Le nuove determine dell’Agenzia per la Cybersicurezza Nazionale (ACN) attuano concretamente il d.lgs. 138/2024 di recepimento della Direttiva NIS2, fissando obblighi precisi su governance, gestione del rischio e notifica degli incidenti. Chi assiste soggetti essenziali o importanti deve aggiornare subito i contratti di servizio, i modelli organizzativi e le clausole di responsabilità verso terzi. La mancata adeguatezza espone i clienti a sanzioni fino a 10 milioni di euro o al 2% del fatturato mondiale annuo.
Punti chiave
- Punto 1 — Le determine ACN rendono operativi gli obblighi NIS2 recepiti dal d.lgs. 138/2024 in Italia.
- Punto 2 — I soggetti essenziali rischiano sanzioni fino a 10 milioni di euro o il 2% del fatturato globale.
- Punto 3 — Contratti di fornitura ICT e modelli 231 vanno aggiornati entro le scadenze ACN.
Se assisti aziende classificate come soggetti essenziali o importanti ai sensi del d.lgs. 138/2024, le nuove determine dell’ACN non sono materiale da archiviare: sono il parametro concreto con cui i tuoi clienti saranno valutati in sede di audit e, in caso di incidente, in sede di contestazione della responsabilità. Il momento per agire è adesso, non quando arriva la prima notifica di avvio del procedimento sanzionatorio.
L’ACN ha adottato una serie di determine attuative che specificano nel dettaglio le misure tecniche e organizzative richieste dalla normativa NIS2, recepita in Italia con il d.lgs. 138/2024. La notizia, riportata da Diritto.it, evidenzia come queste misure ridisegnino la compliance aziendale su governance, supply chain e gestione degli incidenti.
Il contesto normativo
Il d.lgs. 138/2024 recepisce la Direttiva (UE) 2022/2555 (NIS2) e abroga il precedente d.lgs. 65/2018 sulla NIS1. L’art. 23 del d.lgs. 138/2024 elenca le misure minime di gestione del rischio: autenticazione multifattoriale, cifratura, sicurezza della supply chain, procedure di notifica degli incidenti entro 24 ore per l’allerta iniziale e 72 ore per la notifica completa. L’art. 38 stabilisce il regime sanzionatorio: fino a 10 milioni di euro o il 2% del fatturato mondiale annuo per i soggetti essenziali, fino a 7 milioni o l’1,4% per i soggetti importanti. Le determine ACN traducono questi obblighi in requisiti verificabili, colmando il vuoto lasciato dalla norma primaria sulle modalità operative.
Cosa cambia per lo studio
- Revisione dei contratti ICT e di outsourcing. Le determine ACN impongono requisiti specifici sui fornitori di servizi tecnologici. I contratti in essere devono includere clausole di adeguamento, diritti di audit e obblighi di notifica a cascata in caso di incidente. Verifica che le clausole di SLA coprano i tempi di notifica previsti dall’art. 23 d.lgs. 138/2024.
- Aggiornamento dei modelli organizzativi ex d.lgs. 231/2001. Il rischio cyber rientra ormai nell’area di rischio rilevante per la responsabilità amministrativa degli enti. Un modello 231 non aggiornato alla NIS2 espone l’azienda a contestazioni in sede di verifica dell’idoneità esimente.
- Adeguamento della governance interna. Le determine richiedono che l’organo di amministrazione approvi formalmente le politiche di sicurezza e ne segua l’attuazione. Questo significa verbali consiliari, deleghe documentate e formazione obbligatoria degli amministratori: tutti atti che uno studio legale può presidiare direttamente.
- Gestione delle notifiche di incidente. Il termine di 24 ore per l’allerta iniziale all’ACN è perentorio. Lo studio deve dotare i clienti di una procedura scritta di escalation interna che rispetti quella scadenza, con individuazione del soggetto responsabile della notifica.
- Registrazione nel portale ACN. I soggetti rientranti nell’ambito applicativo devono completare la registrazione sulla piattaforma ACN. Chi non si è ancora registrato accumula già un inadempimento documentabile.
Attenzione a
Non confondere l’ambito soggettivo NIS2 con quello del GDPR. Molti clienti pensano che la compliance privacy esaurisca gli obblighi di cybersicurezza. NIS2 si applica a operatori in settori critici (energia, trasporti, sanità, infrastrutture digitali, banche) indipendentemente dal volume di dati trattati: un’azienda può essere fuori GDPR per dimensione e pienamente dentro NIS2 per settore.
Attenzione alle responsabilità del management. L’art. 38 d.lgs. 138/2024 prevede la possibilità di sanzionare direttamente i rappresentanti legali e i dirigenti responsabili in caso di violazione grave. Questo profilo di responsabilità personale deve essere esplicitamente discusso con i clienti e considerato nella struttura delle deleghe aziendali.
Domande frequenti
Quali aziende sono obbligate ad adeguarsi alla NIS2 in Italia?
Il d.lgs. 138/2024 si applica a medie e grandi imprese operanti in settori essenziali (energia, trasporti, sanità, banche, infrastrutture digitali) e importanti (servizi postali, gestione rifiuti, fabbricazione critica). Le microimprese sono escluse salvo eccezioni specifiche previste dall’art. 3 del decreto. La registrazione sul portale ACN è il primo adempimento da verificare.
Cosa rischia un amministratore delegato se l’azienda non rispetta la NIS2?
L’art. 38 d.lgs. 138/2024 consente all’ACN di sanzionare direttamente i rappresentanti legali e i dirigenti responsabili della cybersicurezza in caso di violazione grave o reiterata. Le sanzioni per i soggetti essenziali arrivano fino a 10 milioni di euro o il 2% del fatturato mondiale. Il management può anche essere temporaneamente interdetto dalle funzioni direttive.
Entro quanto tempo va notificato un incidente informatico all’ACN secondo la NIS2?
L’art. 23 d.lgs. 138/2024 prevede una pre-notifica entro 24 ore dalla conoscenza dell’incidente significativo, seguita da una notifica completa entro 72 ore e da una relazione finale entro un mese. I termini decorrono dal momento in cui il soggetto ha avuto o avrebbe dovuto avere conoscenza dell’evento. Servono procedure interne scritte per rispettare queste scadenze.
Fonte di riferimento: Diritto.it