1. Premessa
Come già si è avuto modo di evidenziare su questo portale(1,2), negli ultimi anni il processo di trasformazione digitale ha inciso profondamente sull’organizzazione e sul funzionamento delle imprese. L’adozione di nuove tecnologie, l’affermazione del lavoro da remoto, il ricorso sempre più diffuso a servizi cloud, l’automazione dei processi e l’integrazione di sistemi di intelligenza artificiale nelle attività aziendali hanno modificato il modo in cui le organizzazioni operano e assumono decisioni. Tale evoluzione è stata ulteriormente accelerata dalla pandemia da Covid-19, che ha reso indispensabile il ricorso a strumenti digitali per garantire la continuità delle attività produttive e lavorative, contribuendo, al contempo, ad ampliare le vulnerabilità e i rischi connessi all’utilizzo delle tecnologie informatiche.
La cybersicurezza, dunque, è divenuta una questione strategica trasversale che coinvolge l’intera organizzazione aziendale e richiede un approccio multidisciplinare e sinergico: la sua gestione non è più rimessa esclusivamente alle funzioni IT, ma presuppone il coordinamento di competenze diverse, che coinvolgono, tra le altre, le funzioni legali, il risk management, la compliance, la protezione dei dati personali e gli organi di amministrazione.
In altri termini, la sicurezza informatica si configura come un elemento imprescindibile della governance societaria, incidendo direttamente sulla capacità dell’impresa di prevenire, gestire e mitigare i rischi derivanti dalle minacce cibernetiche.
2. Le criticità della Direttiva NIS del 2016
L’entrata in vigore della Direttiva NIS 2 (UE 2022/2555), recepita in Italia con il d.lgs. 4 settembre 2024, n. 138, ha condotto al significativo mutamento di paradigma sopra descritto; la direttiva introduce, infatti, un modello di governance fondato sulla responsabilità della gestione del rischio informatico ai vertici decisionali degli enti, chiamati a svolgere un ruolo attivo nella definizione, nell’approvazione e nella supervisione delle relative misure di gestione.
L’intervento del legislatore europeo si pone l’obiettivo di superare le principali criticità emerse nell’applicazione della precedente Direttiva NIS (UE 2016/1148), riconducibili a tre profili.
In primo luogo, la definizione dell’ambito soggettivo di applicazione risultava frammentata: la disciplina previgente riconosceva agli Stati membri un ampio margine di discrezionalità nell’individuazione dei soggetti destinatari degli obblighi previsti dalla direttiva, con il conseguente rischio di soluzioni applicative non uniformi all’interno dell’Unione Europea.
L’art. 5, par. 1, disponeva, infatti, che “gli Stati membri identificano, per ciascun settore e sottosettore di cui all’allegato II, gli operatori di servizi essenziali con una sede nel loro territorio”. I soggetti così individuati erano tenuti all’adozione di “misure tecniche e organizzative adeguate e proporzionate alla gestione dei rischi posti alla sicurezza delle reti e dei sistemi informativi utilizzati nelle loro operazioni” (art. 14, par. 1), nonché a notificare “senza indebito ritardo all’autorità competente o al CSIRT (Computer Security Incident Response Team) gli incidenti aventi un impatto rilevante sulla continuità dei servizi essenziali prestati” (art. 14, par. 3). L’art. 16 estendeva analoghi obblighi anche ai fornitori di servizi digitali di particolare rilievo, quali motori di ricerca, servizi di cloud computing e piattaforme di e-commerce.
La platea dei destinatari, in secondo luogo, risultava particolarmente circoscritta, essendo limitata ai settori sanitario, bancario, dell’energia, dei trasporti, dei mercati finanziari, dell’acqua potabile e delle infrastrutture digitali.
La disciplina previgente, infine, si caratterizzava per una formulazione particolarmente generica degli obblighi previsti, limitandosi a prescrivere l’adozione di misure di sicurezza “adeguate” e degli obblighi di notifica degli incidenti, senza alcun esplicito coinvolgimento degli organi di amministrazione nella governance del rischio cibernetico.
3. I destinatari della Direttiva NIS 2 del 2022
La Direttiva NIS 2 supera tale impostazione prevedendo, anzitutto, un allargamento dei settori di attività dei soggetti destinatari (che passano da sette a diciotto); vi è, inoltre, l’individuazione diretta dei soggetti destinatari della disciplina, senza demandarne l’identificazione agli Stati membri. Si distinguono, in particolare, i soggetti “essenziali” e i soggetti “importanti” (art. 3), classificazione che si fonda principalmente sul settore di attività in cui l’ente opera, distinguendo, rispettivamente, tra “settori altamente critici” (allegato I: trasporti; settore bancario; infrastrutture dei mercati finanziari; settore sanitario; acqua potabile; acque reflue; infrastrutture digitali; gestione dei servizi TIC; pubblica amministrazione e spazio) e “altri settori critici” (allegato II: servizi postali e di corriere; gestione dei rifiuti; fabbricazione, produzione e distribuzione di sostanze chimiche; produzione, trasformazione e distribuzione di alimenti; fabbricazione di dispositivi medici, apparecchiature elettroniche, di apparecchiature n.c.a. e di altri mezzi di trasporto). Tale criterio consente di individuare con maggiore certezza i soggetti rientranti nell’ambito di applicazione della direttiva.
Accanto al settore di attività, la direttiva adotta un criterio dimensionale, in virtù del quale la disciplina si applica, in linea generale, alle medie e grandi imprese, mentre le micro e piccole imprese ne restano escluse, salvo le specifiche eccezioni previste dalla direttiva stessa.
La determinazione della dimensione dell’impresa non avviene, tuttavia, considerando esclusivamente il singolo soggetto giuridico: l’art. 3 della direttiva rinvia ai criteri stabiliti dalla Raccomandazione 2003/361/CE della Commissione, secondo cui, ai fini della classificazione dimensionale, devono essere presi in considerazione anche i rapporti di associazione e di collegamento tra imprese. Tale criterio risponde all’esigenza di evitare fenomeni di frammentazione societaria meramente finalizzati a eludere l’applicazione della disciplina attraverso la costituzione di una pluralità di società formalmente autonome ma sostanzialmente riconducibili al medesimo centro decisionale. L’applicazione di tali criteri potrebbe, tuttavia, determinare l’assoggettamento alla disciplina della NIS 2 di imprese di piccole dimensioni esclusivamente in ragione della loro appartenenza a un gruppo societario. Per tale motivo, l’art. 3, comma 4, del d.lgs. 138/2024 introduce una clausola di salvaguardia ispirata al principio di proporzionalità: le micro e piccole imprese che risultino collegate a imprese di maggiori dimensioni potranno dimostrare, nell’ambito della procedura di registrazione, la propria autonomia organizzativa e funzionale rispetto al gruppo con riferimento alla gestione delle reti e dei sistemi informativi e delle relative misure di cybersicurezza. L’impresa deve dimostrare, nello specifico, di non condividere con il gruppo le funzioni essenziali di governo della sicurezza informatica, né di dipendere da quest’ultimo per le decisioni concernenti la protezione delle proprie reti e dei propri sistemi informativi.
L’eventuale esclusione dall’ambito di applicazione della disciplina della NIS 2 non opera automaticamente, ma è subordinata alla valutazione dell’Agenzia per la Cybersicurezza Nazionale (ACN), cui compete verificare la sussistenza dei presupposti previsti dalla normativa.
Infine, sempre l’art. 3, commi 6-10, individua una serie di soggetti a cui si applica la direttiva indipendentemente dalle dimensioni.
4. Gli obblighi derivanti dalla Direttiva NIS 2
La direttiva impone ai soggetti essenziali e importanti l’adozione di misure tecniche, operative e organizzative adeguate e proporzionate – basate su un approccio multirischio – dirette a garantire un’efficace gestione dei rischi cui sono esposte le reti e i sistemi informativi impiegati nello svolgimento delle rispettive attività o nell’erogazione dei servizi, nonché a prevenire o, quantomeno, a ridurre al minimo le conseguenze derivanti da eventuali incidenti, sia nei confronti dei destinatari dei servizi sia rispetto alla continuità degli altri servizi interessati (art. 21).
Assume particolare rilievo il sistema di notifica dei c.d. incidenti significativi, volto a garantire una tempestiva condivisione delle informazioni con le autorità competenti e a rafforzare la capacità di risposta agli eventi suscettibili di compromettere la continuità dei servizi essenziali o importanti (art. 23).
Un incidente è considerato significativo se ha causato o è in grado di causare una grave perturbazione operativa dei servizi o perdite finanziarie per il soggetto interessato ovvero se si è ripercosso o è in grado di ripercuotersi su altre persone fisiche o giuridiche causando perdite materiali o immateriali considerevoli.
I soggetti destinatari sono tenuti a notificare, senza indebito ritardo, al CSIRT competente o, ove previsto, all’autorità nazionale competente.
Le fasi della procedura di notifica sono scandite in modo puntuale:
- entro 24 ore dal momento in cui il soggetto viene a conoscenza dell’incidente deve essere trasmesso un preallarme, contenente le prime informazioni disponibili e l’eventuale indicazione della possibile origine dolosa dell’evento o del suo carattere transfrontaliero (c.d. early warning);
- entro le successive 72 ore deve essere inviata una notifica completa, comprensiva di una valutazione preliminare della natura, della gravità e dell’impatto dell’incidente, nonché degli eventuali indicatori di compromissione disponibili; qualora l’incidente sia ancora in corso, il CSIRT o l’autorità competente possono richiedere relazioni intermedie sullo stato della gestione dell’evento;
- entro un mese dalla notifica iniziale deve essere trasmessa una relazione finale nella quale devono essere illustrate le cause dell’incidente, il suo impatto effettivo, le misure di mitigazione adottate e gli eventuali effetti transfrontalieri; nel caso in cui l’incidente non sia ancora risolto allo scadere di tale termine, il soggetto interessato trasmette una relazione sullo stato di avanzamento e, una volta conclusa la gestione dell’evento, una relazione finale entro il mese successivo.
Sono imposti, inoltre, specifici obblighi informativi nei confronti dei destinatari dei servizi qualora l’incidente o una minaccia informatica significativa possano incidere sulla loro posizione, prevedendo che essi siano tempestivamente informati delle misure di mitigazione eventualmente adottabili.
5. La centralità della sicurezza della supply chain
Una delle innovazioni più significative introdotte dalla Direttiva NIS 2 riguarda il riconoscimento della sicurezza della catena di approvvigionamento (supply chain security) quale componente essenziale della gestione del rischio di cybersicurezza. Si prende atto della circostanza per cui la sicurezza di un’organizzazione non dipende esclusivamente dalle misure adottate al proprio interno, ma è strettamente connessa anche al livello di sicurezza dei soggetti con cui essa intrattiene rapporti commerciali e operativi.
Il menzionato art. 21 impone ai soggetti essenziali e importanti di includere, nell’ambito delle proprie misure di gestione del rischio di cybersicurezza, anche la sicurezza della catena di approvvigionamento e dei rapporti con i fornitori. Ciò comporta che la valutazione del rischio non debba limitarsi alle caratteristiche tecniche dei prodotti e dei servizi acquisiti, ma debba estendersi anche alle pratiche di sicurezza, ai processi di sviluppo sicuro e, più in generale, alle misure di gestione del rischio adottate dai fornitori e dai prestatori di servizi coinvolti, che devono rispettare standard organizzativi coerenti con gli obblighi imposti dalla disciplina NIS 2.
L’esperienza maturata negli ultimi anni ha evidenziato come un numero crescente di attacchi informatici venga condotto attraverso i fornitori di beni e servizi ICT, sfruttando le vulnerabilità di soggetti che, operando contemporaneamente per una pluralità di clienti, rappresentano un punto di accesso privilegiato verso un numero elevato di organizzazioni.
Muovendo da tale consapevolezza, l’art. 24 d.lgs. 138/2024, in attuazione dell’art. 21 Direttiva NIS 2, include espressamente la sicurezza della supply chain tra le misure obbligatorie di gestione del rischio.
L’adempimento di tali obblighi richiede un approccio strutturato e continuativo alla gestione della supply chain.
In primo luogo, risulta necessario procedere alla mappatura e alla classificazione dei fornitori in funzione della criticità dei servizi prestati e del livello di accesso ai sistemi informativi dell’organizzazione.
A tale attività deve affiancarsi un processo periodico di vendor risk assessment, volto a verificare il permanere dei requisiti di sicurezza mediante attività di due diligence, richieste documentali, questionari di autovalutazione, analisi delle certificazioni possedute e, ove opportuno, verifiche ispettive.
Sul piano contrattuale, la gestione del rischio si traduce nell’introduzione di specifiche clausole volte a disciplinare gli obblighi di sicurezza del fornitore lungo l’intero ciclo di vita del rapporto, prevedendo, oltre ai requisiti minimi di cybersicurezza, quali quelli di tempestiva notifica degli incidenti, procedure di gestione degli incidenti, obblighi di cooperazione con il soggetto NIS 2, diritti di verifica e audit, misure per la restituzione o portabilità dei dati al termine del rapporto e meccanismi idonei ad assicurare che analoghi obblighi siano rispettati anche dai subfornitori.
La conformità alla disciplina, infine, non può esaurirsi nella fase di selezione del contraente, ma richiede un monitoraggio costante del rapporto contrattuale, accompagnato da programmi di formazione e sensibilizzazione del management e del personale coinvolto nella gestione dei fornitori. L’obiettivo perseguito dal legislatore europeo è, infatti, quello di garantire un controllo continuativo del rischio lungo l’intera catena di approvvigionamento, secondo un approccio improntato al principio di proporzionalità, che impone di modulare l’intensità delle verifiche in funzione della criticità del fornitore e dell’impatto che un’eventuale compromissione potrebbe produrre sull’organizzazione. Tale impostazione risponde alla consapevolezza che le conseguenze di un incidente originato nella supply chain trascendono il mero profilo sanzionatorio, potendo incidere in misura significativa sulla continuità operativa, sulla reputazione e sulla solidità economica dell’impresa.
6. Conclusioni
Le misure contrattuali sopra richiamate rappresentano strumenti essenziali per dare concreta attuazione agli obblighi di gestione del rischio imposti dalla direttiva NIS 2. L’inserimento di specifiche clausole di cybersicurezza nei rapporti con i fornitori, tuttavia, non esaurisce gli adempimenti richiesti ai soggetti essenziali e importanti, ma deve essere accompagnato da un’attività continuativa di monitoraggio, verifica e aggiornamento delle misure di sicurezza lungo l’intera catena di approvvigionamento.
In tale contesto può assumere rilievo anche il ricorso a strumenti di cyber insurance, destinati a trasferire parte delle conseguenze economiche derivanti da un incidente informatico. Le coperture assicurative possono riguardare tanto i danni direttamente subiti dall’organizzazione, quali i costi di ripristino dei sistemi, le attività di digital forensics, le perdite derivanti dall’interruzione dell’attività e le spese di gestione della crisi, quanto le responsabilità nei confronti di terzi, comprese le spese legali, gli eventuali risarcimenti e, nei limiti consentiti dall’ordinamento, alcune conseguenze sanzionatorie. La polizza assicurativa, tuttavia, costituisce esclusivamente uno strumento di mitigazione del rischio residuo e non può in alcun modo sostituire l’adozione delle misure tecniche, organizzative e contrattuali richieste dalla normativa.
La disciplina della supply chain introdotta dalla Direttiva NIS 2 testimonia, più in generale, un significativo mutamento di paradigma nella regolazione della cybersicurezza. La resilienza informatica non è più concepita come una caratteristica esclusiva del singolo soggetto obbligato, bensì come il risultato della sicurezza dell’intero ecosistema digitale nel quale esso opera. Ne consegue che anche la conformità normativa non può essere limitata ai confini dell’organizzazione, ma deve necessariamente estendersi ai rapporti con fornitori, prestatori di servizi e subfornitori, secondo una logica di responsabilità condivisa e di gestione integrata del rischio.
Nella medesima prospettiva devono essere lette anche le disposizioni della direttiva in materia di notifica degli incidenti.
La previsione di termini particolarmente stringenti per la comunicazione degli eventi significativi costituisce una delle principali innovazioni della NIS 2 e riflette la volontà del legislatore europeo di privilegiare un modello di prevenzione e di resilienza fondato sulla tempestiva circolazione delle informazioni, sulla cooperazione tra operatori e autorità competenti e sulla gestione coordinata del rischio cibernetico, piuttosto che su un approccio meramente repressivo o sanzionatorio.
La NIS 2, in conclusione, non introduce soltanto nuovi obblighi di sicurezza, ma promuove una diversa concezione della governance del rischio informatico, nella quale la cybersicurezza assume la natura di funzione strategica dell’organizzazione e di presupposto essenziale per garantire la continuità operativa, la tutela degli utenti e la stabilità del mercato digitale europeo.