DIRETTIVA NIS2: DAL 28 FEBBRAIO 2025 I PRIMI ADEMPIMENTI IN TEMA DI CYBERSICUREZZA
La c.d. Direttiva NIS2 ha introdotto misure finalizzate a garantire un livello elevato di cybersicurezza nell’Unione, in modo da migliorare il funzionamento del mercato interno. Con il D. Lgs 138/2024, entrato in vigore lo scorso 18 ottobre, lo Stato italiano ha dato attuazione a tale Direttiva.
AMBITO DI APPLICAZIONE
Il D.lgs 138/2024 si applica ai soggetti pubblici e privati ricompresi nei settori e tipologie di cui agli allegati I, II, III, IV che superano i massimali previsti per essere considerati Piccole Imprese.
Le disposizioni distinguono inoltre, sulla base del grado di criticità, soggetti “essenziali” (con un grado più alto) e “importanti” (con un grado più basso). Ai fini dell’individuazione di tali soggetti bisogna fare riferimento agli allegati I, II, III, IV e all’art. 3 del decreto legislativo. L’Agenzia per la cibersicurezza nazionale ha predisposto una tabella esplicativa accessibile qui: https://www.acn.gov.it/portale/documents/d/guest/faq-1-5_dettaglio-ambiti-di-applicazione
OBBLIGHI E ADEMPIMENTI RICHIESTI
Il decreto legislativo prevede:
- Obblighi di registrazione e informazione: i soggetti obbligati devono registrarsi sulla piattaforma digitale resa disponibile dall’Agenzia per la cybersicurezza nazionale al fine della predisposizione dell’elenco dei soggetti essenziali/importanti. Successivamente, dopo le valutazioni dell’Autorità, solo i soggetti effettivamente inseriti nell’elenco sono tenuti a fornire un ulteriore set di informazioni. La scadenza per i primi obblighi di registrazione è fissata al 28 febbraio 2025, a partire da qui: https://portale.acn.gov.it/login
- Obblighi in materia di misure di gestione dei rischi per la sicurezza informativa: i soggetti essenziali e importanti devono adottare misure tecniche, operative e organizzative adeguate alla gestione dei rischi posti alla sicurezza dei sistemi informativi e di rete utilizzati nonché per ridurre l’impatto di possibili incidenti.
- Obblighi in materia di notifica di incidente: i soggetti essenziali e importanti devono notificare ogni incidente con significativi impatti sulla fornitura dei loro servizi.
IMPIANTO SANZIONATORIO
Il D.lgs 138/2024 prevede sanzioni amministrative pecuniarie sia per l’inosservanza degli obblighi e delle disposizioni adottate dall’Autorità nazionale competente NIS (fino ad un massimo tra 7.000 e 10.000 euro o tra 1,4% e 2% del fatturato annuo) sia per la mancata registrazione e comunicazione, inosservanza delle disposizioni e mancata collaborazione con le autorità preposte (in questo caso le sanzioni variano tra lo 0,07% e lo 0,1% del fatturato annuo).
L’Associazione, nel rimanere a disposizione per chiarimenti, ricorda che è attiva la “Vetrina delle aziende di Confimi Industria Digitale Vicenza”, dove è possibile entrare in contatto con aziende associate in grado di assistere le imprese per il supporto nell’adozione delle necessarie misure tecnologiche.
Il prossimo 5 febbraio si terrà un webinar sul tema, gratuito per le imprese associate. Iscrizioni a partire da qui: https://forms.office.com/e/Dxv53LjMte
0444.232210
- Creato il .