D.lgs. 138/2024
Domande chiave sul decreto legislativo 138/2024
Le risposte operative ai quesiti più frequenti su perimetro, registrazione, governance, misure, incidenti e vigilanza NIS in Italia.
Che cos’è il decreto legislativo 138/2024?
È il provvedimento italiano che recepisce la direttiva NIS2 e definisce il quadro nazionale per innalzare il livello di sicurezza informatica. Disciplina ambito di applicazione, autorità competenti, registrazione dei soggetti, responsabilità degli organi di amministrazione, misure di gestione del rischio, notifica degli incidenti, vigilanza e sanzioni. Il decreto è entrato in vigore il 16 ottobre 2024 e deve essere letto insieme alle determinazioni dell’ACN, che ne precisano modalità operative e scadenze.
Come si stabilisce se un’organizzazione rientra nel perimetro NIS?
La verifica parte dai settori e dalle tipologie di soggetto indicati negli allegati I, II, III e IV del decreto. Va poi valutata la dimensione dell’impresa secondo la raccomandazione europea sulle PMI, tenendo conto delle regole di aggregazione e delle eccezioni previste per soggetti critici o sistemici. Alcune organizzazioni rientrano nel perimetro a prescindere dalla dimensione. La valutazione deve considerare anche le attività effettivamente svolte e gli eventuali provvedimenti di individuazione dell’ACN.
Qual è la differenza tra soggetti essenziali e soggetti importanti?
Entrambe le categorie sono soggette agli obblighi principali del decreto. La distinzione dipende dalla criticità del settore, dalla tipologia di soggetto, dalle dimensioni e da specifiche condizioni normative. I soggetti essenziali sono sottoposti a un regime di vigilanza più intenso, anche preventivo; per i soggetti importanti i poteri di verifica e ispezione sono esercitati soprattutto quando emergono elementi che fanno presumere una violazione. Le sanzioni massime sono inoltre differenziate.
Come funziona la registrazione sulla piattaforma ACN?
I soggetti potenzialmente rientranti nel decreto devono registrarsi o aggiornare le informazioni tramite il Portale ACN nei periodi stabiliti. La procedura richiede dati identificativi, riferimenti del punto di contatto, informazioni sui servizi e ulteriori elementi previsti dalle determinazioni dell’Agenzia. L’ACN utilizza le informazioni per formare e aggiornare l’elenco dei soggetti essenziali e importanti. Variazioni rilevanti devono essere comunicate nei termini previsti.
Quali responsabilità hanno gli organi di amministrazione e direttivi?
Gli organi di amministrazione e direttivi approvano le modalità di attuazione delle misure di gestione del rischio, ne sorvegliano l’implementazione e possono essere chiamati a rispondere delle violazioni. Devono inoltre acquisire una formazione adeguata e promuovere la formazione del personale. La cybersecurity diventa quindi un tema di governance aziendale: il vertice deve ricevere informazioni periodiche su rischi, incidenti, notifiche, piani di trattamento e stato di conformità.
Quali misure di sicurezza devono essere adottate?
Il decreto richiede misure tecniche, operative e organizzative adeguate e proporzionate. Tra gli ambiti minimi rientrano analisi dei rischi, gestione degli incidenti, continuità operativa, sicurezza della supply chain, gestione delle vulnerabilità, verifica dell’efficacia dei controlli, igiene informatica, formazione, crittografia, sicurezza delle risorse umane, controllo degli accessi e autenticazione multifattore. Le specifiche di base ACN traducono questi ambiti in requisiti ed evidenze applicabili ai soggetti essenziali e importanti.
Quando un incidente deve essere notificato?
Un incidente deve essere notificato quando ha un impatto significativo sulla fornitura dei servizi. Il decreto prevede una comunicazione articolata, che comprende pre-notifica, notifica dell’incidente e relazione finale secondo le tempistiche applicabili. I soggetti devono quindi disporre di criteri di classificazione, ruoli di escalation, reperibilità, procedure di raccolta delle evidenze e canali pronti per l’interazione con il CSIRT Italia. Le determinazioni ACN precisano gli incidenti significativi di base.
Che cosa significa categorizzare attività e servizi?
Dal 2026 i soggetti NIS devono comunicare e aggiornare l’elenco delle proprie attività e dei propri servizi, attribuendo a ciascuno una categoria di rilevanza. La categorizzazione serve a calibrare gli obblighi sulla base dell’impatto potenziale di indisponibilità, perdita di integrità o riservatezza. L’ACN ha definito macro-aree, criteri e livelli di impatto. L’organizzazione deve motivare e documentare le valutazioni, assicurando coerenza con inventari, analisi di rischio, continuità operativa e dipendenze tecnologiche.
Che cosa sono i fornitori rilevanti?
Sono fornitori la cui compromissione, indisponibilità o debolezza può incidere in modo significativo sulla sicurezza dei sistemi informativi e di rete o sulla continuità delle attività e dei servizi del soggetto NIS. La loro individuazione supporta la valutazione degli elementi sistemici della catena di approvvigionamento. Devono essere considerati criticità del servizio fornito, accessi, privilegi, dipendenze, concentrazione, sostituibilità e capacità di propagazione di un incidente. Le informazioni sono comunicate attraverso il Portale ACN secondo le procedure applicabili.
Quali controlli e sanzioni prevede il decreto?
L’ACN può svolgere monitoraggio, richiedere informazioni ed evidenze, disporre audit, effettuare verifiche e ispezioni e adottare misure di esecuzione. In caso di violazione può impartire istruzioni, ordinare la cessazione di comportamenti non conformi e applicare sanzioni amministrative. Gli importi massimi variano tra soggetti essenziali e importanti e possono essere parametrati al fatturato mondiale. Nella determinazione della misura si considerano gravità, durata, reiterazione, danni, cooperazione e azioni correttive.