La direttiva NIS2, recepita in Italia con il d.lgs. 138/2024, estende gli obblighi di cybersicurezza anche ai sistemi OT (Operational Technology), cioè ai macchinari e ai processi produttivi connessi in rete. L’avvocato che assiste un’impresa manifatturiera o un operatore di infrastrutture deve verificare se il cliente rientra tra i soggetti essenziali o importanti ex art. 3 d.lgs. 138/2024, e se ha adottato le misure tecniche e organizzative richieste dall’art. 24. Il mancato adeguamento espone l’impresa a sanzioni fino a 10 milioni di euro o al 2% del fatturato mondiale annuo.
Punti chiave
- Il d.lgs. 138/2024 impone la mappatura di tutti i dispositivi OT connessi alla rete aziendale.
- Le sanzioni NIS2 arrivano fino a 10 milioni di euro o al 2% del fatturato globale annuo.
- L’avvocato deve verificare la contrattualistica con fornitori IT/OT per allocare correttamente le responsabilità.
Se assisti imprese manifatturiere, utilities o operatori di infrastrutture critiche, la direttiva NIS2 — recepita con il d.lgs. 138/2024 — non riguarda solo il reparto IT. Riguarda anche i macchinari, i sensori e i sistemi di controllo industriale (OT) collegati alla rete, e quindi il patrimonio produttivo del tuo cliente. Ignorare questo perimetro nella consulenza espone lo studio a contestazioni di inadempimento professionale.
L’analisi pubblicata da Agenda Digitale evidenzia come la convergenza tra sistemi IT e OT — ovvero tra reti informatiche tradizionali e macchinari industriali connessi — apra vettori di attacco nuovi e spesso sottovalutati. La NIS2 risponde imponendo censimento dei dispositivi, valutazione delle vulnerabilità, controllo degli accessi, monitoraggio delle anomalie e procedure di emergenza documentate.
Il contesto normativo
Il d.lgs. 138/2024 — decreto di recepimento della direttiva UE 2022/2555 — classifica i soggetti obbligati in due categorie: essenziali e importanti (art. 3). Per entrambe valgono obblighi di gestione del rischio informatico dettagliati all’art. 24, che includono esplicitamente la sicurezza della catena di approvvigionamento e dei sistemi di controllo industriale. L’art. 38 fissa le sanzioni: fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per i soggetti essenziali, fino a 7 milioni o all’1,4% per quelli importanti. L’Agenzia per la Cybersicurezza Nazionale (ACN) è l’autorità competente a irrogare le sanzioni e a condurre le ispezioni.
Cosa cambia per lo studio
- Censimento del perimetro OT: consiglia al cliente di redigere un inventario documentato di tutti i dispositivi OT connessi alla rete — PLC, SCADA, sensori industriali. Senza questo registro, la valutazione del rischio ex art. 24 d.lgs. 138/2024 è incompleta e contestabile in sede ispettiva.
- Revisione dei contratti con fornitori: verifica che i contratti di manutenzione e fornitura di software industriale prevedano clausole di sicurezza, notifica degli incidenti e responsabilità per vulnerabilità. La catena di approvvigionamento è esplicitamente nel perimetro NIS2.
- Procedure di gestione degli incidenti: la NIS2 impone la notifica all’ACN entro 24 ore dal rilevamento di un incidente significativo (pre-notifica) e un rapporto completo entro 72 ore. Predisponi con il cliente una procedura scritta che assegni ruoli e tempistiche.
- Controllo degli accessi e segregazione delle reti: verifica che il cliente abbia adottato misure tecniche di segmentazione tra rete IT e rete OT e che gli accessi remoti ai sistemi industriali siano autenticati con strumenti adeguati (es. MFA). Questi elementi saranno oggetto di verifica ispettiva.
- Governance documentata: l’art. 23 d.lgs. 138/2024 coinvolge direttamente gli organi di amministrazione nella supervisione della cybersicurezza. Verifica che il CdA abbia approvato formalmente le politiche di sicurezza: la responsabilità degli amministratori è diretta.
Attenzione a
Escludere i sistemi OT dalla due diligence. Nelle operazioni di M&A o nelle verifiche di compliance, il perimetro OT viene sistematicamente sottovalutato perché tradizionalmente separato dalla rete IT. Dal 2024, questa separazione non esiste più sul piano normativo: un impianto produttivo con SCADA non aggiornato è una passività regolatoria concreta, non solo un rischio operativo.
Confondere la notifica volontaria con quella obbligatoria. Il d.lgs. 138/2024 distingue la notifica obbligatoria di incidenti significativi (art. 25) dalla segnalazione volontaria. Un cliente che ritarda la pre-notifica delle 24 ore — magari in attesa di capire l’entità del danno — accumula già un inadempimento sanzionabile. Istruisci il cliente a notificare tempestivamente anche in assenza di certezze sull’impatto.
Domande frequenti
Quali aziende sono obbligate ad adeguarsi alla NIS2 in Italia?
Il d.lgs. 138/2024 si applica a soggetti essenziali e importanti elencati nell’art. 3 e negli allegati I e II: energia, trasporti, banche, sanità, infrastrutture digitali, produzione alimentare e manifattura di determinate categorie. Le PMI sono generalmente escluse, salvo che operino in settori critici o siano l’unico fornitore di un servizio essenziale in Italia.
Cosa rischia un’azienda che non notifica un incidente informatico nei tempi NIS2?
Il mancato rispetto dei termini di notifica — pre-notifica entro 24 ore e rapporto completo entro 72 ore ex art. 25 d.lgs. 138/2024 — espone il soggetto a sanzioni amministrative fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per i soggetti essenziali. L’ACN può inoltre disporre misure interdittive temporanee.
Gli amministratori di una società rispondono personalmente per violazioni NIS2?
Sì. L’art. 23 d.lgs. 138/2024 attribuisce agli organi di amministrazione la responsabilità di approvare e supervisionare le misure di gestione del rischio informatico. Una delibera del CdA che formalizzi le politiche di cybersicurezza non è una formalità: è la prova documentale che gli amministratori hanno adempiuto al proprio obbligo di vigilanza.
Fonte di riferimento: AgendaDigitale