D.lgs. 4 settembre 2024, n. 138 · Capo IV
Articolo 24
Obblighi in materia di misure di gestione dei rischi per la sicurezza informatica
Sintesi Articolo 24
È il cuore degli obblighi di sicurezza: i soggetti essenziali e importanti adottano misure tecniche, operative e organizzative adeguate e proporzionate per gestire i rischi ai propri sistemi informativi e di rete. L'adeguatezza va misurata sui rischi esistenti; la proporzionalità sul grado di esposizione, sulla dimensione del soggetto, sulla probabilità degli incidenti e sulla loro gravità, incluso l'impatto sociale ed economico.
L'approccio è multi-rischio e protegge anche l'ambiente fisico. Il decreto elenca le misure minime: analisi dei rischi e politiche di sicurezza, gestione degli incidenti, continuità operativa con backup e gestione delle crisi, sicurezza della catena di approvvigionamento, sviluppo e manutenzione sicuri con gestione delle vulnerabilità, verifica di efficacia delle misure, igiene informatica e formazione, crittografia, sicurezza del personale, controllo degli accessi e gestione degli asset, autenticazione a più fattori e comunicazioni protette.
Sulla supply chain, ciascun soggetto valuta le vulnerabilità specifiche di ogni fornitore diretto e la qualità complessiva di prodotti e pratiche di sicurezza, tenendo conto degli esiti delle valutazioni coordinate svolte a livello europeo. Se emerge una non conformità, le correzioni appropriate e proporzionate vanno adottate tempestivamente.
Sintesi editoriale a finalità informativa: non sostituisce il testo ufficiale.
Testo ufficiale
Fonte: Normattiva.
1. I soggetti essenziali e i soggetti importanti adottano misure tecniche, operative e organizzative adeguate e proporzionate, secondo le modalita' e i termini di cui agli articoli 30, 31 e 32, alla gestione dei rischi posti alla sicurezza dei sistemi informativi e di rete che tali soggetti utilizzano nelle loro attivita' o nella fornitura dei loro servizi, nonche' per prevenire o ridurre al minimo l'impatto degli incidenti per i destinatari dei loro servizi e per altri servizi. Tali misure:
a) assicurano un livello di sicurezza dei sistemi informativi e di rete adeguato ai rischi esistenti, tenuto conto delle conoscenze piu' aggiornate e dello stato dell'arte in materia e, ove applicabile, delle pertinenti norme nazionali, europee e internazionali, nonche' dei costi di attuazione;
b) sono proporzionate al grado di esposizione a rischi del soggetto, alle dimensioni del soggetto e alla probabilita' che si verifichino incidenti, nonche' alla loro gravita', compreso il loro impatto sociale ed economico.
2. Le misure di cui al comma 1 sono basate su un approccio multi-rischio, volto a proteggere i sistemi informativi e di rete nonche' il loro ambiente fisico da incidenti, e comprendono almeno i seguenti elementi:
a) politiche di analisi dei rischi e di sicurezza dei sistemi informativi e di rete;
b) gestione degli incidenti, ivi incluse le procedure e gli strumenti per eseguire le notifiche di cui agli articoli 25 e 26;
c) continuita' operativa, ivi inclusa la gestione di backup, il ripristino in caso di disastro, ove applicabile, e gestione delle crisi;
d) sicurezza della catena di approvvigionamento, ivi compresi gli aspetti relativi alla sicurezza riguardanti i rapporti tra ciascun soggetto e i suoi diretti fornitori o fornitori di servizi;
e) sicurezza dell'acquisizione, dello sviluppo e della manutenzione dei sistemi informativi e di rete, ivi comprese la gestione e la divulgazione delle vulnerabilita';
f) politiche e procedure per valutare l'efficacia delle misure di gestione dei rischi per la sicurezza informatica;
g) pratiche di igiene di base e di formazione in materia di sicurezza informatica;
h) politiche e procedure relative all'uso della crittografia e, ove opportuno, della cifratura;
i) sicurezza e affidabilita' del personale, politiche di controllo dell'accesso e gestione dei beni e degli assetti;
l) uso di soluzioni di autenticazione a piu' fattori o di autenticazione continua, di comunicazioni vocali, video e testuali protette, e di sistemi di comunicazione di emergenza protetti da parte del soggetto al proprio interno, ove opportuno.
3. Nel valutare quali misure di cui al comma 2, lettera d), siano adeguate, i soggetti tengono conto delle vulnerabilita' specifiche per ogni diretto fornitore e fornitore di servizi e della qualita' complessiva dei prodotti e delle pratiche di sicurezza informatica dei propri fornitori e fornitori di servizi, comprese le loro procedure di sviluppo sicuro. Per la medesima finalita' i soggetti tengono altresi' conto dei risultati delle valutazioni coordinate dei rischi per la sicurezza delle catene di approvvigionamento critiche effettuate dal Gruppo di cooperazione NIS.
4. Qualora un soggetto rilevi di non essere conforme alle misure di cui al comma 2, esso adotta, senza indebito ritardo, tutte le misure appropriate e proporzionate correttive necessarie.