NIS2 passo dopo passo per il settore energia in Italia

1. Verifica dell'ambito di applicazione

L'allegato I del D.Lgs 138/2024 elenca il settore dell'energia, con il sottosettore dell'energia elettrica e, tra le tipologie di soggetto, l'impresa elettrica come definita all'articolo 2, punto 57), della direttiva (UE) 2019/944 che esercita l'attività di «fornitura» ai sensi dell'articolo 2, punto 12), della medesima direttiva. Ai sensi dell'articolo 3, comma 2, il decreto si applica ai soggetti delle tipologie degli allegati I e II che superano i massimali per le piccole imprese di cui all'articolo 2, paragrafo 2, dell'allegato alla raccomandazione 2003/361/CE. L'articolo 6, comma 1, lettera a), considera essenziali i soggetti dell'allegato I che superano i massimali per le medie imprese di cui all'articolo 2, paragrafo 1, del medesimo allegato, mentre l'articolo 6, comma 3, qualifica come soggetto importante chi rientra nell'articolo 3 senza essere essenziale. L'articolo 3, commi 5 e 9, prevede inoltre l'applicazione a prescindere dalle dimensioni in casi determinati, tra cui i soggetti critici e i soggetti individuati dall'Autorità nazionale competente NIS.

ATECO 06.10.00 — Estrazione di petrolio greggioATECO 06.20.00 — Estrazione di gas naturaleATECO 19.20.10 — Raffinazione di petrolioATECO 19.20.20 — Fabbricazione di derivati del petrolioATECO 19.20.30 — Miscelazione di gas petroliferi liquefatti (GPL) e loro imbottigliamentoATECO 19.20.40 — Fabbricazione di prodotti di base per la copertura stradale

Vedi anche la pagina del settore: Energia · Categorie di soggetti NIS2 — Italia

Avvia la verifica di applicabilità gratuita

2. Ruolo degli organi di amministrazione e direttivi

Secondo l'articolo 23, comma 1, del D.Lgs 138/2024, gli organi di amministrazione e direttivi dei soggetti essenziali e importanti approvano le modalità di implementazione delle misure di gestione dei rischi adottate ai sensi dell'articolo 24, sovrintendono all'attuazione degli obblighi del capo e dell'articolo 7 e rispondono delle violazioni del decreto. L'articolo 23, comma 2, stabilisce che tali organi seguono una formazione in materia di sicurezza informatica e promuovono un'offerta periodica di formazione coerente ai dipendenti, affinché questi possano individuare i rischi e valutare le pratiche di gestione. L'articolo 23, comma 3, prevede che gli stessi organi siano informati periodicamente o tempestivamente degli incidenti e delle notifiche di cui agli articoli 25 e 26. L'articolo 38, commi 5 e 6, disciplina la responsabilità delle persone fisiche che rappresentano il soggetto e la sanzione accessoria dell'incapacità a svolgere funzioni dirigenziali.

Obbligo di formazione degli organi di amministrazione NIS2 per paese

3. Analisi dei rischi come fondamento

L'articolo 24, comma 2, lettera a), del D.Lgs 138/2024 richiede, quale primo elemento minimo dell'insieme delle misure, politiche di analisi dei rischi e di sicurezza dei sistemi informativi e di rete. L'articolo 24, comma 1, precisa che le misure sono adeguate e proporzionate alla gestione dei rischi che gravano sui sistemi utilizzati nelle attività o nella fornitura dei servizi, tenuto conto dello stato dell'arte, delle norme nazionali, europee e internazionali pertinenti e dei costi di attuazione. La proporzionalità è riferita al grado di esposizione ai rischi, alle dimensioni del soggetto e alla probabilità e gravità degli incidenti. L'articolo 24, comma 4, prevede che il soggetto che rilevi una non conformità adotti senza indebito ritardo le misure correttive appropriate e proporzionate.

La piattaforma genera questo documento automaticamente — è incluso nel pacchetto di documenti. Servizi

4. Catalogo delle misure di gestione del rischio

L'articolo 24, comma 2, del D.Lgs 138/2024 fonda le misure su un approccio multi-rischio e ne elenca gli elementi minimi: politiche di analisi dei rischi, gestione degli incidenti con le procedure per le notifiche degli articoli 25 e 26, continuità operativa con backup, ripristino in caso di disastro e gestione delle crisi, sicurezza della catena di approvvigionamento, sicurezza di acquisizione, sviluppo e manutenzione dei sistemi con gestione e divulgazione delle vulnerabilità, valutazione dell'efficacia delle misure, igiene informatica di base e formazione, crittografia e cifratura, sicurezza e affidabilità del personale con controllo degli accessi e gestione dei beni, nonché autenticazione a più fattori o continua e comunicazioni protette. Il testo dell'articolo 24 tratta allo stesso modo tutti i soggetti essenziali e importanti, senza elencare misure specifiche per il settore energia. L'articolo 24, comma 3, aggiunge che, per la catena di approvvigionamento, il soggetto tiene conto delle vulnerabilità dei singoli fornitori e degli esiti delle valutazioni coordinate dei rischi del Gruppo di cooperazione NIS. Le modalità e i termini di implementazione sono definiti dall'Autorità nazionale competente NIS secondo gli articoli 30, 31 e 32, anche in ragione del settore, del sottosettore e della qualificazione come soggetto essenziale o importante.

Misure di gestione dei rischi NIS2 vs ISO 27001, DORA e GDPR

5. Notifica degli incidenti significativi

L'articolo 25, comma 1, del D.Lgs 138/2024 prevede che i soggetti essenziali e importanti notifichino al CSIRT Italia, senza ingiustificato ritardo, ogni incidente con impatto significativo sulla fornitura dei loro servizi; un incidente è significativo, ai sensi del comma 4, se ha causato o può causare una grave perturbazione operativa o perdite finanziarie, oppure ripercussioni su altre persone con perdite considerevoli. L'articolo 25, comma 5, lettera a), fissa la pre-notifica entro 24 ore da quando il soggetto è venuto a conoscenza dell'incidente significativo, con l'indicazione, ove possibile, di atti illegittimi o malevoli o di un impatto transfrontaliero. La lettera b) del medesimo comma fissa la notifica dell'incidente entro 72 ore, con una valutazione iniziale della gravità e dell'impatto e, ove disponibili, gli indicatori di compromissione; la lettera c) prevede una relazione intermedia su richiesta del CSIRT Italia. La lettera d) stabilisce una relazione finale entro un mese dalla trasmissione della notifica di cui alla lettera b), con descrizione dettagliata, causa originale, misure di attenuazione e, ove noto, impatto transfrontaliero, mentre la lettera e) disciplina il caso dell'incidente ancora in corso.

Termini di notifica degli incidenti NIS2 per Paese UE · La piattaforma genera questo documento automaticamente — è incluso nel pacchetto di documenti. Servizi

6. Documentazione e informazioni verso l'Autorità

L'articolo 24, comma 2, del D.Lgs 138/2024 richiede politiche e procedure in forma stabile, tra cui le politiche di analisi dei rischi, le procedure e gli strumenti per eseguire le notifiche degli articoli 25 e 26 e le politiche e procedure per valutare l'efficacia delle misure. L'articolo 7 prevede la registrazione e l'aggiornamento dei dati sulla piattaforma digitale dell'Autorità nazionale competente NIS dal 1° gennaio al 28 febbraio di ogni anno, l'integrazione delle informazioni dal 15 aprile al 31 maggio e la comunicazione di ogni modifica entro quattordici giorni dalla data della modifica. L'articolo 30, comma 1, dispone che dal 1° maggio al 30 giugno di ogni anno i soggetti comunichino e aggiornino l'elenco delle proprie attività e dei propri servizi, con gli elementi di caratterizzazione e la categoria di rilevanza. L'articolo 36 consente all'Autorità verifiche della documentazione e delle informazioni trasmesse, e l'articolo 37, comma 2, le consente di richiedere i dati che dimostrano l'attuazione delle politiche di sicurezza informatica, quali i risultati degli audit.

Il pacchetto include:

• Politica di gestione dei rischi di cibersicurezza
• Piano di gestione degli incidenti
• Piano di continuità operativa
• Politica di sicurezza della catena di approvvigionamento
• Dichiarazione sulla responsabilità degli organi di gestione e piano di formazione
• Assistente di compilazione nel portale

Manutenzione (mensile) — re-sign dei documenti secondo il diritto vigente — 290 EUR/mese — Servizi

7. Sanzioni amministrative pecuniarie

L'articolo 38, comma 9, lettera a), del D.Lgs 138/2024 prevede che, per le violazioni elencate al comma 8, i soggetti essenziali diversi dalle pubbliche amministrazioni siano puniti con sanzioni amministrative pecuniarie fino a un massimo di 10.000.000 di euro o del 2% del totale del fatturato annuo su scala mondiale dell'esercizio precedente, se tale importo è superiore, con un minimo pari a un ventesimo del massimo edittale. La lettera b) del medesimo comma prevede per i soggetti importanti diversi dalle pubbliche amministrazioni un massimo di 7.000.000 di euro o dell'1,4% del totale del fatturato annuo su scala mondiale, se superiore, con un minimo pari a un trentesimo del massimo edittale. Per le violazioni del comma 10, l'articolo 38, comma 11, indica un massimo dello 0,1% del fatturato annuo mondiale per i soggetti essenziali e dello 0,07% per i soggetti importanti. L'articolo 34, comma 6, elenca gli elementi di cui si tiene conto, tra cui la gravità e la durata della violazione, i precedenti, il danno causato e il livello di collaborazione con l'Autorità nazionale competente NIS.

Sanzioni amministrative NIS2 per paese