La Direttiva NIS2 nasce da una profonda revisione della Direttiva NIS del 2016, segnando un passo significativo verso la piena definizione e attuazione della strategia cyber dell’Unione Europea.
L’obiettivo della nuova Direttiva NIS2 è contribuire a rafforzare il livello collettivo di sicurezza informatica degli Stati membri dell’UE, aumentando i requisiti di applicazione della cybersecurity per settori ritenuti essenziali o importanti, aiutando le infrastrutture critiche a contrastare le minacce informatiche.
La Direttiva NIS2 è stata approvata dal Parlamento europeo il 16 gennaio 2023 e in Italia è stata recepita con il Decreto Legislativo 138 del 4 settembre 2024 (Decreto NIS2), pubblicato in GU il 1° ottobre 2024 ed entrato in vigore il successivo 16 ottobre.
L’entrata in vigore del Decreto NIS2 introduce nuovi ambiti e obblighi per rafforzare la sicurezza e la resilienza cibernetica di imprese e pubbliche amministrazioni e innalzare la sicurezza del Paese, attraverso un percorso di adozione graduale e sostenibile degli adempimenti previsti.
L’Agenzia per la Cybersicurezza Nazionale è confermata quale Autorità competente e punto di contatto unico per la sua applicazione, delineando un percorso graduale e sostenibile per consentire alle organizzazioni pubbliche e private di adempiere ai nuovi obblighi di legge.
Le principali novità
Aumentano i campi di applicazione della normativa. I settori interessati diventano 18, di cui 11 altamente critici e 7 critici, coinvolgendo oltre 80 tipologie di soggetti, distinti tra essenziali e importanti in relazione al livello di criticità delle attività svolte e del settore in cui operano.
Sono previsti anche nuovi strumenti per la sicurezza informatica, come la divulgazione coordinata delle vulnerabilità, da realizzarsi attraverso la cooperazione e la condivisione delle informazioni a livello nazionale ed europeo.
La NIS2 si applica, in via prioritaria, alle organizzazioni di medie e grandi dimensioni, con esclusione delle imprese con meno di 50 dipendenti o un fatturato annuo inferiore a 10 milioni di euro, a meno che non siano ritenute di importanza critica per la società e, in tal caso, dovranno soddisfare requisiti e misure di vigilanza più severe.
Il percorso di attuazione
L’adeguamento alla normativa NIS prevede un percorso sostenibile con la graduale implementazione degli obblighi di legge. Per i soggetti interessati il primo passo è quello di registrarsi al portale di ACN. Per farlo c’è tempo fino al 28 febbraio 2025.
Gli obblighi di notifica di incidente e delle misure di sicurezza verranno definiti in maniera progressiva e a valle delle consultazioni nell’ambito dei tavoli settoriali con le determine del Direttore Generale di ACN, che saranno adottate entro il primo quadrimestre del 2025.
È prevista, inoltre, una finestra temporale di implementazione differenziata: 9 mesi per le notifiche e 18 mesi per le misure di sicurezza, decorrenti dalla data di consolidamento dell’elenco dei soggetti NIS, previsto per aprile 2025.
Da aprile 2025 partirà quindi un percorso condiviso di rafforzamento della sicurezza informatica nazionale.
Per facilitare la comprensione delle novità, l’ACN ha pubblicato un video e alcune pagine informative sul proprio sito web istituzionale, tra le quali una sezione di FAQ costantemente aggiornata dagli esperti dell’Agenzia, in cui vengono fornite informazioni e risposte ai quesiti più significativi che saranno sottoposti ad ACN nelle varie sedi di confronto con imprese e Pubbliche Amministrazioni. (acn.gov.it/nis).
Per massimizzare la diffusione degli adempimenti previsti dalla NIS2, Confindustria ha avviato una collaborazione con l’ACN per favorire il reciproco scambio di informazioni e ottimizzare il processo di messa a terra della Direttiva, supportando le imprese nel percorso di adozione.
Abbiamo organizzato un primo evento nazionale per le imprese del Sistema il 9 maggio 2024 in Confindustria, seguito dall’organizzazione di una serie di webinar con le Associazioni territoriali e di categoria: ad oggi sono stati realizzati 8 webinar e 4 sono in calendario entro fine gennaio 2025.
Per ulteriori informazioni e per l’organizzazione di webinar dedicati alle imprese associate potete rivolgervi a Michele D’Ambrosio – m.dambrosio@confindustria.it - 065903758