L’entrata in vigore, il 16 ottobre 2024, della direttiva (UE) 2022/2555 (NIS2) ed il recepimento del decreto legislativo del 4 settembre 2024, n. 13 hanno segnato un cambiamento rilevante per la sicurezza informatica del tessuto produttivo e delle Pubbliche Amministrazioni del Paese.
Le aziende coinvolte devono adeguarsi ai nuovi requisiti per evitare sanzioni e garantire la protezione dei propri sistemi informatici.
AUTORITA’ COMPETENTE
L’Agenzia per la cybersicurezza nazionale è l’Autorità competente per la normativa NIS
DECORRENZA
Dal 1° dicembre 2024 al 28 febbraio 2025, le medie e grandi imprese, in alcuni casi anche le piccole e microimprese, e le Pubbliche amministrazioni a cui si applica la nuova normativa devono registrarsi sul portale servizi ACN.
AMBITO DI APPLICAZIONE
La nuova normativa NIS amplia il campo di applicazione della normativa a 18 settori di cui 11 altamente critici (originariamente 8) e 7 critici (di nuova introduzione) per oltre 80 tipologie di soggetti, distinguendo i soggetti in essenziali e importanti.
Puoi selezionare questo link per consultare in dettaglio lo SCHEMA predisposto dall’Agenzia e consulta le FAQ predisposte dall’ACN per capire se sei un soggetto tenuto ad adeguarsi.
OBBLIGHI PRINCIPALI PER LE AZIENDE
Le aziende soggette alla Direttiva NIS 2 devono rispettare i seguenti requisiti
- Adottare misure di sicurezza adeguate perla gestione dei rischi cyber e la protezione dei dati
- Notificare gli incidenti di sicurezza alle autorità competenti entro le tempistiche stabilit
- Implementare politiche di gestione del rischio
- Garantire la formazione del personale in materia di cybersecurity
- Sottoporsi a controlli e audit periodici per verificare la conformità alla normativa.
SANZIONI PER LE IMPRESE CHE NON SI ADEGUANO
L’ACN, quale autorità NIS nazionale, ha poteri di verifica e ispettivi ed esercita il potere sanzionatorio.
In caso di
- Mancata osservanza degli obblighi imposti agli organi di amministrazione e agli organi direttivi, nonché degli obblighi relativi alla gestione del rischio per la sicurezza informatica e alla notifica di incidente
- Inottemperanza alle disposizioni adottate dall’ACN e alle relative diffide
è prevista una sanzione fino a un massimo di euro 10.000.000 o del 2% del totale del fatturato annuo su scala mondiale per i soggetti essenziali, oppure fino a un massimo di euro 7.000.000 o dell’1,4% del totale del fatturato annuo per i soggetti importanti.
In caso di
- Mancata registrazione, comunicazione o aggiornamento delle informazioni
- Inosservanza delle modalità stabilite dall’ACN
- Mancata comunicazione o aggiornamento dell’elenco delle attività e dei servizi nonché della loro categorizzazione
- Mancata implementazione o attuazione degli obblighi relativi all’uso di schemi di certificazione, alla banca dei dati di registrazione dei nomi di dominio nonché alle previsioni settoriali specifiche
- Mancata collaborazione con ACN nello svolgimento delle attività e nell’esercizio dei poteri
è prevista una sanzione fino a un massimo dello 0,1% del totale del fatturato annuo su scala mondiale per i soggetti essenziali, oppure fino a un massimo dello 0,07% del totale del fatturato annuo per i soggetti importanti
RESPONSABILITÀ DEGLI AMMINISTRATORI
Novità: la normativa attribuisce specifici obblighi in capo agli Organi Amministrativi e Direttivi che devono
- supervisionare l’implementazione di tutti gli obblighi in capo alla società
- approvare delle soluzioni di gestione dei rischi per la sicurezza informatica
- pianificare la formazione degli apicali in materia di sicurezza informatica e dei dipendenti, allo scopo di favorire l’acquisizione da parte di tutti i lavoratori di conoscenze e competenze sufficienti per individuare rischi e potenziali impatti sulle attività e sui servizi offerti.
Gli amministratori, i legali rappresentati e gli organi direttivi e di amministrazione del soggetto essenziale o importante possono essere sottoposti a sanzioni
- Tali soggetti possono essere ritenuti responsabili dell’inadempimento in caso di violazione del Decreto NIS 2 da parte del soggetto di cui hanno rappresentanza;
- Può essere applicata una sanzione accessoria di incapacità a svolgere funzioni dirigenziali, mediante una sospensione temporanea fino all’effettivo adempimento.
Fonti: www.acn.gov.it
Per maggiori informazioni o contatti – Servizio Privacy e Cyber Security
