NIS 2 e recepimento italiano: regole e adempimenti per le aziende

La pubblicazione in Gazzetta Ufficiale del D.lgs. 138 del 2024 di recepimento della NIS 2 ha definitivamente chiarito gli adempimenti in carico alle organizzazioni.

Ricordiamo che la direttiva ha la finalità di innalzare il livello di cibersicurezza dell’Unione europea e impone, quindi, misure di sicurezza ad alcune organizzazioni e adempimenti a ciascuno Stato membro.

Rispetto alla NIS (la Direttiva 2016/1148 precedentemente in vigore, recepita in Italia dal D.lgs. 65 del 2018 e ora abrogata dai nuovi dispositivi) la NIS 2:

1. è applicabile a più soggetti;
2. richiede un’analisi dei rischi;
3. richiede che le misure di sicurezza siano adeguate al contesto, considerando quindi anche la capacità di spesa.

Nell’articolo si fa riferimento ad ACN come l’autorità italiana per la NIS 2, come previsto dall’Articolo 10.

Nota generale sulla traduzione

Prima di analizzare gli adempimenti introdotti dalla NIS 2, è importante fare una nota generale e cioè che purtroppo il D.lgs. 138 non ricalca esattamente la Direttiva 2055 e questo crea confusione.

Inoltre, alcuni termini non coincidono tra il D.lgs. 138 e la traduzione ufficiale della Direttiva (il D.lgs. 138 usa “sicurezza informatica” e la Direttiva “cibersicurezza”, quando poi altra normativa italiana usa l’orrido “sicurezza cibernetica”; ancora, “asset” è tradotto nel D.lgs. 138 come “assetti” e nella Direttiva come “attivi”, senza poi considerare la traduzione “beni” in uso da parecchi anni).

Le scadenze della NIS 2

Le scadenze possono essere riassunte così:

1. entro il 17 gennaio 2025 bisogna valutare se si è soggetto essenziale o importante e registrarsi sulla piattaforma ACN. Entro il 15 aprile, ACN dirà se il soggetto è effettivamente un soggetto a cui si applica la NIS2;
2. entro il primo gennaio 2026, i soggetti a cui si applica la NIS2 devono adeguarsi all’articolo 25 relativo alla notifica degli incidenti; questo richiede come minimo di stabilire il processo di gestione degli incidenti;
3. entro il primo gennaio 2026, i soggetti a cui si applica la NIS2 devono adeguarsi all’art. 30 e quindi aggiornare ogni anno le informazioni richieste dalla piattaforma ACN con l’elenco di attività e servizi e la descrizione delle loro caratteristiche;
4. entro ottobre 2026, i soggetti a cui si applica la NIS2 devono adeguarsi agli articoli 23 (sugli obblighi degli organi di amministrazione e direttivi), 24 (gestione dei rischi e implementazione delle misure di sicurezza) e 29 (relativo alla banca dati dei nomi a dominio).

Soggetti a cui si applica la NIS 2

In sintesi, l’applicabilità dipende dai settori e dalla dimensione (più di 50 addetti e giro d’affari superiore ai 10 milioni di euro, escludendo quindi le piccole) dell’organizzazione.

In precedenza, l’autorità nazionale per la NIS doveva identificare i soggetti che dovevano applicare la NIS, mentre con la NIS 2 sono invece i soggetti che devono capire se rientrano in quelli a cui si applica la NIS 2 e registrarsi autonomamente su una piattaforma messa a disposizione da ACN entro gennaio 2025.

Sulla base delle registrazioni, entro il 17 aprile 2025, gli Stati membri creano un elenco dei soggetti a cui è applicabile la NIS2.

ACN potrebbe anche segnalare al soggetto che si è registrato che non rientra nei criteri.

Ecco alcune note sul come stabilire se si rientra nell’applicabilità della NIS 2 (gran parte dei criteri sono all’articolo 3):

1. gli allegati I, II, III e IV riportano i settori a cui appartengono le imprese a cui è applicabile la NIS 2; in alcuni casi, le micro e piccole imprese sono escluse;
2. gli allegati I e II ricalcano quelli della Direttiva 2055, mentre gli allegati III e IV sono specifici per l’Italia, come previsto dalla Direttiva stessa;
3. l’Allegato III riporta le PA incluse e all’articolo 4 ci sono gli enti esclusi;
4. l’Allegato IV aggiunge, ai settori già presenti nella Direttiva NIS 2 e quindi negli Allegati I e II, il trasporto pubblico locale, gli istituti di istruzione che svolgono attività di ricerca, soggetti che svolgono attività di interesse culturale, società in house, società partecipate e società a controllo pubblico;
5. per alcuni fornitori di servizi informatici sono considerati i casi per cui sono soggetti ad altre giurisdizioni in ambito UE e quindi l’esclusione dall’ambito italiano;
6. rientrano nel perimetro di applicazione anche i soggetti definiti “critici” dalla Direttiva (UE) 2022/2557, meglio nota come Direttiva CER, recepita in Italia con D. Lgs. 134 del 2024;
7. l’articolo 4 lascia la possibilità alle autorità di identificare altri soggetti a cui è applicabile la NIS 2 e che, per questo, riceveranno notifica da ACN;
8. sono presenti considerazioni in merito ai Gruppi di imprese o che esercitano influenza su altre imprese, non presenti nella Direttiva;
9. per l’articolo 11, i criteri di applicabilità potranno essere ampliati con DPCM (bisognerà quindi prestare attenzione).

La NIS2, idealmente, dovrebbe includere le aziende già presenti nel PNSC (perimetro nazionale per la sicurezza cibernetica, da DL 105 del 2019).

I soggetti sono quindi suddivisi in (art. 6):

1. soggetti essenziali (essential entities);
2. soggetti importanti (important entities).

La differenza pratica riguarda i controlli e le sanzioni.

Valutazione del rischio

NIS 2, come da articolo 24, è multirischio: logico, fisico, governo, lock-in tecnologico, utilities. E considera l’impatto “sociale ed economico” e richiede un “livello appropriato” di sicurezza.

I criteri interpretativi sulla NIS2 della Commissione indicano di considerare le seguenti minacce, sempre in una logica di multirischio:

1. sabotaggi,
2. furti,
3. incendi,
4. inondazioni,
5. problemi di telecomunicazione,
6. problemi di interruzioni di corrente,
7. qualsiasi accesso fisico non autorizzato in grado di compromettere la disponibilità, l’autenticità, l’integrità o la riservatezza dei dati conservati, trasmessi o elaborati o dei servizi offerti da tali sistemi informativi e di rete o accessibili attraverso di essi,
8. guasti del sistema,
9. errori umani,
10. azioni malevole, fenomeni naturali.

L’auspicio di chi scrive è che, se saranno date indicazioni su come condurre una valutazione del rischio, non venga riproposto il modello formale, ma non utile, basato su asset, minacce e vulnerabilità, ma invece un modello, come poi si vede negli Orientamenti, basato sugli eventi, per cui non è utile avere un dettaglio di tutti gli asset a questo scopo (è invece necessario per attività operative).

Le misure di sicurezza introdotte dalla NIS 2

Il D.lgs. 138 identifica le misure di gestione del rischio (sono presenti alcune piccole aggiunte rispetto alla Direttiva 2055), ossia:

1. politiche di analisi dei rischi e di sicurezza dei sistemi informativi e di rete;
2. gestione degli incidenti, ivi incluse le procedure e gli strumenti per eseguire le notifiche di cui agli articoli 25 e 26;
3. continuità operativa, ivi inclusa la gestione di backup, il ripristino in caso di disastro, ove applicabile, e gestione delle crisi;
4. sicurezza della catena di approvvigionamento, ivi compresi gli aspetti relativi alla sicurezza riguardanti i rapporti tra ciascun soggetto e i suoi diretti fornitori o fornitori di servizi;
5. sicurezza dell’acquisizione, dello sviluppo e della manutenzione dei sistemi informativi e di rete, ivi comprese la gestione e la divulgazione delle vulnerabilità;
6. politiche e procedure per valutare l’efficacia delle misure di gestione dei rischi per la sicurezza informatica;
7. pratiche di igiene di base e di formazione in materia di sicurezza informatica (notare che l’articolo 23, correttamente, impone agli organi di amministrazione e gli organi direttivi dei soggetti NIS 2 una formazione in materia di sicurezza informatica);
8. politiche e procedure relative all’uso della crittografia e, ove opportuno, della cifratura (notare che non è chiara la differenza tra crittografia (cryptography) e cifratura (encryption), presente peraltro anche nella Direttiva);
9. sicurezza e affidabilità del personale, politiche di controllo dell’accesso e gestione dei beni e degli assetti;
10. uso di soluzioni di autenticazione a più fattori o di autenticazione continua, di comunicazioni vocali, video e testuali protette, e di sistemi di comunicazione di emergenza protetti da parte del soggetto al proprio interno, ove opportuno.

Catena di approvvigionamento

La NIS 2 descrive più approfonditamente le necessità di controllo della catena di approvvigionamento:

i soggetti tengono conto delle vulnerabilità specifiche per ogni diretto fornitore e fornitore di servizi e della qualità complessiva dei prodotti e delle pratiche di sicurezza informatica dei propri fornitori e fornitori di servizi, comprese le loro procedure di sviluppo sicuro. Per la medesima finalità i soggetti tengono altresì conto dei risultati delle valutazioni coordinate dei rischi per la sicurezza delle catene di approvvigionamento critiche effettuate dal Gruppo di cooperazione NIS.

Per questo sarà sicuramente necessario migliorare le pratiche di selezione, valutazione e rivalutazione dei fornitori e delle forniture. Speranza di chi scrive è di non rivedere circolare gli inefficaci e inefficienti questionari, quando invece si dovrà pensare a qualcosa di meglio.

Vanno quindi monitorati i lavori del Gruppo di cooperazione NIS.

Misure aggiuntive

La Direttiva prevede che entro il 17 ottobre 2024, la Commissione adotti atti di esecuzione che stabiliscono i requisiti tecnici e metodologici delle misure di cui sopra per quanto riguarda i fornitori di:

1. servizi DNS,
2. registri dei nomi di dominio di primo livello (TLD),
3. servizi di cloud computing,
4. servizi di data center,
5. reti di distribuzione dei contenuti,
6. servizi gestiti,
7. servizi di sicurezza gestiti,
8. mercati online,
9. motori di ricerca online,
10. piattaforme di servizi di social network,
11. prestatori di servizi fiduciari.

Per quanto riguarda il D.lgs. 138 italiano, gli articoli 30, 31 e 32 dicono che ACN potrebbe richiedere l’applicazione di “misure minime”, chiamate “obblighi”.

L’articolo 28 dice che ACN “promuove l’uso di specifiche tecniche europee e internazionali”. Si può, quindi, sperare nella promozione di standard ISO, EN ed ETSI e non di altri (incluso il NIST CSF e il Framework nazionale per la cybersecurity e la data protection, anche se attualmente richiesti da ACN ai soggetti a cui si applica la NIS). Si può sperare addirittura nella partecipazione di ACN alle attività di standardizzazione.

Le misure di sicurezza sono trattate anche in altri articoli. Eccone alcuni:

1. l’articolo 27 prevede che ACN possa imporre l’uso di prodotti certificati;
2. l’articolo 29 è specifico per chi si occupa dei nomi di dominio, ma non presenta misure di sicurezza vere e proprie;
3. gli articoli 35 e 36 dicono che ACN può imporre VA-PT o audit da parte di soggetti selezionati.

Attenzione che le misure vanno applicate a tutte le attività operative operazioni e a tutti i servizi del soggetto interessato, non solo a risorse informatiche specifiche o a servizi critici forniti dal soggetto.

Questo permette di evitare che un soggetto con servizi “sicuri” e “non sicuri” possa essere violato sfruttando le carenze dei servizi “non sicuri” per poi, con movimenti laterali, compromettere anche quelli “sicuri”.

Come esclusione, invece, l’art. 33 dice che, se un’impresa è nel PSNC (perimetro di sicurezza nazionale cibernetica, da DL 105 del 2019), non è tenuta ad applicare le misure previste in ambito NIS 2. Questa scelta è criticabile, visto che dà maggiore importanza a una norma nazionale, rispetto a una europea.

Considerando che la NIS 2 permette di stabilire “obblighi” specifici per organizzazioni di alcuni settori, sarebbe stato più logico sfruttare quel meccanismo, anche per evitare la proliferazione di normative.

Gestione degli incidenti

Come già previsto dalla Direttiva NIS 1, anche NIS 2 prevede l’obbligo di notifica al CSIRT e alle autorità competenti (oltre che ai destinatari stessi del servizio) degli incidenti significativi (incidenti informatici capaci di impattare in modo significativo sulla fornitura del servizio).

È da notare la confusione in materia, visto che anche la Legge 90 del 2024 fornisce obblighi sulla notifica e gestione degli incidenti a soggetti a cui è applicabile anche la NIS2. Ovviamente le disposizioni sono diverse e il D. Lgs. 138 del 2024 cita la Legge 90 solo come “vista”.

La notifica degli incidenti

Le comunicazioni al CSIRT dovranno avvenire:

• Entro 24 ore dalla conoscenza dell’incidente con una notifica di preallarme (questo per attenuare la potenziale diffusione di incidenti e per consentire di chiedere assistenza);
  • deve riportare i dati strettamente necessari se l’incidente significativo è sospettato di essere il risultato di atti illegittimi o malevoli o se potrebbe avere (ossia se è probabile che abbia) un impatto transfrontaliero;
  • deve contenere una valutazione iniziale dell’incidente significativo, comprensiva della sua gravità e del suo impatto, nonché, ove disponibili, gli indicatori di compromissione.
• Entro 72 ore dalla conoscenza dell’incidente con aggiornamenti rispetto alle informazioni fornite con il preallarme
• Entro 1 mese dalla conoscenza dell’incidente con una relazione finale a completamento del processo di segnalazione (questo per poter trarre insegnamenti preziosi dai singoli incidenti);
  • la relazione deve essere comprensiva della sua gravità e del suo impatto, il tipo di minaccia o la causa di fondo che ha probabilmente innescato l’incidente, le misure di mitigazione adottate e in corso e, se opportuno, l’impatto transfrontaliero dell’incidente.
• Se l’incidente non è ancora risolto, la normativa fornisce indicazioni su come procedere.
• Sono indicate eccezioni per i prestatori di servizi fiduciari, oltre che, all’articolo 33, per chi è compreso nel PNSC.

L’articolo 23 richiede che gli organi di amministrazione e gli organi direttivi dei soggetti NIS 2 vengano avvisati tempestivamente degli incidenti.

Alcuni soggetti sono soggetti a più normative e quindi a diverse modalità di notificazione degli incidenti. In alcuni casi, il recepimento può essere complesso.

È prevista la possibilità di chiedere assistenza al CSIRT, aspetto decisamente positivo della normativa.

Il D.lgs. 138 dà indicazioni anche per le comunicazioni ad altri soggetti potenzialmente impattati dall’incidente. È previsto che prima venga “sentito il CSIRT Italia”, introducendo un potenziale collo di bottiglia.

Incidenti significativi e quasi incidenti

Nel D.lgs. 138, l’articolo 25, comma 4 riporta la definizione di “incidente significativo”: se ha causato o è in grado di causare una grave perturbazione operativa dei servizi o perdite finanziarie per il soggetto interessato o se ha avuto ripercussioni o è idoneo a provocare ripercussioni su altre persone fisiche o giuridiche causando perdite materiali o immateriali considerevoli.

Le organizzazioni, nelle procedure di gestione degli incidenti, dovrebbero definire meglio cosa si intende per “incidente significativo” sulla base di questi criteri.

È anche definito cosa si intende per «quasi incidente» (in inglese “near-miss”): un evento che avrebbe potuto configurare un incidente senza che quest’ultimo si sia tuttavia verificato, ivi incluso il caso in cui l’incidente sia stato efficacemente evitato.

Notare che la definizione della Direttiva è diversa e definisce «quasi incidente»: Un evento che avrebbe potuto compromettere la disponibilità, l’autenticità, l’integrità o la riservatezza di dati conservati, trasmessi o elaborati o dei servizi offerti dai sistemi informatici e di rete o accessibili attraverso di essi, ma che è stato efficacemente evitato o non si è verificato.

Notevole è che la NIS 2 istituisce la rete europea delle organizzazioni di collegamento per le crisi informatiche (EU-CyCLONe).

Comunicazione delle vulnerabilità

All’articolo 16 è detto che lo CSIRT diffonde notizie in merito alle vulnerabilità e che tutti possono segnalarne.

L’articolo 17 dà la possibilità di scambiarsi, su base volontaria, pertinenti informazioni sulla sicurezza informatica.

Si tratta di significativi miglioramenti per la sicurezza informatica. Non è chiarito se è possibile la partecipazione anche ai soggetti a cui non si applica la NIS 2.