Misure di sicurezza, filiera, formazione e notifiche degli incidenti nel d.lgs. 138/2024
di Avv. Tommaso Rossi — RPC Studio Legale
La cybersicurezza non è più un tema confinato al reparto informatico. Con il d.lgs. 138/2024, che recepisce la direttiva NIS2, diventa una componente della governance per numerosi soggetti pubblici e privati attivi nei settori considerati critici o importanti.
La disciplina segue un approccio basato sul rischio. Non impone a tutti la stessa architettura tecnica, ma chiede misure adeguate e proporzionate, costruite sulle dimensioni dell’organizzazione, sulla probabilità degli incidenti e sulla gravità del loro possibile impatto economico e sociale.
Il ruolo degli organi amministrativi e direttivi
Gli organi di amministrazione e direzione non possono limitarsi a delegare genericamente la materia. Devono approvare le modalità di implementazione delle misure, sovrintendere alla loro attuazione e ricevere una formazione adeguata. La sicurezza informatica entra quindi nei processi decisionali, nella pianificazione delle risorse e nella gestione dei rischi d’impresa.
Per essere effettiva, la governance deve individuare responsabilità, flussi informativi e poteri. Servono un inventario dei sistemi e dei servizi essenziali, una valutazione dei rischi, procedure di continuità operativa, gestione delle crisi, backup, controllo degli accessi, sicurezza della supply chain e verifica periodica dell’efficacia delle misure.
Il rischio arriva anche dai fornitori
Molti incidenti entrano attraverso software, servizi cloud, manutentori o altri soggetti della catena di approvvigionamento. La NIS2 richiede di considerare le vulnerabilità specifiche dei fornitori e la qualità complessiva dei loro prodotti e delle loro pratiche di sicurezza.
Non è sufficiente inserire una clausola generica nel contratto. È utile classificare i fornitori per criticità, stabilire requisiti minimi, disciplinare l’accesso ai sistemi, imporre tempi di comunicazione degli incidenti, prevedere audit e regolare restituzione o cancellazione dei dati alla cessazione del rapporto.
Notificare non significa aspettare di conoscere tutto
In presenza di un incidente significativo, la procedura è progressiva. La normativa prevede una pre-notifica tempestiva, seguita da una notifica più completa e da una relazione finale. La logica è consentire al CSIRT Italia di valutare rapidamente l’evento e supportare la risposta, anche quando nelle prime ore non sono disponibili tutte le informazioni.
Questo rende essenziale preparare prima dell’emergenza un piano che stabilisca chi qualifica l’incidente, chi informa i vertici, chi dialoga con ACN e chi coordina gli eventuali adempimenti paralleli. Lo stesso fatto può infatti comportare anche un data breach ai sensi del GDPR, obblighi contrattuali o comunicazioni verso altre autorità. I termini e i presupposti non coincidono e vanno gestiti in modo coordinato.
Una checklist per i vertici
Verificare formalmente se l’organizzazione rientra nell’ambito NIS2; aggiornare la mappa dei rischi; approvare ruoli e budget; controllare il piano di risposta agli incidenti; svolgere esercitazioni; formare amministratori, dirigenti e personale; rivedere i contratti con i fornitori critici; conservare evidenza delle decisioni e dei controlli.
In sintesi: la conformità non coincide con l’acquisto di un prodotto informatico. È un processo documentato nel quale tecnologia, organizzazione e responsabilità giuridiche devono funzionare insieme.
Fonti: d.lgs. 4 settembre 2024, n. 138; Direttiva (UE) 2022/2555.
