NIS2 e pubbliche amministrazioni in Italia: cosa prevede il D.Lgs 138/2024

Le pubbliche amministrazioni rientrano nel NIS2 italiano?

Sì. Il Decreto Legislativo 4 settembre 2024, n. 138 (Decreto NIS2) si applica, indipendentemente dalle loro dimensioni, alle pubbliche amministrazioni di cui all'articolo 1, comma 3, della legge 31 dicembre 2009, n. 196, ricomprese nelle categorie elencate nell'allegato III (art 3, comma 6). Ciò significa che, per questi enti, non esiste una soglia dimensionale che li tenga fuori dall'ambito di applicazione.

La prima cosa da fare è verificare se il proprio ente ricade in una delle categorie dell'allegato III e organizzarsi per la registrazione sulla piattaforma digitale resa disponibile dall'Autorità nazionale competente NIS (art 7, comma 1). Per il contenuto puntuale delle categorie dell'allegato III e per le modalità operative di accesso alla piattaforma, la fonte ufficiale è l'Agenzia per la Cybersicurezza Nazionale (ACN).

Come il decreto italiano nomina il settore

Il decreto individua il settore con una formulazione precisa. Nel testo del D.Lgs 138/2024, art 6, i soggetti del settore sono descritti come:

> «pubbliche amministrazioni centrali di cui all'allegato III, comma 1, lettera a).»

A questa previsione si affianca la norma generale sull'ambito di applicazione: il decreto si applica ai soggetti pubblici e privati delle tipologie di cui agli allegati I, II, III e IV, che sono sottoposti alla giurisdizione nazionale ai sensi dell'articolo 5; gli allegati III e IV descrivono, rispettivamente, «le categorie di pubbliche amministrazioni» e le ulteriori tipologie di soggetto a cui si applica il decreto (art 3, comma 1).

È inoltre previsto un meccanismo di ampliamento: con uno o più decreti del Presidente del Consiglio dei ministri possono essere individuate ulteriori categorie di pubbliche amministrazioni a cui si applica il decreto, sulla base di un criterio di gradualità, dell'evoluzione del grado di esposizione al rischio, della probabilità che si verifichino incidenti e della loro gravità, compreso il loro impatto sociale ed economico (art 3, comma 7).

Soggetto essenziale o soggetto importante: chi decide

Il decreto usa due sole categorie statutarie: soggetto essenziale e soggetto importante.

• Sono considerati soggetti essenziali, indipendentemente dalle loro dimensioni, le pubbliche amministrazioni centrali di cui all'allegato III, comma 1, lettera a) (art 6, comma 1, lettera e)).
• L'Autorità nazionale competente NIS individua inoltre, secondo le modalità di cui all'articolo 40, comma 5, i soggetti di cui all'articolo 3, commi 6, 8, 9 e 10 che, indipendentemente dalle loro dimensioni, sono considerati essenziali (art 6, comma 2).
• Sono considerati soggetti importanti i soggetti di cui all'articolo 3 che non sono considerati essenziali ai sensi dei commi 1 e 2 dell'articolo 6 (art 6, comma 3).

Le soglie dimensionali. I massimali per le piccole imprese ai sensi dell'articolo 2, paragrafo 2, dell'allegato alla raccomandazione 2003/361/CE, e i massimali per le medie imprese di cui all'articolo 2, paragrafo 1, dello stesso allegato, rilevano per i soggetti delle tipologie di cui agli allegati I e II (art 3, comma 2; art 6, comma 1, lettera a)). Per le pubbliche amministrazioni dell'allegato III, invece, il decreto si applica a prescindere dalla dimensione (art 3, comma 6): la classificazione non dipende dal numero di addetti o dal bilancio, ma dalla categoria di appartenenza e dalle determinazioni dell'Autorità nazionale competente NIS.

Obblighi principali: misure di sicurezza, organi direttivi, registrazione

Il decreto non prevede un catalogo di misure specifico per il settore pubblico: gli obblighi di cui agli articoli 23, 24 e 25 valgono allo stesso modo per tutti i soggetti essenziali e importanti che vi rientrano.

Misure di gestione dei rischi (art 24). I soggetti essenziali e importanti adottano misure tecniche, operative e organizzative adeguate e proporzionate, basate su un approccio multi-rischio, che comprendono almeno:

• politiche di analisi dei rischi e di sicurezza dei sistemi informativi e di rete;
• gestione degli incidenti, comprese le procedure e gli strumenti per eseguire le notifiche;
• continuità operativa, ivi inclusa la gestione di backup, il ripristino in caso di disastro e la gestione delle crisi;
• sicurezza della catena di approvvigionamento, compresi i rapporti con i diretti fornitori o fornitori di servizi;
• sicurezza dell'acquisizione, dello sviluppo e della manutenzione dei sistemi, con gestione e divulgazione delle vulnerabilità;
• politiche e procedure per valutare l'efficacia delle misure adottate;
• pratiche di igiene di base e formazione in materia di sicurezza informatica;
• politiche e procedure relative all'uso della crittografia e, ove opportuno, della cifratura;
• sicurezza e affidabilità del personale, politiche di controllo dell'accesso e gestione dei beni;
• uso di soluzioni di autenticazione a più fattori o continua e di comunicazioni protette, ove opportuno.

Se un soggetto rileva di non essere conforme, adotta senza indebito ritardo tutte le misure correttive appropriate e proporzionate (art 24, comma 4).

Responsabilità degli organi (art 23). Gli organi di amministrazione e direttivi approvano le modalità di implementazione delle misure, sovrintendono all'implementazione degli obblighi, sono responsabili delle violazioni, sono tenuti a seguire una formazione in materia di sicurezza informatica e ne promuovono l'offerta periodica ai dipendenti. Per i dipendenti pubblici, la violazione degli obblighi può costituire causa di responsabilità dirigenziale, disciplinare e amministrativo-contabile (art 38, comma 7).

Registrazione (art 7). Dal 1° gennaio al 28 febbraio di ogni anno i soggetti si registrano o aggiornano la registrazione sulla piattaforma digitale dell'ACN, indicando ragione sociale, recapiti aggiornati, punto di contatto e, ove applicabile, settori e tipologie di soggetto. Entro il 31 marzo l'Autorità redige l'elenco dei soggetti essenziali e importanti e ne comunica l'inserimento, la permanenza o l'espunzione. Dal 15 aprile al 31 maggio gli enti inseriti forniscono o aggiornano lo spazio di indirizzamento IP pubblico e i nomi di dominio. Ogni modifica delle informazioni va notificata entro quattordici giorni (art 7, comma 7). Dal 1° maggio al 30 giugno si comunica e aggiorna l'elenco delle proprie attività e servizi con la relativa categoria di rilevanza (art 30, comma 1).

L'Autorità nazionale competente NIS stabilisce termini, modalità e tempi graduali di implementazione, differenziandoli anche in base al settore e all'individuazione del soggetto come essenziale o importante (art 31, comma 2), e può individuare gli obblighi che non si applicano alle amministrazioni pubbliche di cui all'allegato III, lettere c) e d) (art 32, comma 2).

Notifica degli incidenti: termini verso il CSIRT Italia

I soggetti essenziali e importanti notificano, senza ingiustificato ritardo, al CSIRT Italia ogni incidente che ha un impatto significativo sulla fornitura dei loro servizi (art 25, comma 1). Un incidente è significativo se ha causato o è in grado di causare una grave perturbazione operativa dei servizi o perdite finanziarie, oppure se ha avuto o può avere ripercussioni su altre persone fisiche o giuridiche causando perdite materiali o immateriali considerevoli (art 25, comma 4).

I termini dell'art 25, comma 5, sono:

Se l'incidente è ancora in corso al momento della relazione finale, si trasmettono una relazione mensile sui progressi e una relazione finale entro un mese dalla conclusione della gestione dell'incidente. La notifica non espone il soggetto a una maggiore responsabilità rispetto a quella derivante dall'incidente (art 25, comma 3). Le modalità e il canale telematico esatti sono definiti dal CSIRT Italia e secondo gli articoli 30, 31 e 32: si consiglia di verificarli presso l'Agenzia per la Cybersicurezza Nazionale (ACN) e il CSIRT Italia, fonti ufficiali.

Sanzioni e vigilanza

L'Autorità nazionale competente NIS vigila sul rispetto del decreto da parte degli enti della pubblica amministrazione con indipendenza operativa rispetto agli enti sottoposti a vigilanza (art 34, comma 4), attraverso monitoraggio, verifiche e ispezioni, misure di esecuzione e irrogazione di sanzioni.

Per le violazioni di cui all'art 38, comma 8 (obblighi degli organi direttivi ex art 23, gestione del rischio ex art 24, notifica di incidente ex art 25), le sanzioni amministrative pecuniarie per le pubbliche amministrazioni di cui all'allegato III sono:

• soggetti essenziali: da euro 25.000 a euro 125.000 (art 38, comma 9, lettera c));
• soggetti importanti: gli stessi importi ridotti di un terzo (art 38, comma 9, lettera d)).

Per le violazioni di cui al comma 10 (tra cui mancata registrazione, comunicazione o aggiornamento ai sensi dell'art 7 e mancata comunicazione dell'elenco delle attività ai sensi dell'art 30, comma 1):

• soggetti essenziali: da euro 10.000 a euro 50.000 (art 38, comma 11, lettera c));
• soggetti importanti: importi ridotti di un terzo (art 38, comma 11, lettera d)).

In caso di mancata osservanza degli obblighi di notifica di cui all'art 25 da parte delle pubbliche amministrazioni dell'allegato III, le sanzioni del comma 9 si applicano solo in caso di reiterazione specifica nell'arco di cinque anni, e nei dodici mesi successivi all'accertamento l'Autorità può esercitare i poteri di verifica e ispettivi (art 38, comma 14). La sospensione temporanea di certificati o autorizzazioni prevista dall'art 38, comma 4, non si applica alle pubbliche amministrazioni di cui all'allegato III. In caso di mancata o tardiva registrazione, sono comunque contestate tutte le violazioni previste dai commi 8 e 10 e si applica la sanzione prevista per la violazione più grave aumentata fino al triplo (art 38, comma 13).