In queste settimane moltissime aziende chiedono informazioni sulla Direttiva NIS 2, a chi si applica e quali sono i termini per adeguarsi.
La Direttiva NIS 2 (Network and Information Systems 2) è una normativa adottata dall'Unione Europea per migliorare la sicurezza informatica e la resilienza delle reti e dei sistemi informativi della PA e del tessuto produttivo degli Stati membri. È un'evoluzione della precedente Direttiva NIS (2016), aggiornata per affrontare le crescenti minacce alla cybersicurezza e migliorare la protezione dei servizi essenziali nell'UE.
Deve essere recepita dai singoli Stati membri entro la data del 17.10.2024; in Italia la NIS 2 è stata recepita con il D.Lgs 138/2024 in vigore dal 16.10.2024.
La NIS 2 amplia le responsabilità e introduce nuove disposizioni:
Più soggetti obbligati:
- Rispetto alla Direttiva NIS 1, verranno inclusi nuovi settori e aziende, comprese PMI di settori critici (elettricità, sanità, chimica, infrastrutture digitali, ecc.).
- Essa infatti si rivolge a entità “essenziali” e entità “importanti”.
Le imprese sono considerate “essenziali” se operano in uno dei settori ad alta criticità elencati nell’Allegato 1 e hanno più di 250 dipendenti o un fatturato annuo superiore a 50 milioni di Euro.
Settori ad Alta Criticità (Allegato 1)
Energia: Elettricità, petrolio, gas, idrogeno, riscaldamento e raffreddamento
Trasporti: Strada, ferrovia, aria e acqua
Bancario: Banche, borse, istituzioni finanziarie
Sanità: Ospedali, laboratori, centri di ricerca, farmacie e dispositivi medici
Acqua: Acque reflue e acqua potabile
Infrastruttura digitale: Data center, cloud computing, fornitori DNS ecc.
Servizi ICT: Servizi gestiti e servizi di sicurezza gestiti
Pubblica amministrazione: Entità governative centrali e regionali
Spazio: Operatori di infrastrutture terrestri
Altri Settori Critici (Allegato 2)
Posta e corrieri: Spedizione di posta e pacchi
Gestione dei rifiuti: Raccolta, trattamento e riciclaggio dei rifiuti
Prodotti chimici: Produzione e distribuzione di prodotti chimici
Alimentare: Produzione, lavorazione e distribuzione di generi alimentari
Manifatturiero: Produttori di dispositivi medici, macchinari, veicoli e dispositivi elettrici/elettronici
Servizi digitali: Motori di ricerca, mercati online e reti sociali
Ricerca: Organizzazioni di ricerca
Le aziende che non sono considerate essenziali, ma appartengono comunque a uno dei settori elencati nell’Allegato 1 o nell’Allegato 2 e hanno più di 50 dipendenti o un fatturato annuo superiore a 10 milioni di Euro sono considerate entità “importanti”.
In altre parole, la distinzione tra entità essenziali e importanti è la seguente:
Entità essenziali: Grandi aziende (>250 dipendenti) in un settore dell’Allegato 1.
Entità importanti: Aziende di medie dimensioni (>50 dipendenti) dell’Allegato 1 e aziende grandi e medie dell’Allegato 2.
Le aziende con meno di 50 dipendenti possono comunque essere soggette alla NIS 2 se sono l’unico fornitore di un servizio essenziale all’interno di uno Stato membro o se l’interruzione del loro servizio avrebbe un impatto significativo sulla sicurezza pubblica, sulla sicurezza o sulla salute. Inoltre, le pubbliche amministrazioni e alcuni servizi digitali rientrano nella NIS 2 indipendentemente dalle loro dimensioni.
Fa eccezione la pubblica amministrazione che svolge attività nei settori della sicurezza nazionale, della pubblica sicurezza, della difesa, del contrasto, compresa la prevenzione, le indagini, l’accertamento e il perseguimento dei reati.
Obblighi rafforzati:
- Maggiore attenzione a:
- Analisi del rischio informatico.
- Politiche di sicurezza.
- Resilienza operativa.
- Segnalazione tempestiva degli incidenti.
Segnalazione degli incidenti:
- Le organizzazioni dovranno notificare incidenti significativi:
- Entro 24 ore per la prima comunicazione.
- Entro 72 ore per la relazione dettagliata.
Sanzioni più severe:
- Introdotte multe fino al 2% del fatturato globale o 10 milioni di euro per i soggetti essenziali.
Ruolo e impatti per le aziende italiane
- Identificazione come soggetto obbligato:
- Le aziende devono verificare se rientrano tra i soggetti essenziali o importanti.
- L'elenco dei settori sarà ampliato rispetto alla NIS 1.
- Adeguamento ai nuovi requisiti:
- Implementare sistemi di gestione del rischio.
- Garantire la protezione delle informazioni critiche.
- Prepararsi a segnalare e gestire incidenti in modo rapido.
- Coordinamento con l'ACN (Agenzia per la Cybersicurezza Nazionale):
- L'ACN fornirà supporto e supervisione per garantire la conformità.
Cosa fare per essere pronti
Per prima cosa bisogna Identificare se si rientra fra i soggetti essenziale o importante.
A tal fine si segnala che dal 1°dicembre 2024 a fine febbraio 2025 le imprese che ritengono di essere soggette alla NIS2 devono registrarsi sull’apposito portale che sarà disponibile sul sito web di ACN
Per la metà di aprile 2025 ACN comunicherà quali imprese registrate sono effettivamente soggette alla normativa e a quel punto verrà avviato un percorso condiviso di rafforzamento con varie scadenze differenziate
Avv. Annalisa Barbaglia