direttiva (UE) 2022/2555, nota come NIS2, ha esteso in modo significativo gli obblighi di sicurezza informatica. Non riguarda più soltanto i grandi operatori di servizi essenziali: rientrano nel perimetro, come soggetti essenziali o importanti, numerose medie e grandi imprese di settori quali energia, trasporti, sanità, acqua, gestione dei rifiuti, chimica, alimentare, servizi digitali e postali, alcuni comparti manifatturieri, oltre alle pubbliche amministrazioni e, in determinati casi, a imprese di dimensioni minori.
Anche chi non rientra direttamente nel perimetro è spesso coinvolto: i soggetti NIS devono garantire la sicurezza della propria catena di approvvigionamento e chiedono ai fornitori requisiti contrattuali, questionari e verifiche.
I soggetti interessati devono registrarsi e aggiornare ogni anno i propri dati sulla piattaforma dell’Agenzia per la Cybersicurezza Nazionale (ACN), adottare misure tecniche, operative e organizzative proporzionate ai rischi e notificare gli incidenti significativi al CSIRT Italia entro tempi stretti: una prima segnalazione entro 24 ore, la notifica entro 72 ore e una relazione finale entro un mese.
La novità più rilevante riguarda gli organi di amministrazione: approvano le modalità di attuazione delle misure di sicurezza, ne sovrintendono l’implementazione, devono seguire una formazione specifica e rispondono delle violazioni. L’ACN, con proprie determinazioni, ha definito le misure di sicurezza di base, gli incidenti da notificare e i relativi termini, ed è ora entrata nella fase di verifica.
Le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per i soggetti essenziali, e fino a 7 milioni di euro o all’1,4% per i soggetti importanti; nei casi più gravi possono essere adottate misure che incidono sull’esercizio delle funzioni dirigenziali.
La NIS2 non è un adempimento solo tecnico, da delegare al reparto IT: richiede ruoli chiari, deleghe, procedure, controlli sui fornitori e una documentazione in grado di dimostrare le scelte compiute. L’esperienza maturata con il GDPR, il Modello 231 e la sicurezza sul lavoro consente di costruire un sistema integrato ed efficiente, senza duplicare adempimenti.
Tra i nostri servizi
Il nostro intervento è giuridico e organizzativo e si integra con quello dei tecnici: possiamo affiancare il responsabile IT e i consulenti tecnici già presenti in azienda, oppure coordinare, con partner qualificati, l’intero percorso di adeguamento.