NIS2 per le imprese di trasporto in Italia: cosa prevede il D.Lgs 138/2024

Le imprese di trasporto rientrano nel NIS2 italiano?

Sì, il settore dei trasporti è ricompreso nell'allegato I del Decreto Legislativo 4 settembre 2024, n. 138 (Decreto NIS2), che descrive i settori ritenuti altamente critici (art 3, comma 1). Il decreto si applica ai soggetti delle tipologie di cui agli allegati I e II che superano i massimali per le piccole imprese ai sensi dell'articolo 2, paragrafo 2, dell'allegato alla raccomandazione 2003/361/CE (art 3, comma 2). Indipendentemente dalle dimensioni, il decreto si applica anche ai soggetti identificati come soggetti critici ai sensi del decreto legislativo che recepisce la direttiva (UE) 2022/2557 (art 3, comma 5, lettera a) e ai soggetti individuati dall'Autorità nazionale competente NIS secondo i criteri dell'art 3, comma 9 (ad esempio unico fornitore nazionale di un servizio essenziale, o soggetto critico per l'importanza nazionale o regionale).

La prima cosa da fare è verificare due elementi: se la vostra attività corrisponde a una tipologia di soggetto elencata nell'allegato I e se l'impresa supera i massimali dimensionali richiamati dall'art 3. Se la risposta è affermativa, il passo successivo è la registrazione sulla piattaforma digitale dell'Autorità nazionale competente NIS, che si effettua dal 1° gennaio al 28 febbraio di ogni anno (art 7, comma 1).

L'Autorità nazionale competente NIS e Punto di contatto unico è l'Agenzia per la Cybersicurezza Nazionale (ACN) (art 10); le notifiche di incidente sono indirizzate al CSIRT Italia, operante all'interno dell'ACN (art 2, lettera i; art 15).

Come il decreto nomina il settore dei trasporti

L'allegato I del D.Lgs 138/2024 elenca il settore «Trasporti» con i relativi sottosettori e le tipologie di soggetto. L'estratto testuale del sottosettore a) Trasporto aereo riporta le seguenti tipologie:

• «Vettori aerei quali definiti all'articolo 3, punto 4), del regolamento (CE) n. 300/2008 utilizzati a fini commerciali»
• «Gestori aeroportuali quali definiti all'articolo 2, punto 2), della …»

Si tratta della formulazione letterale dell'allegato I, richiamato dall'art 3, comma 1, secondo cui gli allegati costituiscono parte integrante del decreto.

Attenzione alla verifica puntuale. Per la formulazione esatta e completa delle altre tipologie di soggetto del settore «Trasporti» (compresi gli ulteriori sottosettori dell'allegato I) e per il testo integrale della voce sui gestori aeroportuali, si prega di confermare il testo dell'allegato I presso l'Agenzia per la Cybersicurezza Nazionale (ACN), fonte ufficiale. L'ACN assicura adeguata pubblicità ai criteri concernenti l'ambito di applicazione del decreto e dei relativi obblighi (art 35, comma 1).

Soggetto essenziale o soggetto importante: classi e soglie

Il decreto distingue due classi, con conseguenze diverse su vigilanza e sanzioni.

Alcune precisazioni utili al calcolo dimensionale:

• l'articolo 3, paragrafo 4, dell'allegato alla raccomandazione 2003/361/CE non si applica ai fini del decreto (art 3, comma 3);
• per stabilire se un soggetto è media o grande impresa si applica l'articolo 6, paragrafo 2, del medesimo allegato, salvo che ciò non sia proporzionato, tenuto conto anche dell'indipendenza del soggetto dalle sue imprese collegate in termini di sistemi informativi e di rete e di servizi forniti (art 3, comma 4);
• il decreto si applica, indipendentemente dalle dimensioni, anche all'impresa collegata a un soggetto essenziale o importante che soddisfi almeno uno dei criteri dell'art 3, comma 10 (ad esempio se detiene o gestisce i sistemi informativi da cui dipende la fornitura dei servizi, o se fornisce a tale soggetto servizi TIC o di sicurezza).

L'ACN, in qualità di Autorità nazionale competente NIS, individua i soggetti e redige l'elenco dei soggetti essenziali e importanti entro il 31 marzo di ogni anno (art 7, comma 2), comunicando l'inserimento, la permanenza o l'espunzione tramite la piattaforma digitale (art 7, comma 3).

Obblighi principali: misure, organi direttivi, registrazione

Il decreto non prevede obblighi diversi per il settore dei trasporti: gli articoli 23, 24 e 25 si applicano allo stesso modo a tutti i soggetti essenziali e importanti. La differenziazione avviene per via di proporzionalità e gradualità stabilite dall'ACN (art 31).

Misure di gestione dei rischi (art 24). I soggetti essenziali e importanti adottano misure tecniche, operative e organizzative adeguate e proporzionate, basate su un approccio multi-rischio, che comprendono almeno (art 24, comma 2; cfr. art 21(2) della direttiva (UE) 2022/2555):

• politiche di analisi dei rischi e di sicurezza dei sistemi informativi e di rete;
• gestione degli incidenti, incluse le procedure per le notifiche;
• continuità operativa: gestione dei backup, ripristino in caso di disastro, gestione delle crisi;
• sicurezza della catena di approvvigionamento, compresi i rapporti con i fornitori diretti;
• sicurezza di acquisizione, sviluppo e manutenzione dei sistemi, con gestione e divulgazione delle vulnerabilità;
• politiche e procedure per valutare l'efficacia delle misure adottate;
• pratiche di igiene di base e formazione in materia di sicurezza informatica;
• politiche sull'uso della crittografia e, ove opportuno, della cifratura;
• sicurezza e affidabilità del personale, controllo degli accessi e gestione dei beni;
• autenticazione a più fattori o continua e comunicazioni protette, ove opportuno.

Se il soggetto rileva di non essere conforme, adotta senza indebito ritardo tutte le misure correttive appropriate e proporzionate (art 24, comma 4).

Responsabilità degli organi di amministrazione e direttivi (art 23). Approvano le modalità di implementazione delle misure adottate ai sensi dell'art 24, sovrintendono all'implementazione degli obblighi e dell'art 7, e sono responsabili delle violazioni previste dal decreto. Sono inoltre tenuti a seguire una formazione in materia di sicurezza informatica e a promuovere una formazione periodica per i dipendenti (art 23, comma 2). Vengono informati periodicamente o tempestivamente degli incidenti e delle notifiche (art 23, comma 3).

Registrazione e adempimenti sulla piattaforma. Dal 1° gennaio al 28 febbraio: registrazione o aggiornamento con ragione sociale, recapiti, punto di contatto e settori/sottosettori applicabili (art 7, comma 1). Dal 15 aprile al 31 maggio: spazio di indirizzamento IP pubblico, nomi di dominio, responsabili e sostituto del punto di contatto (art 7, comma 4). Ogni modifica va notificata entro quattordici giorni (art 7, comma 7). Dal 1° maggio al 30 giugno i soggetti comunicano e aggiornano l'elenco delle proprie attività e servizi con la relativa categoria di rilevanza (art 30, comma 1).

Notifica degli incidenti al CSIRT Italia e termini

I soggetti essenziali e importanti notificano senza ingiustificato ritardo al CSIRT Italia ogni incidente che ha un impatto significativo sulla fornitura dei loro servizi (art 25, comma 1). Un incidente è significativo se ha causato o è in grado di causare una grave perturbazione operativa dei servizi o perdite finanziarie, oppure se ha avuto o può avere ripercussioni su altre persone fisiche o giuridiche con perdite materiali o immateriali considerevoli (art 25, comma 4).

I termini previsti dall'art 25, comma 5, sono:

• una pre-notifica entro 24 ore da quando si è venuti a conoscenza dell'incidente significativo, indicando ove possibile se possa ritenersi il risultato di atti illegittimi o malevoli o se possa avere un impatto transfrontaliero;
• una notifica dell'incidente entro 72 ore da quando si è venuti a conoscenza dell'incidente, con l'aggiornamento delle informazioni, una valutazione iniziale della gravità e dell'impatto e, ove disponibili, gli indicatori di compromissione;
• una relazione intermedia sugli aggiornamenti della situazione, su richiesta del CSIRT Italia;
• una relazione finale entro un mese dalla trasmissione della notifica dell'incidente, con descrizione dettagliata, causa originale, misure di attenuazione ed eventuale impatto transfrontaliero;
• in caso di incidente ancora in corso al momento della relazione finale, una relazione mensile sui progressi e una relazione finale entro un mese dalla conclusione della gestione dell'incidente.

La sola notifica non espone il soggetto a una maggiore responsabilità rispetto a quella derivante dall'incidente (art 25, comma 3). Il CSIRT Italia fornisce una risposta, ove possibile entro 24 ore dal ricevimento della pre-notifica, con un riscontro iniziale e, su richiesta, orientamenti sulle misure tecniche di mitigazione (art 25, comma 7).

Il canale telematico operativo e le modalità puntuali sono definiti dal CSIRT Italia e secondo gli articoli 30, 31 e 32: si prega di confermare le modalità di invio presso l'Agenzia per la Cybersicurezza Nazionale (ACN) e il CSIRT Italia, fonte ufficiale.

Sanzioni: quanto rischia un'impresa di trasporto

L'ACN vigila sul rispetto degli obblighi tramite monitoraggio e supporto, verifiche e ispezioni, misure di esecuzione e sanzioni (art 34, comma 1). Nei confronti dei soggetti importanti i poteri di verifica e ispettivi si applicano unicamente se emergono elementi che suggeriscono possibili violazioni (art 36, comma 2).

Per le violazioni degli obblighi degli organi di amministrazione (art 23), delle misure di gestione del rischio (art 24) e della notifica di incidente (art 25), elencate all'art 38, comma 8, le sanzioni sono (art 38, comma 9):

Per le violazioni dell'art 38, comma 10 — tra cui la mancata registrazione o il mancato aggiornamento delle informazioni ai sensi dell'art 7 e la mancata comunicazione dell'elenco delle attività e dei servizi ai sensi dell'art 30, comma 1 — le sanzioni arrivano fino allo 0,1% del fatturato annuo su scala mondiale per i soggetti essenziali e fino allo 0,07% per i soggetti importanti (art 38, comma 11).

In caso di mancata o tardiva registrazione sono contestate tutte le violazioni dei commi 8 e 10 e si applica la sanzione prevista per la violazione più grave aumentata fino al triplo (art 38, comma 13). Sono previste inoltre la sospensione temporanea di certificati o autorizzazioni per i soggetti essenziali inadempienti alla diffida (art 38, comma 4) e la sanzione accessoria dell'incapacità a svolgere funzioni dirigenziali per le persone fisiche responsabili, inclusi gli organi di amministrazione e direttivi (art 38, commi 5 e 6).