Di cosa si tratta.
Il decreto legislativo 138 del 2024 recepisce in Italia la direttiva NIS2 e organizza gli obblighi di cybersicurezza dei soggetti che rientrano nel suo perimetro. Il suo obiettivo è rafforzare resilienza, gestione dei rischi e risposta agli incidenti nei settori individuati. Non è una legge applicabile indistintamente a ogni piccola impresa che usa internet. La prima verifica riguarda l’organizzazione: attività svolta, dimensioni, eventuali criteri speciali e identificazione da parte delle autorità competenti. Solo dopo si costruisce il percorso degli adempimenti. La sicurezza viene affrontata come responsabilità di governo dell’ente o dell’impresa, con processi, competenze e controllo dei fornitori, oltre alle misure strettamente informatiche.
A chi può interessare.
Il decreto distingue soggetti essenziali e importanti secondo i criteri previsti e individua nell’ACN l’autorità nazionale competente NIS. Settori, tipologie di soggetti ed eccezioni devono essere letti insieme agli allegati e agli atti attuativi. L’appartenenza a un gruppo o la fornitura di servizi a un cliente NIS non dimostra automaticamente l’inclusione diretta, ma può comportare esigenze contrattuali di sicurezza. Per gli operatori interessati contano comunicazioni ricevute, registrazione e aggiornamenti sulla piattaforma, obblighi applicabili e relative decorrenze specifiche.
I punti da capire.
- 01
Il perimetro dipende da criteri normativi e attività effettive: un codice commerciale o una presentazione come azienda tecnologica non risolvono da soli la classificazione.
- 02
Gli organi di amministrazione e direzione hanno compiti di governo e supervisione; delegare la tecnica al fornitore non elimina la responsabilità organizzativa.
- 03
La gestione del rischio comprende continuità, incidenti, vulnerabilità e catena di fornitura, con misure proporzionate e verificabili rispetto al soggetto.
- 04
Le notifiche NIS riguardano incidenti significativi secondo la relativa disciplina e non coincidono con le notifiche di violazione dei dati personali previste dal GDPR.
- 01Individua l’ambito
- 02Leggi le regole pertinenti
- 03Verifica sul tuo contesto
Il percorso orienta la lettura: non costituisce una verifica automatica di conformità.
Cosa verificare in pratica.
- Documenta l’analisi di inclusione ed esamina le comunicazioni ACN e gli atti pertinenti all’anno di inserimento; identifica chi mantiene aggiornate tali verifiche.
- Definisci responsabilità, piano di adeguamento, inventario dei sistemi e dipendenze critiche; collega le misure ai rischi e alle specifiche applicabili.
- Prepara un flusso di gestione degli incidenti che distingua valutazione NIS, privacy e altri obblighi, con contatti operativi e reperibilità adeguati.
UN ESEMPIO PER ORIENTARSI
Dal principio alla situazione concreta.
Scenario ipotetico: un’impresa manifatturiera riceve una comunicazione di inserimento nell’elenco NIS. Il responsabile informatico propone di limitarsi a comprare un nuovo antivirus. La direzione avvia invece un piano che comprende ruoli, dipendenze di produzione, fornitori, continuità e gestione degli incidenti. Verifica le decorrenze pertinenti alla comunicazione e agli atti applicabili. Durante una simulazione distingue il fermo di un impianto senza dati personali esposti da un incidente che coinvolge anche informazioni dei dipendenti: i due percorsi di notifica possono richiedere valutazioni separate.
Scenario ipotetico a scopo divulgativo.Ambito, limiti e aggiornamenti.
Scadenze e specifiche operative dipendono dagli atti ACN e dalla posizione del soggetto. Non va indicata una sola data valida per tutti, specialmente tra organizzazioni inserite in anni diversi. La fonte legislativa consolidata e le istruzioni ufficiali devono essere controllate prima di pianificare gli adempimenti. La conformità al GDPR non prova automaticamente quella NIS, e una certificazione tecnica non sostituisce tutti gli obblighi del decreto.
Verificare ambito soggettivo, adempimenti, atti ACN e scadenze applicabili. La NIS2 non coincide con gli obblighi di sicurezza del GDPR.
Le fonti ufficiali.
La scheda spiega il riferimento in termini divulgativi. Per applicarlo consulta il testo vigente, gli allegati, gli aggiornamenti e le disposizioni pertinenti.