NIS 2 FAQ

I principali obblighi previsti dal decreto riguardano:

• • la registrazione e l’aggiornamento delle informazioni (articolo 7);
  • gli organi di amministrazione e direttivi (articolo 23);
  • gli obblighi in materia di misure di sicurezza informatica (articolo 24);
  • gli obblighi in materia di notifica di incidente (articolo 25);
  • per alcune tipologie di soggetti, gli obblighi in materia di banca dei dati di registrazione dei nomi di dominio (articolo 29);
  • la categorizzazione delle attività e dei servizi (articolo 30).

Il termine per l’adempimento degli obblighi di base di cui all’articolo 25 del decreto, che saranno disciplinati con una determinazione di ACN da adottare entro aprile 2025, decorre trascorsi nove mesi dalla ricezione della comunicazione (v. FAQ 3.3) di inserimento nell’elenco dei soggetti essenziali o importanti che sarà inviata da ACN.

Con riferimento ai citati obblighi, entrando più nel dettaglio:

• • Registrazione e aggiornamento dati (articolo 7)
    I soggetti che si riconoscono in uno dei settori/sottosettori/tipologie previsti dalla nuova normativa NIS (v. FAQ 2.1) dovranno registrarsi su una piattaforma messa a disposizione dall’ACN e comunicare una serie di informazioni tra le quali, ad esempio, la ragione sociale, l’indirizzo e i recapiti aggiornati, la designazione di un punto di contatto indicando il suo ruolo/qualifica presso il soggetto. Ove possibile, i soggetti dovranno anche selezionare uno o più settori/sottosettori in cui operano, tra quelli previsti dagli allegati I, II e III, e la relativa tipologia di soggetto in cui si identificano tra quelle previste dagli allegati I, II, III e IV.
    I dati raccolti saranno impiegati per costituire l’elenco dei soggetti NIS, entro il 31 marzo 2025 (v. FAQ 3.3), anche al fine di fornire le relative statistiche alla Commissione UE ad aprile 2025.
  • Organi di amministrazione e direttivi (articolo 23)
    Sono individuate precise responsabilità in capo agli organi di amministrazione del soggetto, i quali approvano e sovraintendono all’implementazione delle misure oltre a essere responsabili delle eventuali violazioni.Obblighi in materia di misure di sicurezza informatica (articolo 24)
    I soggetti essenziali e i soggetti importanti adottano misure tecniche, operative e organizzative adeguate e proporzionate alla gestione dei rischi posti alla sicurezza dei sistemi informativi e di rete che tali soggetti utilizzano nelle loro attività o nella fornitura dei loro servizi, nonché per prevenire o ridurre al minimo l’impatto degli incidenti. Tali misure sono basate su un approccio multi-rischio, volto a proteggere i sistemi informativi e di rete nonché il loro ambiente fisico da incidenti, e comprendono almeno i seguenti elementi:
    • politiche di analisi dei rischi e di sicurezza dei sistemi informativi e di rete;
    • gestione degli incidenti, ivi incluse le procedure e gli strumenti per eseguire le notifiche;
    • continuità operativa, ivi inclusa la gestione di backup, il ripristino in caso di disastro, ove possibile, e la gestione delle crisi;
    • sicurezza della catena di approvvigionamento, ivi compresi gli aspetti relativi alla sicurezza riguardanti i rapporti tra ciascun soggetto e i suoi diretti fornitori o fornitori di servizi;
    • sicurezza dell’acquisizione, dello sviluppo e della manutenzione dei sistemi informativi e di rete, ivi comprese la gestione e la divulgazione delle vulnerabilità;
    • politiche e procedure per valutare l’efficacia delle misure di gestione dei rischi per la sicurezza informatica;
    • pratiche di igiene di base e di formazione in materia di sicurezza informatica;
    • politiche e procedure relative all’uso della crittografia e, ove opportuno, della cifratura;
    • sicurezza e affidabilità del personale, politiche di controllo dell’accesso e gestione dei beni e degli assetti;
    • uso di soluzioni di autenticazione a più fattori o di autenticazione continua, di comunicazioni vocali, video e testuali protette, e di sistemi di comunicazione di emergenza protetti da parte del soggetto al proprio interno, ove opportuno.
  • Obblighi in materia di notifica di incidente (articolo 25)
    I soggetti essenziali e i soggetti importanti devono notificare, senza ingiustificato ritardo, al CSIRT Italia: ogni incidente che ha un impatto significativo sulla fornitura dei loro servizi.
    Ai fini della notifica, i soggetti interessati trasmettono al CSIRT Italia:
    • senza ingiustificato ritardo, e comunque entro 24 ore da quando sono venuti a conoscenza dell’incidente significativo, una pre-notifica che, ove possibile, indichi se l’incidente significativo possa ritenersi il risultato di atti illegittimi o malevoli oppure possa avere un impatto transfrontaliero;
    • senza ingiustificato ritardo, e comunque entro 72 ore (24 ore nel caso di un prestatore di servizi fiduciari) da quando sono venuti a conoscenza dell’incidente significativo, una notifica dell’incidente che, ove possibile, aggiorni le informazioni già trasmesse nella pre-notifica e indichi una valutazione iniziale dell’incidente significativo, comprensiva della sua gravità e del suo impatto, nonché, ove disponibili, gli indicatori di compromissione;
    • una relazione finale entro un mese dalla trasmissione della notifica di incidente.
  • Banca dei dati di registrazione di nomi di dominio (articolo 29)
    I gestori di registri dei nomi di dominio di primo livello e i fornitori di servizi di registrazione dei nomi di dominio raccolgono e mantengono dati di registrazione dei nomi di dominio accurati e completi in un’apposita banca dati con la dovuta diligenza, conformemente al diritto dell’Unione europea in materia di protezione dei dati personali.