Di fronte al crescente numero di attacchi informatici, che possono causare pesanti ripercussioni economiche e danni alla reputazione delle aziende, tra cui interruzioni operative, malfunzionamenti nei sistemi informativi, nonché la diffusione non autorizzata di dati personali, lo Stato ha adottato strategie mirate a creare nuovi obblighi e controlli sulla cybersicurezza. L’obiettivo è pianificare, coordinare e attuare misure efficaci per rafforzare la sicurezza e la resilienza del Paese nell’era digitale.
Direttiva NIS2
Un primo strumento è stata la direttiva sulla sicurezza delle reti e dei sistemi informativi Network and Information security directive 2 (NIS2) dell’UE entrata in vigore il 18 ottobre scorso con nuovi obblighi in materia di cybersicurezza per imprese e Pa.
La direttiva si applica a una vasta gamma di soggetti, pubblici e privati, distinti in due categorie: da un lato, troviamo i “soggetti essenziali”, che operano in settori critici, quali sanità, energia, trasporti, settore bancario, risorse idriche e infrastrutture digitali. Dall’altro, ci sono i “soggetti importanti”, ovvero aziende e organizzazioni che, pur non essendo direttamente strategiche, operano in settori rilevanti come la produzione alimentare, il settore postale e le piattaforme di social network.
Obblighi per la cybersicurezza
Per garantire una maggiore protezione contro le minacce informatiche, cybersicurezza e nuovi obblighi e controlli diventano una priorità per aziende e PA. Il 28 febbraio 2025 rappresenta la scadenza entro la quale i soggetti che rientravano nell’ambito di applicazione del Decreto legislativo 138/2024, che ha recepito la Direttiva (UE) 2022/2555 (“Direttiva NIS2”), hanno dovuto registrarsi presso l’Autorità nazionale competente NIS, identificata in Italia nell’Agenzia per la cybersicurezza nazionale (“ACN”), utilizzando la piattaforma ACN dedicata.
Un altro obbligo è l’adozione del “Modello organizzativo di gestione della cybersecurity”, che include misure di protezione, procedure per la segnalazione di incidenti e strategie per la gestione dei rischi informatici. Sarà proprio l’ACN che dovrà monitorare e garantire il rispetto delle misure di sicurezza e gli obblighi di notificazione. Le imprese e le PA dovranno inoltre nominare un responsabile per la sicurezza informatica con competenze specifiche e garantire la formazione dei dipendenti in materia di cybersecurity, promuovendo le migliori pratiche per la prevenzione di minacce e attacchi.
Quali le possibili sanzioni
Le sanzioni previste per il mancato rispetto degli obblighi sono commisurate alla gravità della violazione e tengono conto della natura e delle dimensioni dell’organizzazione coinvolta.
- Per le aziende essenziali, le sanzioni in caso di non conformità possono arrivare fino a 10 milioni di euro o al 2% del fatturato annuo globale.
- Per le aziende importanti le sanzioni possono raggiungere i 7 milioni di euro o un massimo di almeno l’1,4% del fatturato annuo globale.
Indipendentemente dal settore, è prevista una sanzione fino allo 0,1% del fatturato annuo su scala mondiale del soggetto in caso di mancata registrazione al portale.
Per favorire un maggiore coinvolgimento del top management nelle questioni legate alla cybersecurity, il decreto di recepimento introduce anche una responsabilità diretta dell’organo di amministrazione in caso di violazioni degli obblighi previsti. Oltre alle sanzioni amministrative di tipo pecuniario, l’Autorità competente ha la facoltà di applicare misure interdittive, come il divieto temporaneo di ricoprire incarichi dirigenziali all’interno dell’ente per l’amministratore delegato o il rappresentante legale.
