D.lgs. 138/2024
Considerando del decreto legislativo 138/2024
Una lettura ragionata delle premesse normative e dei principali coordinamenti giuridici che spiegano il contesto del recepimento italiano della NIS2.
Nota editoriale: il decreto legislativo italiano non contiene considerando numerati come una direttiva europea. Questa pagina organizza per temi i richiami e le finalità ricavabili dal preambolo ufficiale, senza sostituire il testo vigente.
Premesse e coordinamenti normativi
1. Delega legislativa e fondamento costituzionale
Il decreto legislativo 138/2024 nasce dall’esercizio della delega conferita al Governo per recepire la direttiva (UE) 2022/2555. Il preambolo richiama gli articoli 76 e 87 della Costituzione, la legge n. 400/1988 sull’attività di Governo e la legge n. 234/2012 sulla partecipazione dell’Italia all’Unione europea. Questo inquadramento chiarisce che il decreto non introduce una disciplina isolata, ma inserisce la NIS2 nel sistema italiano delle fonti e nei meccanismi ordinari di recepimento del diritto dell’Unione. La lettura coordinata delle premesse aiuta quindi a comprendere la funzione del provvedimento: trasformare gli obiettivi europei di resilienza informatica in obblighi nazionali direttamente applicabili ai soggetti rientranti nel perimetro.
2. Recepimento della direttiva NIS2
Il riferimento centrale del preambolo è la direttiva (UE) 2022/2555, che innalza il livello comune di cibersicurezza nell’Unione e sostituisce la precedente direttiva NIS. Il decreto italiano ne traduce i principi in un quadro nazionale composto da strategia, autorità competenti, obblighi di gestione del rischio, notifiche di incidente, vigilanza e sanzioni. Il recepimento non si limita a riprodurre le disposizioni europee: definisce anche procedure amministrative, piattaforme digitali, termini applicativi e poteri dell’Agenzia per la cybersicurezza nazionale. Per questo la disciplina va letta insieme alle determinazioni ACN, che rendono operativi gli obblighi previsti dal decreto.
3. Architettura nazionale di cybersicurezza e ruolo dell’ACN
Le premesse richiamano il decreto-legge n. 82/2021, che ha istituito l’Agenzia per la cybersicurezza nazionale e definito l’architettura italiana di settore. Su questa base il d.lgs. 138/2024 attribuisce all’ACN il ruolo di Autorità nazionale competente NIS, Punto di contatto unico e sede del CSIRT Italia. La scelta garantisce continuità tra le funzioni già esistenti e i nuovi compiti derivanti dalla NIS2. L’ACN coordina le autorità di settore, gestisce l’elenco dei soggetti, disciplina il Portale NIS, riceve le notifiche e svolge attività di monitoraggio, vigilanza ed esecuzione.
4. Coordinamento con eIDAS e identità digitale europea
Il decreto considera il rapporto tra NIS2 e il regolamento eIDAS, anche nella versione aggiornata dal regolamento (UE) 2024/1183 sul quadro europeo dell’identità digitale. I prestatori di servizi fiduciari rientrano infatti tra i soggetti per i quali continuità, integrità e sicurezza delle infrastrutture digitali hanno particolare rilevanza. Il richiamo evita sovrapposizioni e chiarisce che gli obblighi NIS si inseriscono in un ecosistema normativo più ampio, nel quale sicurezza delle reti, identità digitale e affidabilità delle transazioni elettroniche devono essere gestite in modo coordinato.
5. Rapporto con DORA nel settore finanziario
Il preambolo richiama il regolamento (UE) 2022/2554 sulla resilienza operativa digitale del settore finanziario e la direttiva (UE) 2022/2556. DORA opera come disciplina speciale per gli ambiti che regola in modo equivalente, mentre la NIS2 continua a rilevare per gli aspetti non coperti o per i soggetti finanziari che ricadono nel perimetro nazionale. Questo coordinamento è essenziale per evitare duplicazioni e per distinguere correttamente gli obblighi applicabili a banche, infrastrutture dei mercati finanziari e intermediari. La valutazione va svolta sul singolo soggetto e sul servizio effettivamente prestato.
6. Rapporto con la direttiva CER sui soggetti critici
Tra gli atti richiamati figura la direttiva (UE) 2022/2557 sulla resilienza dei soggetti critici. NIS2 e CER perseguono finalità complementari: la prima si concentra sulla sicurezza informatica, la seconda sulla resilienza complessiva dei soggetti critici rispetto a rischi fisici e organizzativi. Il decreto italiano prevede quindi cooperazione tra autorità e scambio di informazioni, così che incidenti informatici, minacce fisiche e continuità dei servizi essenziali siano gestiti in modo coerente. Per le organizzazioni coinvolte ciò richiede un modello integrato di risk management e crisis management.
7. Protezione dei dati personali e riservatezza
Il preambolo richiama il Codice privacy, il GDPR e la disciplina europea sulle comunicazioni elettroniche. Gli adempimenti NIS comportano spesso il trattamento di dati personali: registrazioni degli accessi, informazioni sugli incidenti, dati di contatto, evidenze tecniche e comunicazioni con autorità e interessati. Il decreto stabilisce che tali trattamenti devono avvenire nel rispetto della normativa privacy e dei principi di necessità, proporzionalità e sicurezza. Cybersecurity e protezione dei dati non sono quindi percorsi separati, ma componenti di uno stesso sistema di governance.
8. Coordinamento con il Perimetro di sicurezza nazionale cibernetica
Il richiamo al decreto-legge n. 105/2019 segnala la necessità di coordinare il nuovo regime NIS con il Perimetro di sicurezza nazionale cibernetica. Alcune organizzazioni possono essere soggette contemporaneamente a più discipline, con obblighi relativi a reti, sistemi, notifiche, forniture e controlli. Il d.lgs. 138/2024 evita duplicazioni non necessarie e preserva gli obblighi più specifici applicabili agli asset inclusi nel Perimetro. La conformità richiede quindi una mappatura normativa che distingua sistemi e servizi rilevanti per ciascun regime.
9. Rafforzamento della cybersicurezza nazionale
Le premesse richiamano la legge n. 90/2024 sul rafforzamento della cybersicurezza nazionale e sui reati informatici. Tale richiamo colloca la NIS2 nel più ampio percorso italiano di potenziamento della prevenzione, della risposta agli incidenti e della responsabilizzazione delle pubbliche amministrazioni e degli operatori strategici. Gli obblighi del decreto devono pertanto essere interpretati insieme alle ulteriori disposizioni nazionali applicabili, soprattutto quando un incidente può generare effetti su servizi pubblici, interessi nazionali o infrastrutture critiche.
10. Dimensione d’impresa e criteri di inclusione
Il richiamo alla raccomandazione 2003/361/CE è decisivo per determinare la dimensione delle imprese e, di conseguenza, l’applicazione della regola generale del dimension-cap. Il decreto, tuttavia, prevede eccezioni basate sulla criticità del servizio, sull’impatto potenziale di un incidente, sulla rilevanza sistemica e sull’assenza di fornitori alternativi. La sola dimensione non è quindi sufficiente per escludere un’organizzazione. Occorre verificare settore, tipologia di soggetto, attività svolte, struttura del gruppo e eventuali provvedimenti di individuazione dell’ACN.
11. Cooperazione europea e reti operative
Il decreto si inserisce in un sistema europeo di cooperazione che comprende il Gruppo di cooperazione NIS, la rete dei CSIRT e EU-CyCLONe. Le premesse evidenziano la dimensione transfrontaliera delle minacce e la necessità di condividere informazioni, valutazioni e capacità di risposta. L’Italia partecipa attraverso l’ACN, il CSIRT Italia e le autorità nazionali di gestione delle crisi informatiche. Per i soggetti regolati ciò significa che incidenti e vulnerabilità possono essere valutati anche in relazione agli impatti su altri Stati membri.
12. Attuazione graduale attraverso le determinazioni ACN
Il decreto rinvia a successive determinazioni dell’ACN per definire modalità operative, termini, specifiche di base, uso della piattaforma, categorizzazione delle attività e ulteriori adempimenti. Questo meccanismo consente di applicare gli obblighi in modo proporzionato e progressivo, tenendo conto del settore, delle dimensioni, dell’esposizione al rischio e della categoria di rilevanza dei servizi. La conformità non può quindi fermarsi alla lettura del decreto: richiede il monitoraggio continuo dei provvedimenti attuativi e delle scadenze pubblicate dall’Agenzia.