#Finsubito news dalla rete – quali imprese devono rispettare le nuove regole di cybersicurezza?

Fino a ieri la sicurezza informatica era affare dei tecnici. Con la NIS 2 diventa un obbligo di legge per migliaia di imprese, e la responsabilità sale fino al consiglio di amministrazione.

Atene, 1° settembre 2005. In un ufficio della capitale greca comincia a lavorare un’agenzia europea di cui quasi nessuno conosce il nome: l’ENISA. Ha pochi poteri, un mandato a tempo, e gli Stati membri la guardano con sospetto, temendo che sottragga competenze ai governi nazionali. Vent’anni dopo quella stessa agenzia coordina la difesa informatica di un continente, e da Bruxelles sono arrivate regole che toccano ospedali, fabbriche, corrieri, comuni. In questo articolo vediamo quali imprese devono rispettare le regole di cybersicurezza della direttiva NIS 2 e che cosa devono fare. La sintesi è questa. La Direttiva (UE) 2022/2555, recepita in Italia con il D.Lgs. n. 138/2024, obbliga le medie e grandi imprese di una lunga lista di settori, e molte pubbliche amministrazioni, ad adottare misure di sicurezza informatica, a notificare gli incidenti entro tempi strettissimi e a rispondere davanti all’Agenzia per la cybersicurezza nazionale(ACN). E rende responsabili in prima persona gli organi di amministrazione.

Che cosa si intende, per legge, per cybersicurezza?

La definizione giuridica sta nel Regolamento (UE) 2019/881, il cosiddetto Cybersecurity Act: la cybersicurezza è l’insieme delle attività necessarie per proteggere dalle minacce informatiche la rete e i sistemi informativi, gli utenti di tali sistemi e le altre persone interessate.

I numeri spiegano perché il legislatore si è svegliato. Nel primo semestre 2024 gli attacchi informatici gravi nel mondo sono cresciuti del 23% rispetto al semestre precedente, con una media di nove al giorno. Il costo globale della criminalità informatica nel 2024 è stimato in 9.500 miliardi di dollari; il costo medio di una singola violazione di dati in 4,88 milioni di dollari. Se il cybercrime fosse uno Stato, sarebbe la terza economia del mondo dopo Stati Uniti e Cina. L’Europa riceve il 29% degli attacchi mondiali, seconda solo all’America (41%). L’Italia da sola ne subisce il 7,6%: nel 2023 gli attacchi nel nostro Paese sono cresciuti del 65%, soprattutto contro manifattura, informatica e sanità. [I dati vengono dal Rapporto Clusit 2024 e dal rapporto IBM sul costo delle violazioni di dati. E riguardano solo i casi denunciati: il «numero oscuro» è molto più alto.]

Due le cause indicate: un basso livello di sicurezza di software e hardware, e una scarsa alfabetizzazione informatica, che impedisce agli utenti una corretta «igiene informatica». La regolazione da sola non basta. Ma senza regolazione, a quanto pare, non si muove nessuno.

Che ruolo ha l’ENISA?

L’ENISA nasce con il Regolamento (CE) n. 460/2004 come Agenzia europea per la sicurezza delle reti e dell’informazione. Sede ad Atene, uffici a Candia (Creta) e Bruxelles, oltre cento dipendenti. Il compito iniziale era di supporto tecnico: analizzare i rischi per le reti di telecomunicazione, aiutare istituzioni europee e nazionali nella regolazione, elaborare strategie di prevenzione, promuovere la cooperazione e la consapevolezza dei cittadini.

La svolta arriva nel 2013. La Strategia dell’Unione europea per la cibersicurezza del 7 febbraio 2013 sposta il tema dal mercato interno alla sicurezza: la cybersicurezza diventa una questione strategica, legata a sicurezza pubblica, difesa e politica estera. Il Regolamento (UE) n. 526/2013 rafforza il mandato dell’ENISA e lo proroga fino al 2020. L’agenzia sviluppa metodi per la gestione delle crisi e organizza esercitazioni continentali come «Cyber Europe», che mettono alla prova pubblico e privato insieme. Infine il Cybersecurity Act del 2019 la trasforma in un’agenzia permanente, con più poteri e autonomia: è l’attuale Agenzia dell’Unione europea per la cybersicurezza.

Per il triennio 2025-2027 l’ENISA si è data quattro obiettivi: verificare come gli Stati applicano le norme europee, rafforzare la resilienza contro le minacce, potenziare le infrastrutture di sicurezza e aumentare la fiducia nelle soluzioni digitali attraverso la certificazione di protocolli e standard.

Perché la prima direttiva NIS non bastava?

La Direttiva (UE) 2016/1148, la prima direttiva NIS (Network and Information Security), è stato il primo vero atto europeo sulla cybersicurezza. In Italia è stata recepita con il D.Lgs. n. 65/2018, in vigore dal 24 giugno 2018. Aveva tre obiettivi: aumentare la resilienza dei soggetti critici con obblighi di sicurezza, costruire regole uniformi con autorità nazionali competenti e cooperazione sotto la guida dell’ENISA, migliorare la gestione degli incidenti e lo scambio di informazioni tra pubblico e privato.

Distingueva due categorie: gli operatori di servizi essenziali, individuati dagli Stati nei settori critici (energia, trasporti, sanità, finanza, acqua), e i fornitori di servizi digitali (motori di ricerca, cloud, marketplace). Imponeva misure di sicurezza adeguate e la notifica degli incidenti rilevanti. Prevedeva strategie nazionali, autorità nazionali, una rete di squadre di risposta agli incidenti (i CSIRT) e un Gruppo di cooperazione tra Stati.

I difetti sono emersi presto. Gli Stati avevano troppa libertà nell’attuazione, e le misure erano disomogenee. I criteri di inclusione erano stretti: restavano fuori settori come la manifattura e i servizi postali. E le sanzioni erano deboli, quindi poco dissuasive.

Cosa cambia con la NIS 2?

La Direttiva (UE) 2022/2555, la NIS 2, è entrata in vigore il 16 gennaio 2023, con termine di recepimento al 17 ottobre 2024, e ha abrogato la prima. Le novità principali:

• un campo di applicazione molto più ampio: energia, trasporti, sanità, pubblica amministrazione, infrastrutture digitali, telecomunicazioni, servizi postali, manifattura, gestione dei rifiuti e altri;
• una classificazione chiara dei soggetti in essenziali e importanti, in base a dimensione e settore, con obblighi proporzionati;
• un elenco minimo di misure di sicurezza da adottare con un approccio «multirischio», cioè contro tutte le minacce, e la formazione continua del personale;
• obblighi di notifica più stringenti: comunicazione preliminare entro 24 ore, analisi dettagliata entro 72 ore, relazione finale entro un mese;
• più poteri di vigilanza alle autorità nazionali e più cooperazione tra Stati, con il rafforzamento dell’ENISA e la nascita di EU-CyCLONe, la rete europea delle autorità che gestiscono le crisi informatiche su larga scala;
• sanzioni molto più pesanti: per i soggetti essenziali fino a 10 milioni di euro o al 2% del fatturato mondiale annuo.

Per i soggetti importanti il tetto è più basso: 7 milioni di euro o l’1,4% del fatturato.

Per banche, assicurazioni, intermediari finanziari e fornitori di servizi informatici critici del settore finanziario si aggiunge il Regolamento (UE) 2022/2554, chiamato DORA, applicabile dal 17 gennaio 2025: obblighi specifici di resilienza digitale, test frequenti, autorità di vigilanza dedicate, notifiche dettagliate. DORA e NIS 2 si sommano: il soggetto finanziario deve rispettare entrambi.

Chi è obbligato in Italia dal D.Lgs. 138/2024?

L’Italia ha recepito la NIS 2 con il D.Lgs. n. 138/2024, pubblicato in Gazzetta Ufficiale il 1° ottobre 2024 e in vigore dal 16 ottobre 2024. Il contenuto ricalca la direttiva, con qualche differenza. Un’impresa è «soggetto NIS» se ricorrono tre criteri insieme:

• dimensionale: è una media o grande impresa secondo la Raccomandazione 2003/361/CE;
• territoriale: opera nell’Unione europea;
• settoriale: opera in almeno uno dei settori indicati dalla direttiva.

Il decreto estende l’ambito alle pubbliche amministrazioni, in base alla loro esposizione al rischio, alla probabilità di incidenti e alla loro possibile gravità. E vi include, a prescindere dalle dimensioni, i fornitori di trasporto pubblico locale, gli istituti di istruzione che fanno ricerca, i soggetti che svolgono attività di interesse culturale e le società di servizi informatici partecipate o controllate da enti pubblici.

Una società di autobus urbani con trenta dipendenti, controllata da un comune, è soggetto NIS anche se, per dimensioni, sarebbe una piccola impresa. Lo stesso vale per la piccola software house partecipata dalla Regione che gestisce i sistemi informatici di alcune ASL.

Quali misure di sicurezza devono adottare le imprese?

I soggetti NIS devono adottare misure adeguate e proporzionate per prevenire o gestire i rischi ai propri sistemi informativi, o almeno per ridurne l’impatto. Le misure devono tenere conto dello stato dell’arte della tecnologia, delle norme applicabili e dei costi, ed essere proporzionate alla dimensione del soggetto.

L’approccio multirischio si traduce in un elenco concreto: politiche di analisi dei rischi, gestione degli incidenti, continuità operativa (backup, ripristino, gestione delle crisi), sicurezza della catena di approvvigionamento (cioè anche delle misure adottate dai fornitori), sicurezza nello sviluppo e nella manutenzione dei sistemi, verifica dell’efficacia delle misure, formazione, crittografia, sicurezza del personale e controllo degli accessi, autenticazione avanzata.

La catena di approvvigionamento merita attenzione. Un’impresa sicura che lavora con un fornitore colabrodo non è sicura. Per questo i soggetti NIS si troveranno a chiedere ai propri fornitori, anche piccoli e non soggetti alla normativa, garanzie contrattuali sulla sicurezza.

Gli amministratori rispondono personalmente della cybersicurezza?

È la novità che più cambia le cose nei consigli di amministrazione. Il decreto attribuisce agli organi di amministrazionedel soggetto NIS responsabilità precise: devono approvare le misure di sicurezza, sovrintendere alla loro attuazione e sono responsabili delle violazioni. Devono anche seguire una formazione specifica in cybersicurezza e promuovere una formazione periodica per i dipendenti, perché sappiano riconoscere i rischi e valutarne l’impatto sull’attività.

Le sanzioni non colpiscono solo la società. Sono previste sanzioni accessorie per le persone fisiche responsabili, come l’incapacità a svolgere funzioni dirigenziali nel soggetto inadempiente, e per i dipendenti pubblici la responsabilità dirigenziale, disciplinare e amministrativo-contabile.

Il consiglio di amministrazione di un’azienda alimentare di medie dimensioni che, avvisato dal responsabile informatico, rinvia per due anni gli investimenti in backup e autenticazione a più fattori, e poi subisce un attacco che blocca la produzione, non potrà dire che era una questione tecnica. Era una sua decisione.

Entro quando va notificato un incidente informatico?

Davanti a un incidente significativo, il soggetto NIS deve seguire una sequenza rigida verso il CSIRT Italia:

• entro 24 ore dalla scoperta, una comunicazione preliminare che dica se l’incidente può essere stato causato da un atto illecito o doloso e se può avere effetti in altri Paesi;
• entro 72 ore, un aggiornamento con una prima analisi della gravità e dell’impatto;
• entro un mese dalla comunicazione preliminare, una relazione finale.

Il decreto ha previsto un’entrata a regime graduale. Entro il 28 febbraio 2025 i soggetti dovevano registrarsi sulla piattaforma dell’ACN indicando dati societari, recapiti, responsabile della cybersicurezza e settore. Entro il 31 marzo 2025 l’ACN ha formato l’elenco dei soggetti essenziali e importanti, comunicando l’inserimento entro il 15 aprile 2025. Gli obblighi di notifica degli incidenti scattano da gennaio 2026; quelli sulle misure di sicurezza entro ottobre 2026. Cioè adesso.

Che cos’è l’Agenzia per la cybersicurezza nazionale?

Prima del 2021 la cybersicurezza in Italia era divisa tra più enti: il Dipartimento delle informazioni per la sicurezza (DIS), la Polizia Postale, il Nucleo per la sicurezza cibernetica. Il D.L. n. 82/2021, convertito dalla L. n. 109/2021, ha ridisegnato tutto. Al vertice c’è la Presidenza del Consiglio, con la direzione delle politiche di cybersicurezza, l’adozione della strategia nazionale e la nomina dei vertici dell’Agenzia. Accanto, un organo consultivo: il Comitato interministeriale per la cybersicurezza (CIC). E poi l’ACN, ente con personalità giuridica di diritto pubblico e autonomia regolamentare, amministrativa, patrimoniale, organizzativa, contabile e finanziaria, che concentra le competenze prima disperse.

Il D.Lgs. n. 138/2024 ha nominato l’ACN autorità nazionale competente NIS. Le sue funzioni:

• sovrintendere all’attuazione del decreto;
• regolare la materia, anche con linee guida e raccomandazioni non vincolanti;
• gestire l’elenco dei soggetti NIS;
• definire gli obblighi di gestione del rischio e di notifica;
• vigilare, con poteri di ispezione ed esecuzione.

L’ACN partecipa al Gruppo di cooperazione NIS e alle iniziative europee e, insieme al Ministero della Difesa, è autorità nazionale di gestione delle crisi informatiche. Se l’invito a mettersi in regola non basta, può irrogare sanzioni amministrative pecuniarie differenziate per tipo di soggetto, aggravate in caso di recidiva.

L’agenzia nata ad Atene con un mandato a tempo e pochi poteri ha fatto strada. Adesso tocca alle imprese fare la loro. Entro ottobre.