NIS2 per le aziende di produzione, trasformazione e distribuzione alimentare in Italia

Risposta breve: il settore alimentare rientra nel NIS2 italiano?

Sì, il settore alimentare è espressamente previsto dal Decreto NIS2 italiano. Il Decreto Legislativo 4 settembre 2024, n. 138 include nel proprio ambito di applicazione i soggetti delle tipologie di cui agli allegati I, II, III e IV (art 3, comma 1), e il settore della produzione, trasformazione e distribuzione di alimenti figura nell'allegato II, cioè fra i settori che il decreto definisce critici (art 3, comma 1). Il decreto si applica ai soggetti delle tipologie di cui agli allegati I e II che superano i massimali per le piccole imprese ai sensi dell'articolo 2, paragrafo 2, dell'allegato alla raccomandazione 2003/361/CE (art 3, comma 2).

Che cosa fare per prima cosa: confrontare l'attività reale della vostra impresa con la formulazione dell'allegato II riportata qui sotto e con i massimali dimensionali, poi verificare la posizione rispetto agli obblighi di registrazione sulla piattaforma digitale dell'Autorità nazionale competente NIS, che si aprono ogni anno dal 1° gennaio al 28 febbraio (art 7, comma 1). Una verifica di applicabilità documentata, fatta internamente prima della finestra di registrazione, evita di scoprire in ritardo di essere un soggetto obbligato.

Come il decreto nomina il settore: la formulazione dell'allegato II

Il riferimento normativo è l'allegato II del D.Lgs 138/2024 (settori critici), richiamato dall'art 3, comma 1. La voce di settore riguarda la distribuzione di alimenti e descrive le tipologie di soggetto con questa formulazione:

> «…alimentari quali definite all'articolo 3, punto 2), del regolamento (CE) n. 178/2002 del Parlamento europeo e del Consiglio che si occupano della distribuzione all'ingrosso e della produzione industriale e trasformazione»

Tre elementi contano per un'azienda del comparto:

• la definizione di riferimento rinvia all'articolo 3, punto 2), del regolamento (CE) n. 178/2002;
• le attività citate sono la distribuzione all'ingrosso e la produzione industriale e trasformazione;
• l'inquadramento è nell'allegato II, non nell'allegato I: questo ha conseguenze dirette sulla classificazione, come spiegato nella sezione seguente.

Se l'attività aziendale si colloca in una zona grigia rispetto a questa formulazione, l'interpretazione autentica non spetta all'impresa: l'individuazione dei soggetti e la redazione dell'elenco competono all'Agenzia per la Cybersicurezza Nazionale (ACN) quale Autorità nazionale competente NIS (art 10, comma 1; art 7, comma 2). Si consiglia di fare riferimento alle linee guida e agli orientamenti pubblicati dall'ACN come fonte ufficiale.

Soggetto essenziale o soggetto importante: classi e soglie

Il decreto distingue due classi, con conseguenze diverse su vigilanza e sanzioni.

Soglia di ingresso. Il decreto si applica ai soggetti degli allegati I e II che superano i massimali per le piccole imprese ai sensi dell'articolo 2, paragrafo 2, dell'allegato alla raccomandazione 2003/361/CE (art 3, comma 2). L'articolo 3, paragrafo 4, del medesimo allegato non si applica ai fini del decreto (art 3, comma 3). Per stabilire se un soggetto sia media o grande impresa si applica l'articolo 6, paragrafo 2, dell'allegato alla raccomandazione, salvo che ciò non sia proporzionato, tenuto conto anche dell'indipendenza del soggetto dalle sue imprese collegate in termini di sistemi informativi e di rete e di servizi forniti (art 3, comma 4); la clausola di salvaguardia è applicata dall'Autorità nazionale competente NIS (art 3, comma 12).

Classificazione. Sono considerati soggetti essenziali i soggetti di cui all'allegato I che superano i massimali per le medie imprese di cui all'articolo 2, paragrafo 1, dell'allegato alla raccomandazione 2003/361/CE, oltre alle altre categorie elencate dall'art 6, comma 1 (fra cui, indipendentemente dalle dimensioni, i soggetti identificati come soggetti critici ai sensi del decreto legislativo che recepisce la direttiva (UE) 2022/2557). Sono soggetti importanti i soggetti di cui all'articolo 3 che non sono considerati essenziali ai sensi dei commi 1 e 2 dell'art 6 (art 6, comma 3). Poiché il settore alimentare è collocato nell'allegato II, la classe di riferimento per un'impresa del comparto è quella di soggetto importante, salvo che ricorra una delle ipotesi dell'art 6, commi 1 e 2.

Applicazione indipendente dalle dimensioni. Anche un'impresa sotto le soglie può rientrare, in particolare se: è identificata come soggetto critico ai sensi del decreto legislativo che recepisce la direttiva (UE) 2022/2557 (art 3, comma 5, lettera a); è individuata dall'Autorità nazionale competente NIS secondo l'art 3, comma 9 — ad esempio come unico fornitore nazionale di un servizio essenziale, oppure come elemento sistemico della catena di approvvigionamento di un soggetto essenziale o importante (lettere b e f); oppure è impresa collegata a un soggetto essenziale o importante e soddisfa uno dei criteri dell'art 3, comma 10 (fra cui detenere o gestire i sistemi informativi e di rete da cui dipende la fornitura dei servizi di quel soggetto).

Obblighi principali: misure di rischio, vertici aziendali, registrazione

Il decreto non prevede misure tecniche specifiche per il comparto alimentare: gli obblighi degli articoli 23, 24 e 25 valgono allo stesso modo per tutti i soggetti essenziali e i soggetti importanti, con termini e modalità di attuazione stabiliti secondo gli articoli 30, 31 e 32.

Misure di gestione dei rischi (art 24). I soggetti essenziali e importanti adottano misure tecniche, operative e organizzative adeguate e proporzionate, basate su un approccio multi-rischio, comprensive almeno di (art 24, comma 2):

• politiche di analisi dei rischi e di sicurezza dei sistemi informativi e di rete;
• gestione degli incidenti, incluse procedure e strumenti per le notifiche di cui agli articoli 25 e 26;
• continuità operativa, gestione dei backup, ripristino in caso di disastro e gestione delle crisi;
• sicurezza della catena di approvvigionamento, compresi i rapporti con i diretti fornitori o fornitori di servizi;
• sicurezza dell'acquisizione, sviluppo e manutenzione dei sistemi, con gestione e divulgazione delle vulnerabilità;
• politiche e procedure per valutare l'efficacia delle misure adottate;
• pratiche di igiene di base e formazione in materia di sicurezza informatica;
• politiche e procedure su crittografia e, ove opportuno, cifratura;
• sicurezza e affidabilità del personale, controllo degli accessi e gestione dei beni e degli assetti;
• autenticazione a più fattori o continua, comunicazioni vocali, video e testuali protette e sistemi di comunicazione di emergenza protetti, ove opportuno.

Se il soggetto rileva di non essere conforme, adotta senza indebito ritardo tutte le misure correttive appropriate e proporzionate (art 24, comma 4). Gli stessi elementi sono elencati anche nell'art 21(2) della direttiva (UE) 2022/2555.

Responsabilità dei vertici (art 23). Gli organi di amministrazione e direttivi approvano le modalità di implementazione delle misure adottate ai sensi dell'articolo 24, sovrintendono all'implementazione degli obblighi del capo e dell'articolo 7 e sono responsabili delle violazioni del decreto. Sono inoltre tenuti a seguire una formazione in materia di sicurezza informatica e promuovono un'offerta periodica di formazione ai dipendenti; sono informati periodicamente, o tempestivamente se opportuno, degli incidenti e delle notifiche.

Registrazione ed elencazione (art 7 e art 30). Dal 1° gennaio al 28 febbraio di ogni anno i soggetti si registrano o aggiornano la registrazione sulla piattaforma digitale dell'ACN, indicando ragione sociale, indirizzo e recapiti aggiornati, punto di contatto e, ove applicabile, settori, sottosettori e tipologie di soggetto (art 7, comma 1). Entro il 31 marzo l'Autorità redige l'elenco dei soggetti essenziali e importanti (art 7, comma 2) e comunica inserimento, permanenza o espunzione (art 7, comma 3). Dal 15 aprile al 31 maggio i soggetti inseriti forniscono o aggiornano lo spazio di indirizzamento IP pubblico e i nomi di dominio (art 7, comma 4). Ogni modifica delle informazioni va notificata entro quattordici giorni (art 7, comma 7). Dal 1° maggio al 30 giugno si comunica e aggiorna l'elenco delle proprie attività e servizi con la relativa categoria di rilevanza (art 30, comma 1).

Notifica degli incidenti al CSIRT Italia e termini

I soggetti essenziali e importanti notificano senza ingiustificato ritardo al CSIRT Italia ogni incidente che ha un impatto significativo sulla fornitura dei loro servizi (art 25, comma 1). Il CSIRT Italia opera all'interno dell'Agenzia per la Cybersicurezza Nazionale (art 2, lettera i; art 15).

Un incidente è significativo se ha causato o è in grado di causare una grave perturbazione operativa dei servizi o perdite finanziarie per il soggetto, oppure se ha avuto o può avere ripercussioni su altre persone fisiche o giuridiche con perdite materiali o immateriali considerevoli (art 25, comma 4).

I termini previsti dall'art 25, comma 5, sono:

Se l'incidente è ancora in corso al momento della relazione finale, si trasmettono una relazione mensile sui progressi e una relazione finale entro un mese dalla conclusione della gestione dell'incidente (art 25, comma 5, lettera e). Entro 24 ore dal ricevimento della pre-notifica, e ove possibile, il CSIRT Italia fornisce una risposta con un riscontro iniziale e, su richiesta, orientamenti sulle misure tecniche di mitigazione (art 25, comma 7). La notifica non espone il soggetto a una maggiore responsabilità rispetto a quella derivante dall'incidente (art 25, comma 3).

Per il canale telematico e le modalità operative esatte di trasmissione, definiti secondo gli articoli 30, 31 e 32, si rimanda alle indicazioni pubblicate dal CSIRT Italia e dall'ACN quale fonte ufficiale.

Sanzioni e vigilanza: quanto rischia un'impresa alimentare

Le violazioni degli obblighi degli organi di amministrazione e direttivi (art 23), delle misure di gestione del rischio (art 24) e degli obblighi di notifica (art 25), così come l'inottemperanza alle disposizioni e alle diffide dell'Autorità (art 38, comma 8), sono punite (art 38, comma 9):

• soggetti essenziali, escluse le pubbliche amministrazioni: sanzione amministrativa pecuniaria fino a un massimo di 10.000.000 di euro o del 2% del totale del fatturato annuo su scala mondiale dell'esercizio precedente, se tale importo è superiore, con un minimo pari a un ventesimo del massimo edittale;
• soggetti importanti, escluse le pubbliche amministrazioni: fino a un massimo di 7.000.000 di euro o dell'1,4% del totale del fatturato annuo su scala mondiale, se superiore, con un minimo pari a un trentesimo del massimo edittale.

Per le violazioni di cui all'art 38, comma 10 — fra cui la mancata registrazione, comunicazione o aggiornamento ai sensi dell'articolo 7, la mancata comunicazione dell'elenco delle attività e dei servizi ai sensi dell'articolo 30, comma 1, e la mancata collaborazione con l'Autorità o con il CSIRT Italia — le sanzioni arrivano fino allo 0,1% del fatturato annuo mondiale per i soggetti essenziali e fino allo 0,07% per i soggetti importanti (art 38, comma 11). In caso di mancata o tardiva registrazione sono contestate tutte le violazioni dei commi 8 e 10 e si applica la sanzione prevista per la violazione più grave aumentata fino al triplo (art 38, comma 13). In caso di reiterazione specifica la sanzione è aumentata fino al doppio (art 38, comma 12).

Oltre alle sanzioni pecuniarie, se il soggetto non adempie nei termini della diffida l'Autorità può disporre nei confronti delle persone fisiche responsabili, inclusi gli organi di amministrazione e direttivi, la sanzione accessoria dell'incapacità a svolgere funzioni dirigenziali all'interno del medesimo soggetto (art 38, comma 6).

Vigilanza differenziata. Nei confronti dei soggetti importanti i poteri di verifica e ispettivi si applicano unicamente qualora l'Autorità acquisisca o riceva elementi di prova, indicazioni o informazioni che suggeriscano possibili violazioni del decreto (art 36, comma 2); inoltre l'Autorità non può prescrivere l'esecuzione periodica di audit di sicurezza ai soggetti importanti (art 37, comma 3, lettera a). Gli obblighi sono comunque stabiliti in modo proporzionato e graduale, tenuto conto dell'esposizione al rischio, delle dimensioni e della probabilità e gravità degli incidenti (art 31).