Stato della NIS 2 in Italia
Cosa richiede la direttiva, come l'Italia la recepisce e dove si collocano l'ACN e il CSIRT Italia nel quadro.
Panoramica
La direttiva NIS 2 è il livello UE. Vincola ogni Stato membro, Italia compresa, con un'unica soglia minima di cybersicurezza per i soggetti essenziali e importanti. L'Italia deve trasferire quella soglia nel diritto italiano e gestire un regime di vigilanza sottostante.
L'Italia recepisce la NIS 2 attraverso il Decreto Legislativo 4 settembre 2024, n. 138. Il decreto è stato pubblicato nella Gazzetta Ufficiale il 1° ottobre 2024 ed è entrato in vigore il 16 ottobre 2024, in corrispondenza del termine di recepimento dell'UE.
L'ACN (Agenzia per la Cybersicurezza Nazionale) è l'autorità NIS competente unica, il punto di contatto unico per il gruppo di cooperazione dell'UE e la sede del CSIRT nazionale (CSIRT Italia). Nove ministeri agiscono come autorità di settore sotto il coordinamento dell'ACN. Per il settore finanziario, il DORA si applica come lex specialis.
Direttiva UE
La presente direttiva stabilisce misure volte a garantire un livello comune elevato di cibersicurezza nell'Unione in modo da migliorare il funzionamento del mercato interno.
Direttiva (UE) 2022/2555 (NIS 2), articolo 1. Fissa gli obblighi che ogni Stato membro deve recepire, compresi i test dimensionale e settoriale per i soggetti essenziali e importanti.
Attuazione UE
Regolamento di esecuzione (UE) 2024/2690 della Commissione
Misure tecniche e metodologiche per i fornitori di infrastrutture digitali. Direttamente applicabile in Italia senza recepimento nazionale.
Recepimento italiano
Decreto Legislativo 4 settembre 2024, n. 138
Il recepimento italiano della NIS 2. Pubblicato nella Gazzetta Ufficiale il 1° ottobre 2024, in vigore dal 16 ottobre 2024. Il decreto conferma l'ACN come autorità competente, amplia le funzioni del CSIRT Italia, elenca dieci aree di misure di sicurezza e dettaglia il processo di notifica degli incidenti e la responsabilità dell'organo di gestione.
Decreto Legislativo 138/2024
Porta gli obblighi della NIS 2 nel diritto italiano. Definisce i soggetti essenziali e i soggetti importanti, i poteri di vigilanza dell'ACN, gli obblighi di segnalazione degli incidenti e le sanzioni amministrative. Il dettaglio operativo risiede nelle determinazioni dell'ACN e negli allegati settoriali.
ACN e CSIRT Italia
L'ACN è l'autorità NIS competente unica e punto di contatto unico. Il CSIRT Italia opera all'interno dell'ACN e riceve le notifiche degli incidenti significativi. I ministeri di settore (interno, energia, trasporti, salute, giustizia, cultura, ricerca, trasformazione digitale, ambiente) agiscono come autorità di settore sotto un comitato di attuazione presieduto dall'ACN.
Registrazione e segnalazione
La piattaforma di registrazione dell'ACN è stata aperta il 1° dicembre 2024. I soggetti nell'ambito di applicazione dovevano registrarsi o aggiornare i propri dati entro il 28 febbraio 2025. Gli incidenti significativi seguono la cadenza della direttiva: preallarme entro 24 ore, notifica dell'incidente entro 72 ore, relazione finale entro un mese, inviata tramite il CSIRT Italia.
Il diritto locale si applica all'interno dell'Italia
Le operazioni sul territorio italiano seguono il recepimento italiano. Un Geschäftsführer tedesco che gestisce una controllata italiana legge il Decreto Legislativo 138/2024 per quella controllata, non il BSIG tedesco. Gli obblighi della direttiva sono gli stessi. La procedura, la piattaforma di registrazione e le sanzioni risiedono nel diritto italiano e passano attraverso l'ACN.
L'Italia non può scendere al di sotto della soglia minima UE
La direttiva è uno strumento di armonizzazione minima. L'Italia può essere più rigorosa, e sull'ambito lo ha fatto aggiungendo le pubbliche amministrazioni, i fornitori di trasporto pubblico locale, i soggetti di ricerca e i soggetti di interesse culturale al di sopra della base della direttiva. L'Italia non può scendere al di sotto della direttiva sugli obblighi dei soggetti essenziali e importanti, sui termini di segnalazione degli incidenti o sulla responsabilità dell'organo di gestione.
ACN
Autorità NIS competente unica e punto di contatto unico. Conduce audit, richiede documentazione, impone sanzioni amministrative ed emana misure regolatorie vincolanti. Presiede il comitato di attuazione NIS che coordina i nove ministeri di settore.
CSIRT Italia
Il CSIRT nazionale, ospitato dall'ACN. Riceve le notifiche degli incidenti significativi dai soggetti nell'ambito di applicazione, fornisce orientamenti tecnici e supporto alla gestione degli incidenti, e coordina a livello transfrontaliero con i CSIRT omologhi attraverso la rete di CSIRT dell'UE.
ENISA
L'agenzia UE per la cybersicurezza. Pubblica orientamenti, gestisce la banca dati europea delle vulnerabilità e sostiene il coordinamento transfrontaliero. Non è un vigilante per i soggetti italiani; lo è l'ACN.
Facciamo la NIS 2 come la fa la nostra capogruppo tedesca.
Gli obblighi della direttiva sono gli stessi, ma la procedura no. Una controllata italiana si registra sulla piattaforma dell'ACN, presenta le notifiche di incidente al CSIRT Italia e risponde alla vigilanza dell'ACN. I riferimenti al BSIG, al portale tedesco del BSI o alle autorità di settore tedesche non si trasferiscono. Il lavoro interno di conformità può essere condiviso a livello di gruppo; le comunicazioni nazionali no.
Non c'è ancora un obbligo di registrazione italiano.
La piattaforma di registrazione dell'ACN è stata aperta il 1° dicembre 2024 e la prima finestra di registrazione si è chiusa il 28 febbraio 2025. Gli aggiornamenti dei dati di registrazione seguono la regola delle due settimane della direttiva. Un soggetto nell'ambito di applicazione che non si è mai registrato non è esente; è in violazione, e l'ACN dispone sia del potere di sanzione amministrativa sia del potere di misura vincolante.
È competente il nostro regolatore settoriale, non l'ACN.
L'Italia ha scelto un modello ad autorità competente unica. L'ACN vigila su tutti i settori NIS 2 ed è il punto di contatto unico per il gruppo di cooperazione dell'UE. I ministeri di settore agiscono come autorità di settore e contribuiscono con competenza di dominio sotto un comitato di attuazione presieduto dall'ACN, ma il potere vincolante di vigilanza e sanzione NIS 2 spetta all'ACN. Per la finanza, il DORA si applica come lex specialis e il regolatore del settore finanziario gestisce quel canale.
La maggior parte dei piccoli e medi operatori italiani che incontriamo legge ancora la NIS 2 attraverso la lente del vecchio perimetro NIS 1 del D.Lgs. 65/2018, in cui solo una manciata di operatori nominati rientrava nell'ambito di applicazione. Il nuovo decreto amplia il perimetro di un ordine di grandezza, vi include le pubbliche amministrazioni, il trasporto pubblico locale e i soggetti di ricerca, e sposta la responsabilità sull'organo di gestione. L'amministratore delegato o legale rappresentante è personalmente responsabile dell'approvazione della gestione del rischio e della formazione.
La mossa pratica è la stessa che ovunque nell'UE. Confermare l'ambito ai sensi della direttiva e del decreto, registrarsi sulla piattaforma dell'ACN, predisporre i quattro obblighi continuativi (mantenimento della registrazione, segnalazione degli incidenti tramite il CSIRT Italia, rischio della catena di approvvigionamento, vigilanza dell'organo di gestione) e documentare il minimo. Gli allegati settoriali dell'ACN affinano il dettaglio; non sostituiscono il registro degli obblighi.
Costruiamo il registro degli obblighi NIS 2 sul livello UE, non su un singolo recepimento nazionale. La stessa checklist funziona per una controllata italiana che usa il Decreto Legislativo 138/2024, una capogruppo tedesca che usa il BSIG, una consociata francese che usa l'Ordonnance n° 2024-1093 e una olandese che usa la Cyberbeveiligingswet. I riferimenti agli articoli cambiano per locale; gli obblighi sostanziali no.
Per l'ambito italiano si parte dal controllo di applicabilità, poi si passa alla cadenza di segnalazione degli incidenti tramite il CSIRT Italia, alle clausole sulla catena di approvvigionamento e all'approvazione dell'organo di gestione. Dove l'ACN pubblica determinazioni o allegati settoriali, li citiamo; non li duplichiamo.
- Direttiva (UE) 2022/2555 (NIS 2): EUR-Lex
- Regolamento di esecuzione (UE) 2024/2690 della Commissione
- Decreto Legislativo 4 settembre 2024, n. 138: Gazzetta Ufficiale 1 ottobre 2024
- ACN: Agenzia per la Cybersicurezza Nazionale, sito ufficiale (acn.gov.it)
- CSIRT Italia: National Computer Security Incident Response Team (csirt.gov.it)
- Commissione europea: tracker di recepimento della direttiva NIS 2, Italia
- Banca d'Italia: autorità competente per il DORA nel settore finanziario