NIS2 e recepimento italiano: regole e adempimenti per le PA

Con la pubblicazione in Gazzetta Ufficiale europea, lo scorso 18 ottobre 2024, del Regolamento di esecuzione 2024/2690 si è riaccesa la partita dell’attuazione della direttiva NIS2.

Richiamandoci in generale a quanto già scritto sul tema, ci soffermeremo su quelli che sono gli impatti per le PA alla luce del decreto di recepimento adottato in Italia con il D.lgs. 4 settembre 2024, n. 138 e pubblicato in GU il primo ottobre 2024.

NIS2 e impatti nelle PA: novità del decreto di recepimento

La NIS2 (che. Lo ricordiamo, è l’acronimo di Network and Information Systems) rappresenta un importante passo in avanti nell’ambito della cyber security a livello europeo.

Si tratta di una normativa che è stata concepita da un lato per introdurre nuove regole e, dall’altro, per rafforzare quelle già esistenti. Insomma, un interesse binomio che impone riflessioni strutturate oltre che adempimenti ben precisi, dipingendo uno scenario più evoluto rispetto all’antenata Direttiva NIS (1) ben più blanda, oggi abrogata e sostituita dalla NIS2.

Trattandosi di una direttiva europea, come di consueto e per non incorrere in una procedura di infrazione, anche il nostro Paese era tenuto a recepirla, e così il legislatore italiano ha emanato il D.lgs. 138/2024.

Quest’ultimo, pur richiamandosi alla direttiva madre, introduce alcune novità, e in particolare:

1. un ambito di applicazione più ampio, estendendolo a un numero maggiore di enti e servizi;
2. degli obblighi specifici per le PA come, ad esempio, la necessità di effettuare valutazioni periodiche dei rischi ovvero aggiornare costantemente le misure di sicurezza;
3. dei riferimenti a specifiche norme tecniche europee e nazionali volte a facilitare, tra gli altri, la implementazione delle misure di sicurezza

Ma vediamo meglio.

L’importanza della NIS2 per il comparto pubblico

In una società sempre più digitale, le PA non possono che non assumere un ruolo centrale, dovendo gestire una vasta gamma di servizi digitali essenziali, di qui l’adeguamento alla NIS2 è di fondamentale importanza oltre che un’ottemperanza per legge.

Se pensiamo agli attacchi informatici che sono, in un’epoca storica come questa, assai frequenti e li prospettiamo su taluni servizi pubblici, possiamo solo immaginare le conseguenze devastanti per i cittadini, l’economia e la sicurezza nazionale.

Ricorderemo tutti l’attacco della scorsa estate che paralizzò il traffico aereo.

Tanto basta per incidere pesantemente sull’innalzamento del livello di sicurezza, proprio per evitare che in talune circostanze, il mondo si fermi. Ecco che il plesso normativo vigente e cogente della NIS2 intende prevenire e per l’effetto rendere i sistemi informativi più resilienti e sicuri.

I principali obblighi per le PA

Le PA, in base al Decreto 138/2024, sono tenute a una serie di adempimenti, vediamo quali.

Anzitutto, le PA centrali di cui all’Allegato III, comma I, lett. a), a prescindere dalle loro dimensioni — e qui sta l’ampliamento di cui si diceva — sono tra i soggetti cd “essenziali ed importanti” di cui all’art. 6, e perciò chiamate a identificarne i servizi definiti tali.

Di qui, scaturiscono i principali obblighi e in particolare:

1. definire con precisione quali servizi digitali sono critici per il funzionamento della PA e della società;
2. valutare i rischi, conducendouna valutazione approfondita dei rischi informatici a cui sono esposti i servizi essenziali;
3. implementare misure di sicurezza tecniche e organizzative atte a mitigare i rischi identificati come la crittografia dei dati, l’identità e accessi, il backup con ripristino dei dati, la formazione/sensibilizzazione/consapevolezza degli addetti/operatori;
4. gestire gli incidenti, grazie a delle procedure chiare ed efficaci volte alla gestione degli incidenti informatici, dalla rilevazione alla risposta e quindi al recupero, richiamandosi a quanto stabilito dal Regolamento di esecuzione 2024/2690;
5. collaborare con l’Agenzia per la Cybersicurezza Nazionale (ACN), comunicandole entro strette tempistiche ben precise gli incidenti significativi (v. Regolamento di esecuzione 2024/2690) e collaborare con detta Agenzia per le attività di analisi/risposta;
6. notificare gli incidenti;
7. nominare un responsabile della sicurezza, identificandolo meglio se all’interno dell’Organizzazione pensando al CISO, ove presente.

Perché è estremamente importante adeguarsi alla NIS2

L’adeguamento alla NIS2 è fondamentale per una serie di motivi. Dal proteggere maggiormente i dati dei cittadini, al ridurre il rischio di attacchi informatici e conseguente perdita di dati anche particolari (ex sensibili), garantendo la continuità dei servizi essenziali.

Ma non è tutto. Occorre altresì assicurare la disponibilità dei servizi digitali in caso di incidente di sicurezza/attacco informatico.

Ancora, un buon presidio migliora senz’altro la reputazione, sì dimostrando un impegno concreto per la sicurezza informatica, che va a impattare necessariamente sulla fiducia dei cittadini e delle imprese.

Da ultimo, ma non ultimo, un piano di attuazione che porti a porre in essere un sistema robusto evita le sanzioni nemmeno leggere, così come previste dall’art. 38.

Procedere all’adeguamento: senza fretta, ma senza sosta

Per adeguarsi alla NIS2, conformemente al decreto di recepimento, le PA dovrebbero (aver già fatto):

1. effettuare una valutazione iniziale, analizzando lo stato dell’arte e identificare per conseguenza le gap rispetto ai requisiti della normativa, con il presupposto che non siano a zero sul tema cyber security;
2. definire un programma di azione, elaborando un piano dettagliato che indichi le misure da adottare, i tempi e le risorse necessarie;
3. implementare le misure, mettendo in atto le misure di sicurezza stabilite nel programma;
4. monitorare e valutare, con un sistema di verifica e monitoraggio costante e periodico l’efficacia delle misure adottate, apportando ove necessario ed opportuno eventuali miglioramenti.

Ecco che la NIS2 anche quella tutta all’italiana se da un laro rappresenta una sfida importante per le PA, da un altro costituisce un passo fondamentale atto a garantire la sicurezza dei sistemi informatici non la protezione dei dati dei cittadini, di tutti noi.