Direttiva NIS2, una normativa adottata dal Parlamento Europeo nel novembre 2022 che mira a rafforzare la resilienza cyber delle aziende e delle istituzioni. Ma quali sono le imprese interessate? Come devono prepararsi per il censimento sul portale dell’Agenzia per la Cybersicurezza Nazionale (ACN)? E quali sono le sanzioni in caso di mancato adempimento? Scopriamolo.

Il Ruolo dell’Agenzia per la Cybersicurezza Nazionale (ACN). In Italia, l’ACN è l’ente designato per coordinare l’implementazione della NIS2. L’Agenzia ha il compito di:

• Identificare le entità essenziali e importanti che rientrano nel campo di applicazione della direttiva.
• Stabilire i requisiti di sicurezza e le misure preventive che le aziende devono adottare.
• Gestire il portale di censimento, attraverso il quale le aziende devono registrarsi e fornire informazioni sulla loro infrastruttura e sulle misure di sicurezza adottate.

Quali Aziende Devono Adempiere al Censimento?

La classificazione delle entità in due categorie principali: entità essenziali ed entità importanti. La distinzione si basa sul settore di appartenenza e sull’impatto potenziale che un incidente cyber potrebbe avere sulla società e sull’economia.

• Entità Essenziali (settori critici): Energia (Fornitori di elettricità, gas, petrolio) | Trasporti (Aeroporti, porti, ferrovie, trasporto stradale e marittimo) | Bancario (Istituti bancari e creditizi) | Infrastrutture dei mercati finanziari (Borse, sistemi di pagamento) | Sanità (Ospedali, cliniche, fornitori di servizi sanitari) | Fornitura e distribuzione di acqua potabile | Infrastrutture digitali (DNS, fornitori di servizi cloud, data center).
• Entità Importanti: Servizi postali e di corriere | Gestione dei rifiuti | Produzione, trasformazione e distribuzione di alimenti | Produzione industriale (Prodotti farmaceutici, chimici, dispositivi medici) | Servizi digitali (Piattaforme di social media, servizi di e-commerce).

È importante notare che la direttiva adotta un approccio basato sulle dimensioni dell’azienda. In generale, le medie e grandi imprese operanti nei settori elencati sono incluse. Le piccole e micro imprese sono escluse, salvo eccezioni specifiche dove l’impatto potenziale di un incidente è considerato elevato.

Obblighi per le Aziende

• Registrarsi sul portale ACN: Fornendo informazioni dettagliate sulla loro organizzazione, infrastruttura e misure di sicurezza in atto.
• Adottare misure tecniche e organizzative adeguate a gestire i rischi per la sicurezza delle reti e dei sistemi informativi.
• Notificare gli incidenti che hanno un impatto significativo all’ACN entro termini specifici.
• Cooperare con le autorità competenti in caso di gestione di incidenti o ispezioni.

Le Sanzioni per il Mancato Adempimento

La Direttiva NIS2 prevede sanzioni significative per le aziende che non rispettano gli obblighi imposti. Le sanzioni sono proporzionate alla gravità della violazione e possono includere:

• Per le Entità Essenziali: Fino a 10 milioni di euro o il 2% del fatturato mondiale annuo totale dell’azienda nell’esercizio precedente, se superiore.
• Per le Entità Importanti: Fino a 7 milioni di euro o l’1,4% del fatturato mondiale annuo totale dell’azienda nell’esercizio precedente, se superiore.
• Ordini di conformità: Le autorità possono emettere ordini che impongono all’azienda di adottare misure specifiche entro un determinato periodo.
• Sospensione temporanea: In casi estremi, può essere sospesa temporaneamente l’attività dell’azienda.
• Responsabilità civile: Le aziende possono essere soggette a richieste di risarcimento danni da parte di terzi danneggiati a causa della loro non conformità.

La Direttiva NIS2 rappresenta un passo significativo verso una maggiore sicurezza informatica a livello europeo. Per le aziende italiane, l’adempimento al censimento sul portale ACN non è solo un obbligo normativo, ma un’opportunità per rafforzare le proprie difese cyber e aumentare la resilienza operativa.