NIS 2 e legge di recepimento croata: un altro tassello nel panorama cyber europeo

La NIS 2, essendo una direttiva europea, deve essere recepita dagli Stati membri facenti parte dell’Unione europea. Come di consueto in questi casi, alcuni Stati membri hanno già provveduto da diverso tempo ad emanare le relative leggi di recepimento.

Tra questi lodevoli esempi vi è la Croazia, la quale ha emanato la legge nazionale che recepisce, nel quadro legislativo croato, le novità della Direttiva NIS 2.

Di seguito si propone un’analisi della legge di recepimento croata, evidenziando i punti fondamentali della stessa.

NIS 2: la legge di recepimento croata

La legge croata di recepimento della NIS 2 è entrata in vigore il 15 febbraio 2024. La Parte I della legge riguarda la definizione dello scopo e dell’oggetto della presente legge, le definizioni fondamentali, il contemperamento con altre normative relative alla protezione dei dati personali, al settore delle comunicazioni elettroniche, alle leggi speciali in materia cybersecurity [cfr. artt. 1-8], coerentemente con il dettato normativo della Direttiva NIS2.

Di seguito si evidenziano gli aspetti più rilevanti della legge.

Autorità nazionali competenti

Il CSIRT competente è il National Cybersecurity Center (NCSC) ex art. 63 della presente legge e istituito in seno all’organismo statale centrale per la sicurezza informatica (Sigurnosno-obavještajna agencija – SOA) e la rete accademica e di ricerca croata (c.d. CARNET).

I compiti e le competenze del CSIRT sono indicati agli artt. 66-71 della presente legge. Poi ci sono diversi ministeri con un ruolo di supporto: ad esempio il Ministero della Salute, il Ministero dell’Economia per il settore energetico, il Ministero dei Trasporti.

Governance e misure di gestione dei rischi cyber

In merito, si evidenziano i seguenti aspetti di particolare importanza:

1. I membri della direzione (ossia i capi di organi dell’amministrazione statale, altri organi statali, organi esecutivi dell’unità di autogoverno locale e regionale) sono responsabili dell’attuazione delle misure di gestione del rischio cyber. Questi devono approvare le misure di gestione dei rischi cyber e sono tenuti a frequentare corsi di formazione adeguata sui rischi cyber e consentire ai propri dipendenti di conseguire tale formazione [cfr. art. 29].
2. I soggetti essenziali e importanti sono tenuti a verificare la conformità delle misure di gestione del rischio cyber tramite audit della sicurezza informatica. I soggetti essenziali devono effettuare gli audit almeno una volta ogni 2 anni; mentre i soggetti importanti devono avviarli quando richiesto dall’autorità competente per l’attuazione dei requisiti di sicurezza informatica [per informazioni sull’autorità competente per l’attuazione dei requisiti di sicurezza informatica si veda l’Allegato III alla presente legge]. Vi sono poi i revisori della sicurezza informatica che redigono una relazione sugli audit della sicurezza informatica [cfr. artt. 31, 32, 34].
3. I soggetti importanti sono tenuti a condurre un’autovalutazione della sicurezza informatica almeno una volta ogni 2 anni, potendosi avvalere di un fornitore esterno di tale servizio. Se i risultati dell’autovalutazione mostrano conformità alle misure di gestione del rischio cyber prescritte, i soggetti importanti redigono una dichiarazione di conformità, altrimenti devono stabilire un piano con ulteriori azioni per essere conformi. I costi dell’autovalutazione sono a carico dei soggetti importanti [cfr. art. 35].
4. L’organismo statale centrale per la sicurezza informatica (SOA) sviluppa un sistema nazionale di rilevazione delle minacce informatiche e di protezione del cyberspazio: i soggetti essenziali e importanti possono accedere volontariamente a tale sistema [cfr. art. 51]. [I compiti del SOA sono specificati all’art. 61 della legge di recepimento].
5. I soggetti essenziali e importanti possono scambiarsi informazioni sulla sicurezza informatica [cfr. art. 53] e ogni persona fisica e giuridica può segnalare delle vulnerabilità in modo anonimo al coordinatore del rilevamento delle vulnerabilità, il quale è tenuto a conservare i relativi dati per un massimo di tre anni dalla segnalazione della vulnerabilità e, trascorso tale periodo, a cancellare i dati personali di chi ha segnalato la vulnerabilità [cfr. art. 54].
6. Il Governo adotta un atto nazionale di pianificazione strategica in materia di cybersecurity a medio termine nel campo della sicurezza informatica con cui definisce obiettivi e priorità speciali nel campo della sicurezza informatica, nonché il quadro per il monitoraggio dell’attuazione degli obiettivi. Il Governo redige anche un piano d’azione per l’attuazione di tale atto [cfr. art. 55].
7. Per quanto concerne gli incidenti informatici e le crisi informatiche su larga scala, l’organismo statale centrale per la sicurezza informatica (SOA) èdeputato alla gestione degli stessi. Il Governo croato, su proposta dell’organismo di cui sopra, adotta un programma nazionale di gestione delle crisi informatiche. L’organismo informa la Commissione europea e la rete EU-CyCLONe dell’adozione del programma entro 3 mesi dalla sua adozione, dalle sue modifiche o dall’adozione di un nuovo programma [cfr. art. 56].
8. Il Governo croato adotta piani e programmi (su proposta dell’organismo statale centrale per la sicurezza informatica) per effettuare le autovalutazioni sullo stato della sicurezza informatica al fine di scambiare conoscenze, esperienze acquisite, rafforzare le capacità, migliorare le politiche nel campo della sicurezza informatica [cfr. art. 57].
9. Sono effettuate delle esercitazioni di cybersicurezza sulla base del Piano per l’attuazione delle esercitazioni di cibersicurezza, adottato dal Governo su proposta dell’organismo statale centrale per la sicurezza informatica, per un periodo di due anni [cfr. art. 58].

Misure di vigilanza

In conformità con la Direttiva NIS 2, la legge di recepimento croata prevede l’implementazione di una supervisione professionale di esperti sull’attuazione dei requisiti di sicurezza informatica da parte dei soggetti essenziali e importanti viene effettuata almeno una volta ogni 3-5 anni [cfr. artt. 75-81].

Oltre alle misure generali di vigilanza in capo a soggetti essenziali e importanti ex art. 79, sono anche previste delle misure di vigilanza speciali per i soggetti essenziali [cfr. art. 81]. L’autorità competente per l’attuazione dei requisiti di sicurezza informatica può richiedere l’attuazione di:

1. audit periodici sulla sicurezza informatica quando dispone di informazioni dalle quali risulta la mancata effettuazione di audit sulla sicurezza informatica entro i termini ex art. 34 par. 1[almeno una volta ogni due anni];
2. audit straordinari di sicurezza informatica in caso di incidente significativo o quando sono accertate irregolarità o carenze nell’attuazione di misure di gestione del rischio cyber.

Inoltre, l’autorità competente per l’attuazione dei requisiti di sicurezza informatica può nominare, per un certo periodo, un funzionario per monitorare la conformità di un soggetto essenziale ai requisiti di sicurezza informatica [cfr. art. 83].

Termini della legge di recepimento croata della NIS 2

Si riportano alcuni dei termini più importanti relativi ai temi di cui di seguito.

Categorizzazione dei soggetti essenziali e importanti. Le Autorità competenti per l’attuazione dei requisiti di sicurezza informatica e le autorità competenti per l’attuazione delle leggi speciali [Allegato III alla presente legge] effettuano la prima categorizzazione dei soggetti essenziali e importanti e notificano ciò a questi ultimi entro un anno dall’entrata in vigore della presente legge [cfr. art. 110 par. 1], salva l’eccezione di cui al par. 3 art. 110. Le autorità di cui sopra devono controllare periodicamente – almeno una volta ogni 2 anni – gli elenchi dei soggetti essenziali e importanti e, se necessario, aggiornarli [cfr. art. 17 par. 2].

Registro dei soggetti essenziali e importanti. Per l’istituzione del registro dei soggetti essenziali e importanti, questi devono fornire le seguenti informazioni all’autorità competente per l’attuazione dei requisiti di sicurezza informatica entro un termine non inferiore a 15 giorni o superiore a 45 giorni dalla data di ricevimento della richiesta di consegna dei dati:

• nome del soggetto;
• indirizzo e dati di contatto (e-mail, indirizzi IP ecc.);
• settore, sottosettore e tipo di entità ex Allegati I e II;
• elenco degli Stati membri in cui forniscono i servizi rientranti nel campo di applicazione della presente legge;
• altri dati relativi alla prestazione dei servizi.

Tali soggetti sono tenuti a notificare all’autorità competente per l’attuazione dei requisiti di sicurezza informatica tutte le eventuali modifiche ai dati che hanno presentato entro 2 settimane dalla data di modifica [cfr. art. 20].

Registro speciale. L’organismo statale centrale per la sicurezza informatica (SOA) istituisce e mantiene anche un registro speciale dei soggetti elencati all’art. 22 della presente legge, entro 1 anno dall’entrata in vigore della legge di recepimento [cfr. art. 111]. Tale registro è tenuto indipendentemente dall’obbligo di avere un registro degli enti essenziali e importanti. Le entità di cui all’art. 22 devono fornire informazioni, per l’istituzione di tale registro speciale, entro 15 giorni dalla data di ricevimento della richiesta di consegna delle stesse [cfr. art. 23 par. 2].

Misure di gestione dei rischi cyber. I soggetti essenziali e importanti devono attuare le misure di gestione dei rischi cyber entro 1 anno dalla data della comunicazione/notifica (ex art. 19 della presente legge) da parte dell’autorità competente per l’attuazione dei requisiti di sicurezza informatica [Allegato III della legge] che li categorizza come soggetti essenziali o importanti [cfr. art. 26 par. 5].

Prossime scadenze

Di seguito alcune prossime scadenze in capo al Governo croato [cfr. art. 113], il quale:

1. emana il Regolamento attuativo sulla categorizzazione dei soggetti, creazione di un elenco e tenuta del registro ex art. 24 della presente legge entro 9 mesi dall’entrata in vigore della stessa;
2. adotta la Legge di pianificazione strategica a medio termine in materia di cybersecurity di cui all’art. 55 entro 24 mesi dall’entrata in vigore della legge;
3. adotta il Piano di attuazione dell’esercizio di cybersicurezza ex art. 58 della legge entro 12 mesi dall’entrata in vigore della legge.

Conclusioni

È innegabile come la Direttiva NIS 2 costituisca una sorta di rivoluzione all’interno del panorama normativo cyber europeo, agendo, la stessa, in un’ottica di maggiore armonizzazione tra gli Stati membri (caratteristica che, invece, era mancata a seguito del recepimento della Direttiva NIS 1).

In sintesi, la Direttiva NIS 2 fissa dei paletti fondamentali per garantire una certa omogeneità nel disciplinare gli adempimenti di cyber security previsti, così da rendere l’Unione il più cyber resiliente possibile.

Tuttavia, affinché ciò avvenga è necessario che gli Stati membri siano estremamente ligi nel disciplinare gli adempimenti cyber, in osservanza di quanto stabilito dal legislatore europeo nella NIS 2.

Dunque, per appurare se la Direttiva NIS 2 abbia finalmente superato uno dei maggiori limiti della normativa che l’ha preceduta, non resta altro che aspettare l’emanazione, da parte di tutti gli Stati membri, dei relativi atti di recepimento entro il termine, ormai sempre più prossimo.