Giovedì, 27 Febbraio 2025

OBBLIGO DI REGISTRAZIONE ENTRO IL 28 FEBBRAIO SULLA PIATTAFORMA DIGITALE DELL'ACN

Proprio in questi giorni i media danno ampio risalto agli attacchi di un gruppo hacker filorusso contro i siti di aziende e amministrazioni pubbliche.

Guarda caso, entro domani, il 28 febbraio 2025 (nonché di tutti gli anni successivi), una vasta gamma di soggetti devono completare la registrazione sulla piattaforma digitale (https://portale.acn.gov.it/registration/new) dell’Agenzia per la cybersicurezza nazionale (ACN), in adempimento dell’obbligo introdotto dal Dlgs 138/2024 (di seguito, «decreto cybersicurezza»).

Non è questa la sede per commentare l’articolato provvedimento, per cui ci limitiamo a fornire solo alcune indicazioni, scusandoci per la sommaria e superficiale informativa.

L’obbligo nasce dal recepimento della direttiva UE sulla sicurezza delle reti e dei sistemi informativi, Network and information security directive 2 (Nis2).

Il «decreto cybersicurezza») si rivolge, tra gli altri:

•  ai soggetti pubblici e privati delle tipologie di cui agli allegati I, II, III e IV al medesimo decreto;

• ai «soggetti critici», pubblici e privati, indipendentemente dalle loro dimensioni, definiti ai sensi dell’allegato A al D.Lgs n. 134/2024, come tali individuati dalle autorità settoriali competenti (ASC);

• ai fornitori di reti pubbliche di comunicazione elettronica o di servizi di comunicazione elettronica accessibili al pubblico;  

• ai prestatori di servizi fiduciari;

• ai gestori di registri dei nomi di dominio di primo livello e fornitori di servizi di sistema dei nomi di dominio e ai fornitori di servizi di registrazione dei nomi di dominio.

Il «decreto cybersicurezza» contempla anche le seguenti due ulteriori categorie di soggetti (sui quali incombono i maggiori obblighi) che si sovrappongono parzialmente a quelli delle categorie sopra elencate:  

• soggetti «essenziali»;

• soggetti «importanti».

Sono tali i soggetti contenuti nell’elenco formato, entro il 31 marzo di ogni anno, dall’autorità nazionale competente (NIS), proprio sulla base della sopra menzionata registrazione sulla piattaforma digitale dell’Agenzia per la cybersicurezza nazionale, da completarsi entro il 28 febbraio.

Gli allegati I e II descrivono i settori ritenuti, rispettivamente, «altamente critici» e «critici»; gli allegati III e IV descrivono, rispettivamente, le categorie di pubbliche amministrazioni e le ulteriori tipologie di soggetti a quali si applica il decreto.

Con riguardo ai soggetti di cui agli allegati I (Settori ad altra criticità) e II (Altri settori critici), va sottolineato il decreto «decreto cybersicurezza», si applica solo se risultano superati i massimali per le piccole imprese, ai sensi dell'articolo 2, paragrafo 2, dell'allegato alla raccomandazione 2003/361/CE.

Nell’ambito della categoria delle PMI, si definisce piccola impresa l’impresa che:

• ha meno di 50 occupati, e

• ha un fatturato annuo oppure un totale di bilancio annuo non superiore a 10 milioni di euro.

L’obbligo di registrazione è solo il primo di una serie di altri, ben più invasivi, quali, ad esempio, la redazione del “Modello organizzativo di gestione della cybersecurity”, la nomina di un responsabile per la sicurezza informatica e di formazione dei dipendenti.

Non mancano le solite sanzioni sproporzionate che colpiscono le vittime in modo molto più pesante degli hackers.

La presente non costituisce servizio di consulenza e non può essere impegnativa e fonte di responsabilità per il suo autore o per lo Studio Andreetta & associati