Il conto alla rovescia è iniziato! Le aziende dovranno presto fare i conti con l’entrata in vigore della direttiva NIS 2. Entro il 18 ottobre 2024, le disposizioni dell’UE dovrebbero essere recepite nelle legislazioni nazionali degli Stati membri. Una cosa è già certa: gli obblighi relativi all’attuazione delle misure di sicurezza informatica e alla segnalazione degli attacchi informatici saranno estesi a un numero nettamente maggiore di aziende in diversi settori.
Quasi 30.000 aziende devono adottare misure aggiuntive
Solo in Germania, il Ministero federale dell’Interno, competente in materia, stima che circa 29.500 imprese saranno tenute ad attuare misure di sicurezza informatica. Finora tali misure erano limitate ai gestori di infrastrutture critiche, ai fornitori di servizi digitali e alle imprese di particolare interesse pubblico.
Il motivo di questa significativa estensione è l’introduzione delle categorie “entità importanti” (important entities) e “entità essenziali” (essential entities) nella legge sull’attuazione della direttiva NIS 2 e sul rafforzamento della sicurezza informatica (NIS2UmsuCG). La legge, tuttavia, non è ancora stata emanata.
Per le imprese del settore economico si tratta di un’attuazione integrale della direttiva NIS 2. Ciò significa che la legge NIS2UmsuCG non va oltre i requisiti previsti dal diritto europeo.
Secondo l’Ufficio federale per la sicurezza, la valutazione dell’impatto della direttiva NIS 2 è lo strumento fondamentale per verificare se un’azienda rientrerà presumibilmente nell’ambito di applicazione dell’attuazione nazionale della direttiva NIS 2 in Germania.
Strutture particolarmente importanti e strutture importanti
Basta dare un’occhiata al disegno di legge per capire quali imprese saranno soggette alla normativa NIS-2. L’identificazione delle imprese interessate come „entità di particolare importanza” o „entità importanti” avverrà presumibilmente sulla base di indicatori e soglie relativi al fatturato annuo o al numero di dipendenti.
Ai sensi dell’articolo 28, paragrafo 1, della legge NIS2UmsuCG, sono considerate infrastrutture di importanza particolare:
- Operatori di sistemi critici,
- fornitori di servizi fiduciari qualificati, registri di nomi di dominio di primo livello o fornitori di servizi DNS,
- Fornitori di servizi di telecomunicazione accessibili al pubblico o gestori di reti pubbliche di telecomunicazione che impiegano almeno 50 dipendenti oppure che registrano un fatturato annuo e un totale di bilancio annuo entrambi superiori a 10 milioni di euro,
- altre persone fisiche o giuridiche, oppure unità organizzative senza personalità giuridica di un ente locale, che offrono a titolo oneroso beni o servizi ad altre persone fisiche o giuridiche, che rientrino in una delle tipologie di struttura definite nell’Allegato 1 e che impieghino almeno 250 dipendenti oppure presentino un fatturato annuo superiore a 50 milioni di euro e, inoltre, un totale di bilancio annuo superiore a 43 milioni di euro.
Ai sensi dell’articolo 28, comma 2, della legge NIS2UmsuCG, sono considerate infrastrutture critiche
- Fornitore di servizi fiduciari,
- Fornitori di servizi di telecomunicazione accessibili al pubblico o gestori di reti pubbliche di telecomunicazioni che impiegano meno di 50 dipendenti e registrano un fatturato annuo e un totale di bilancio annuo pari o inferiori a 10 milioni di euro ciascuno,
- persone fisiche o giuridiche, oppure unità organizzative senza personalità giuridica di un ente territoriale, che offrono a titolo oneroso a altre persone fisiche o giuridiche beni o servizi riconducibili a una delle tipologie di struttura definite negli allegati 1 e 2 e che impiegano almeno 50 dipendenti oppure registrano un fatturato annuo e un totale di bilancio annuo entrambi superiori a 10 milioni di euro.
Suggerimento di lettura: Approvato il regolamento sui cookie banner: Cosa c'è di nuovo ora!
Classificazione delle aziende in base a determinati tipi di organizzazione
Il § 28, comma 1, n. 4, e il § 28, comma 2, n. 3, della NIS2UmsuCG fanno inoltre riferimento alla classificazione in determinate tipologie di strutture.
Tra le strutture particolarmente importanti („essenziali“) figurano le imprese che rivestono un ruolo fondamentale per la collettività. Il loro malfunzionamento avrebbe gravi conseguenze. La direttiva NIS-2 individua concretamente undici settori:
- Energia (elettricità, teleriscaldamento, petrolio, gas naturale, idrogeno)
- Trasporti (trasporto aereo, ferroviario, marittimo, stradale)
- Settore bancario
- Mercati finanziari
- Salute (compresi i fornitori di servizi sanitari, la ricerca medica, l'industria farmaceutica e le apparecchiature mediche)
- Acqua potabile (approvvigionamento idrico)
- Acque reflue (smaltimento delle acque reflue)
- Amministrazioni pubbliche
- Infrastruttura digitale (nodo Internet), Nuvola fornitori, centri dati, comunicazione elettronica)
- Gestione dei servizi ICT (B2B) (fornitori di servizi gestiti, fornitori di servizi di sicurezza gestiti)
- Spazio
Tra i settori importanti („important“) figurano i seguenti sette:
- Servizi postali e di corriere
- Rifiuti
- Cibo
- Prodotti chimici
- Servizi digitali (motori di ricerca, piattaforme di vendita online, Nuvola-Servizi, sociali Reti),
- Industria (tra cui ingegneria meccanica, costruzione di veicoli, apparecchiature per l'elaborazione dei dati)
- Ricerca
Se le dimensioni dell’impresa e il tipo di struttura coincidono, si applica la direttiva NIS 2. Se un’impresa svolge un’attività critica e un’interruzione di tale attività rischia di avere ripercussioni sull’ordine pubblico, essa può rientrare nell’ambito di applicazione della direttiva NIS 2 anche se non raggiunge le dimensioni previste.
Obbligo di notifica per le imprese soggette alla normativa NIS 2
L’obiettivo della direttiva NIS 2 è l’introduzione di misure vincolanti per la pubblica amministrazione e il settore privato, volte a garantire un elevato livello comune di sicurezza informatica in tutta l’Unione europea. Le infrastrutture critiche e di particolare importanza devono essere protette dai danni causati dagli attacchi informatici e occorre migliorare il funzionamento del mercato unico europeo. Come mostra l’elenco sopra riportato, ciò comporta un significativo ampliamento del campo di applicazione.
Per alcune delle aziende interessate è previsto l'obbligo di dimostrare la Sicurezza informatica . Le imprese soggette alla normativa NIS 2 saranno inoltre tenute a segnalare gli incidenti di sicurezza informatica all’Ufficio federale per la sicurezza.
German 
English 
Italian 
French