Direttiva 2022/2555

Direttiva (UE) 2022/2555 – NIS 2

La direttiva istituisce un quadro unionale più uniforme e più stringente in materia di cibersicurezza, con l’obiettivo di innalzare il livello comune di protezione nel mercato interno. Il legislatore europeo prende atto delle profonde divergenze applicative della direttiva NIS 1 e interviene ampliando l’ambito soggettivo e settoriale, rafforzando gli obblighi di gestione del rischio, la segnalazione degli incidenti e i poteri di vigilanza.

Finalità e impostazione generale

La direttiva si fonda sull’articolo 114 TFUE e mira a ridurre la frammentazione normativa tra Stati membri. L’approccio scelto è quello di norme minime di armonizzazione, con margini nazionali residui in tema di organizzazione amministrativa, estensioni opzionali dell’ambito di applicazione e, in casi limitati, misure più rigorose compatibili con il diritto dell’Unione.

Ambito di applicazione e soggetti interessati

L’ambito riguarda in via generale i soggetti pubblici e privati degli allegati I e II che siano medie imprese o superino le relative soglie dimensionali. Restano tuttavia inclusi anche soggetti rilevanti a prescindere dalla dimensione, in ragione della loro criticità sistemica o funzionale: in particolare fornitori di reti e servizi di comunicazione elettronica accessibili al pubblico, prestatori di servizi fiduciari qualificati, registri TLD, fornitori DNS, soggetti critici ai sensi della direttiva (UE) 2022/2557 e fornitori di servizi di registrazione dei nomi di dominio.

Gli Stati membri possono estendere l’applicazione a enti locali e istituti di istruzione, in particolare se svolgono attività di ricerca critiche. Sono invece escluse, in linea generale, le attività connesse a sicurezza nazionale, difesa, pubblica sicurezza e contrasto, con precisazioni importanti per i prestatori di servizi fiduciari, per i quali l’esclusione non opera. La direttiva lascia inoltre impregiudicati GDPR, direttiva ePrivacy, direttiva sui cyberattacchi e direttiva sulla resilienza dei soggetti critici.

Classificazione in soggetti essenziali e importanti

La direttiva distingue tra "soggetti essenziali" e "soggetti importanti", criterio che incide direttamente sul regime di vigilanza e di enforcement. Sono essenziali, tra gli altri, i grandi soggetti degli allegati I, i prestatori di servizi fiduciari qualificati, i registri TLD, i fornitori DNS, i fornitori di reti pubbliche di comunicazione elettronica o servizi di comunicazione elettronica accessibili al pubblico che siano medie imprese, gli enti della pubblica amministrazione centrale e i soggetti individuati come critici ai sensi della direttiva (UE) 2022/2557.

Gli Stati membri devono predisporre, entro il 17 aprile 2025, un elenco dei soggetti essenziali e importanti e dei soggetti che forniscono servizi di registrazione dei nomi di dominio, con aggiornamento almeno biennale. I soggetti devono comunicare alle autorità competenti i dati identificativi richiesti e notificare le variazioni entro due settimane; le autorità devono poi notificare periodicamente alla Commissione i numeri e le tipologie dei soggetti individuati.

Strategie nazionali, governance e autorità

Ogni Stato membro deve adottare una strategia nazionale per la cibersicurezza, contenente obiettivi, priorità, risorse, governance, valutazione dei rischi, misure per la preparazione e la risposta agli incidenti, elenco dei portatori di interesse e un piano di sensibilizzazione dei cittadini. La strategia deve includere misure su supply chain, procurement, vulnerabilità, supporto alle PMI, ricerca, condivisione delle informazioni e protezione informatica attiva.

La strategia va notificata alla Commissione entro tre mesi dall’adozione e riesaminata almeno ogni cinque anni. Gli Stati membri devono inoltre designare o istituire autorità competenti, un punto di contatto unico e autorità di gestione delle crisi informatiche, assicurando risorse adeguate e coordinamento con le autorità previste da altri atti UE, in particolare direttiva (UE) 2022/2557, regolamento (UE) 2022/2554 e direttiva (UE) 2018/1972.

CSIRT, rete CSIRT ed EU-CyCLONe

Ogni Stato membro deve designare o istituire uno o più CSIRT, dotati di risorse, infrastrutture sicure e capacità tecniche adeguate. I CSIRT monitorano minacce, vulnerabilità e incidenti, emettono preallarmi e bollettini, forniscono supporto agli operatori, effettuano scansioni proattive su richiesta e cooperano nella rete di CSIRT. Devono anche poter fungere da coordinatori della divulgazione coordinata delle vulnerabilità.

A livello unionale opera la rete dei CSIRT e la rete EU-CyCLONe, quest’ultima dedicata alla gestione coordinata degli incidenti e delle crisi di cibersicurezza su vasta scala. EU-CyCLONe coordina la conoscenza situazionale, valuta impatti e misure di mitigazione e sostiene il processo decisionale politico. Entrambe le reti sono supportate da ENISA.

Gestione delle vulnerabilità e banca dati europea

La direttiva attribuisce forte rilievo alla gestione delle vulnerabilità. Ogni Stato membro deve designare un CSIRT coordinatore per la divulgazione coordinata delle vulnerabilità, consentendo anche segnalazioni anonime su richiesta del segnalante. ENISA deve creare e mantenere una banca dati europea delle vulnerabilità, accessibile a soggetti, autorità e CSIRT, contenente descrizione della vulnerabilità, prodotti o servizi interessati, gravità e patch o indicazioni di mitigazione.

Questa disciplina mira a favorire una divulgazione controllata e tempestiva, riducendo il rischio di sfruttamento delle vulnerabilità e favorendo un approccio cooperativo con i fabbricanti e i fornitori di TIC.

Misure di gestione dei rischi di cibersicurezza

Il cuore sostanziale della direttiva è l’articolo 21, che impone a soggetti essenziali e importanti di adottare misure tecniche, operative e organizzative adeguate e proporzionate per gestire i rischi per la sicurezza dei loro sistemi. Le misure devono essere calibrate sul rischio, sullo stato dell’arte, sulle dimensioni del soggetto, sull’esposizione e sull’impatto potenziale.

Tra gli elementi minimi figurano:

• politiche di analisi dei rischi e di sicurezza dei sistemi;
• gestione degli incidenti;
• continuità operativa e disaster recovery;
• sicurezza della catena di approvvigionamento;
• sicurezza nello sviluppo e nella manutenzione, inclusa la gestione delle vulnerabilità;
• procedure di valutazione dell’efficacia;
• igiene informatica e formazione;
• crittografia;
• sicurezza delle risorse umane e controllo degli accessi;
• autenticazione forte o continua e comunicazioni protette.

I soggetti devono inoltre considerare le vulnerabilità dei fornitori diretti e la qualità complessiva delle loro pratiche di cibersicurezza, nonché i risultati delle valutazioni coordinate delle catene di approvvigionamento critiche.

Obblighi di segnalazione degli incidenti

La disciplina di notifica è molto articolata. Un incidente è "significativo" se ha causato o può causare grave perturbazione operativa o perdite finanziarie, oppure danni considerevoli a terzi. In tali casi, il soggetto deve notificare senza indebito ritardo al proprio CSIRT o, in alternativa, all’autorità competente.

La sequenza ordinaria è la seguente:

• preallarme entro 24 ore dalla conoscenza dell’incidente significativo;
• notifica dettagliata entro 72 ore;
• relazione intermedia su richiesta;
• relazione finale entro un mese dalla notifica;
• se l’incidente è ancora in corso, relazione sui progressi e relazione finale entro un mese dalla chiusura.

Per i prestatori di servizi fiduciari, il termine per la notifica iniziale è più stringente: 24 ore. La direttiva prevede anche l’obbligo, se opportuno, di informare i destinatari dei servizi circa minacce informatiche significative e le contromisure adottabili.

Condivisione delle informazioni e notifiche volontarie

La direttiva incoraggia la condivisione volontaria di informazioni tra soggetti, anche al di fuori dell’ambito di applicazione, mediante accordi dedicati che tengano conto della riservatezza delle informazioni condivise. Gli Stati membri devono facilitare tali accordi e possono specificarne gli aspetti operativi.

È inoltre prevista la notifica volontaria di incidenti, minacce e quasi incidenti a CSIRT o autorità competenti, senza che ciò aggravi la posizione del notificante. ENISA è chiamata a fornire orientamenti e buone pratiche per favorire l’adozione di tali meccanismi.

Vigilanza ed esecuzione: differenza tra essenziali e importanti

Il regime di vigilanza è graduato. Per i soggetti essenziali si applica una vigilanza completa, ex ante ed ex post; per i soggetti importanti, una vigilanza ex post attivata in presenza di elementi, indizi o informazioni che facciano presumere una violazione.

Le autorità competenti possono effettuare ispezioni in loco, vigilanza a distanza, audit sulla sicurezza, scansioni di sicurezza e richieste di informazioni e documentazione. Possono inoltre adottare misure esecutive progressive: avvertimenti, istruzioni vincolanti, ordini di cessazione della violazione, obbligo di adeguamento, imposizione di misure correttive, pubblicazione della violazione, e, per i soggetti essenziali, in ultima ratio, sospensione temporanea di certificazioni o autorizzazioni e divieto temporaneo per dirigenti.

Le misure devono essere proporzionate, motivate e adottate nel rispetto dei diritti della difesa e del giusto processo. Le pubbliche amministrazioni godono di un trattamento peculiare in funzione dei quadri nazionali di responsabilità e di vigilanza.

Sanzioni amministrative

L’articolo 34 fissa soglie minime armonizzate per le sanzioni pecuniarie in caso di violazione degli articoli 21 e 23:

• per i soggetti essenziali: fino ad almeno 10.000.000 EUR oppure al 2% del fatturato mondiale annuo, se superiore;
• per i soggetti importanti: fino ad almeno 7.000.000 EUR oppure all’1,4% del fatturato mondiale annuo, se superiore.

Gli Stati membri possono prevedere penalità di mora e disciplinare le sanzioni per gli enti pubblici. Se l’ordinamento nazionale non conosce sanzioni amministrative pecuniarie, deve comunque essere garantita un’efficace sanzione pecuniaria tramite autorità giurisdizionali, con effetto equivalente.

Rapporti con GDPR e violazioni di dati personali

La direttiva si coordina strettamente con il regolamento (UE) 2016/679. Quando una violazione degli articoli 21 e 23 può comportare una violazione di dati personali, l’autorità competente deve informare senza ritardo l’autorità di controllo GDPR. Inoltre, se l’autorità GDPR ha già irrogato una sanzione amministrativa per il medesimo comportamento, l’autorità NIS 2 non deve applicare una seconda sanzione pecuniaria per il medesimo fatto, fermo restando il potere di adottare altre misure di esecuzione.

Giurisdizione e soggetti extra-UE

La regola generale è la giurisdizione dello Stato membro di stabilimento. Per i fornitori di reti/servizi di comunicazione elettronica accessibili al pubblico vale il criterio del luogo di prestazione del servizio; per i soggetti digitali elencati dall’articolo 26, paragrafo 1, lettera b), vale lo Stato membro dello stabilimento principale nell’Unione. I soggetti non stabiliti nell’Unione ma attivi nel mercato UE devono designare un rappresentante nell’Unione.

Termini di recepimento, applicazione e abrogazioni

Il termine di recepimento è fissato all’17 ottobre 2024; le disposizioni nazionali devono applicarsi dal 18 ottobre 2024. Dalla stessa data sono abrogati la direttiva (UE) 2016/1148 e, per effetto di coordinamento, sono soppressi gli articoli 19 del regolamento (UE) n. 910/2014 e 40-41 della direttiva (UE) 2018/1972.

Implicazioni pratiche per professionisti e imprese

Per avvocati e commercialisti, la direttiva richiede una verifica immediata di: perimetro soggettivo, classificazione essenziale/importante, governance interna, contratti di supply chain, procedure di incident response, compliance documentale e modelli di segnalazione. Le soglie sanzionatorie, il coordinamento con GDPR e gli obblighi di audit e reporting rendono centrale una mappatura preventiva delle funzioni critiche e una revisione dei contratti con fornitori TIC e servizi di sicurezza gestita.