STRATEGIE DI RAFFORZAMENTO DELLA CYBERSICUREZZA
La direttiva europea NIS 2 (dir. 2555/2022) è il principale strumento normativo comunitario teso a rafforzare la cybersicurezza. Tale disciplina è stata recepita dal legislatore italiano con il D.lgs. 138/2024, il cui scopo è quello di vincolare i soggetti pubblici e privati che operano i determinati settori considerati critici per il funzionamento del sistema economico e sociale all’adozione di determinate misure volte a prevenire, resistere e rimediare agli incidenti informatici.
AMBITO DI APPLICAZIONE
Il D.lgs. si applica a due grandi categorie di soggetti:
- Enti essenziali, ovverosia le autorità pubbliche o private che operano nel campo di energia, trasporti, mercati finanziari, sanità e spazio.
- Enti importanti: persone giuridiche attive nel settore dei rifiuti, delle spedizioni postali, dell’alimentazione, in ambito farmaceutico e, da ultimo, le pubbliche amministrazioni locali o regionali.
OBBLIGHI DI GESTIONE DEI RISCHI PER LA SICUREZZA INFORMATICA
L’art. 24 del Decreto impone misure tese a prevenire o minimizzare il rischio incidenti informatici:
- valutazione periodica rischio incidenti informatici;
- mappatura asset critici;
- introduzione di team interni o esterni con competenze in cybersecurity;
- prevedere strategie di backup dei dati;
- introdurre procedure di crittografia dei dati in transito;
- designare responsabili cybersecurity;
- valutare livello di sicurezza informatica dei fornitori;
- stipulare contratti con clausole di sicurezza in relazione ai dati informatici.
OBBLIGHI DI NOTIFICA DI INCIDENTI INFORMATICI
L’art. 25 introduce l’obbligo di notifica dell’incidente informatico al CSIRT (ente pubblico incorporato nell’Agenzia Nazionale di Cybersicurezza con sede in Roma, Via Santa Susanna, n. 15). Il CSIRT è competente a:
- fornire supporto tecnico in caso di incidente informatico;
- diffondere raccomandazioni in tema di cybersecurity;
- collaborare con gli altri CSIRT a livello europeo.
La procedura di notifica si articola in tre fasi:
- Entro 24 ore notifica generica dell’incidente al CRIST Italia;
- Entro 72 ore notifica aggiornata con informazioni tecniche su incidente;
- Entro 1 mese, report definitivo con cause e misure correttive adottate dalle società.
SANZIONI
Il mancato rispetto degli obblighi previsti dal decreto può comportare sanzioni:
- Pecuniarie
- Fino ad un massimo di euro 10.000.000 o del 2% del totale del fatturato annuo su scala mondiale per l’esercizio precedente del soggetto, per i soggetti essenziali (escluse le pubbliche amministrazioni).
- Fino ad un massimo di euro 7.000.000 o dell’1,4% del totale del fatturato annuo su scala mondiale per l’esercizio precedente del soggetto per i soggetti importanti (escluse le pubbliche amministrazioni).
Obbligo per l’ente di adottare a proprie spese misure correttive entro un certo termine