SONO SANZIONABILI I SOGGETTI NIS DEI SETTORI DIGITALI CHE SI SONO REGISTRATI TARDIVAMENTE DOPO IL 17.01.2025 MA ENTRO IL 28.02.2025? Sembra proprio di no.

Sto esaminando una questione che riguarda il problema della registrazione tardiva dei soggetti NIS relativi alla tipologia dei settori digitali, che avvengono dopo il 17.01.2025, ma entro il termine del 28.02.2025.

Intendo per soggetti NIS relativi alla tipologia dei settori digitali, quelli definiti nell’articolo 42 (con rubrica “Fase di prima applicazione”) comma 1 lett. a) del decreto NIS (d.lgs. 4.09.2024 n. 138), in cui si prevede la registrazione nella piattaforma entro il 17.01.2025 e che sono i seguenti:

• i fornitori di servizi di sistema dei nomi di dominio
• i gestori di registri dei nomi di dominio di primo livello
• i fornitori di servizi di registrazione dei nomi di dominio
• i fornitori di servizi di cloud computing
• fornitori di servizi di data center
• fornitori di reti di distribuzione dei contenuti
• i fornitori di servizi gestiti
• i fornitori di servizi di sicurezza gestiti
• i fornitori di mercati online, di motori di ricerca online e di piattaforme di servizi di social network.

Il problema da affrontare è se il mancato rispetto del termine del 17.01.2025 rientri nella fattispecie sanzionatoria di cui all’art. 38 comma 10, lett. a) del decreto NIS, che prevede quanto segue:

“10. Con le sanzioni amministrative pecuniarie di cui al comma 11 sono punite le seguenti violazioni:

1. a) mancata registrazione, comunicazione o aggiornamento delle informazioni ai sensi dell’articolo 7, commi 1, 3, 4, 5 e 7;.

Il successivo comma 11 prevede la sanzione così determinata:

“11. Le violazioni di cui al comma 10, fermi restando i minimi edittali di cui al comma 9, sono punite per i soggetti privati:

1. a) per i soggetti essenziali, con sanzioni amministrative pecuniarie fino a un massimo dello 0,1% del totale del fatturato annuo su scala mondiale per l’esercizio precedente del soggetto, calcolato secondo le modalità previste della raccomandazione 2003/361/CE;
2. b) per i soggetti importanti, con sanzioni amministrative pecuniarie fino a un massimo dello 0,07% del totale del fatturato annuo su scala mondiale per l’esercizio precedente del soggetto, calcolato secondo le modalità previste della raccomandazione 2003/361/CE;”.
   
   Si noti che la sanzione va da un massimo edittale dello 0,1% o 0,07% del totale del fatturato annuo su scala mondiale, a seconda rispettivamente che il soggetto sia essenziale o importante, con un minimo di un ventesimo o un trentesimo del massimale, perché la norma precisa che restano fermi i minimi edittali dell’art. 38 comma 9, che sono una frazione del massimo edittale, da applicare anche in questo caso.

 

Il comma 11, lett. a) citato punisce la mancata registrazione, ma non la tardiva registrazione che è una situazione diversa. Ora che la mancata registrazione sia una nozione diversa dalla tardiva registrazione appare evidente dal successivo comma 13 dell’art.  38 citato, che così recita:

 

“13. In caso di mancata o tardiva registrazione di cui all’articolo 7, sono comunque contestate tutte le violazioni previste dai commi 8 e 10 del presente articolo, e si applica la sanzione prevista per la violazione più grave aumentata fino al triplo.”

 

Questo comma 13 distingue tra mancata o tardiva registrazione prevedendo che in caso di tardiva registrazione sono contestate tutte le violazioni dell’art. 8 e 10 dell’art. 38, ovviamente se queste violazioni sono effettivamente integrate e in questo caso si applica la sanzione prevista aumentata fino al triplo.

 

Questo comporta che in caso di mancata registrazione si applica la sanzione perché la mancata registrazione è prevista come ipotesi sanzionatoria dal comma 10 lett. a), mentre la tardiva registrazione non è sanzionata nel comma 10 a meno che il ritardo comporti una mancata comunicazione o aggiornamento delle informazioni dell’art. 7 commi 1, 3, 4, 5 e 7.

 

Ora è evidente, che il soggetto NIS del settore digitale che si registra in ritardo dopo il 17.01.2025, ma entro il termine del 28.02.2025, non dà luogo ad alcuna mancata comunicazione all’ACN, perché questa deve provvedere a valutare i dati raccolti nel marzo 2025, sia che si tratti di soggetti NIS tenuti, in base all’art. 42 lett. a) citato a registrarsi entro il 17.01.2025, sia per tutti gli altri che hanno come termine ultimo il 28.02.2025.

Particolare poi importanza riveste la determinazione del direttore generale dell’ACN n. 38565 del 26.11.2024,che, come indicato nel titolo, è

“recante termini, modalità e procedimenti di utilizzo e accesso alla piattaforma digitale nonché ulteriori informazioni che i soggetti devono fornire all’Autorità nazionale competente NIS e termini, modalità e procedimenti di designazione dei rappresentanti NIS nell’Unione.”.

Nell’articolo 2 comma 1 viene precisato che la determinazione in parola fissa i termini e modalità per registrarsi:

“Articolo 2 (Oggetto, ambito di applicazione e finalità)

1. La presente determinazione stabilisce termini, modalità e procedimenti di utilizzo e accesso al Portale ACN e, in particolare, ai Servizi NIS nonché le ulteriori informazioni che i soggetti NIS devono fornire all’Autorità nazionale competente NIS ai fini dello svolgimento delle funzioni attribuite dal decreto NIS e i termini, le modalità e i procedimenti di designazione dei rappresentanti NIS nell’Unione.

…

1. La mancata registrazione, comunicazione o aggiornamento delle informazioni di cui all’articolo 7, comma 1, del decreto NIS, con le modalità sopra indicate, è punita ai sensi dell’articolo 38 del medesimo decreto.
2. La presente determinazione è aggiornata entro il 31 marzo 2025. “

 

Il successivo comma 4 prevede la sanzione di cui all’articolo 38, in caso di mancata registrazione comunicazione ed aggiornamento delle informazioni, senza indicare la tardiva registrazione e fermo quanto sopra esposto.

Per quanto riguarda l’indicazione dei termini, il successivo art. 6 comma 1 che prevede per il punto di contatto questi termini:

“Articolo 6      
(Censimento degli utenti)

1. A partire dal 1° dicembre 2024 ed entro il 28 febbraio 2025, i punti di contatto si autenticano sul Portale ACN tramite le proprie credenziali personali del Sistema Pubblico di Identità Digitale (SPID).”

Non solo, perché l’art. 8 comma 1 stabilisce questi termini per la registrazione:

“Articolo 8      
(Registrazione)

1. Dal 1° dicembre al 28 febbraio 2025, gli utenti designati quali punti di contatto compilano, tramite il Servizio NIS/Registrazione, la dichiarazione per il soggetto designante ai fini della sua registrazione, assicurandosi che le informazioni fornite siano corrette e aggiornate.”

Non è indicato in nessun articolo della determinazione citata un termine diverso da questo e tantomeno quello del 17.01.2025, quindi il soggetto della tipologia critica del settore digitale che si registra dopo il 17.01.2025, dopo quindi il termine di cui all’art. 42 comma 1 lett. a) del decreto NIS, ma entro il 28.02.2025 non riceverà alcuna sanzione perché a mio sommesso avviso mancano le basi legali per comminare una sanzione.

Mi pare evidente che l’ACN si sia resa conto che non aveva senso sanzionare questa tipologia di soggetti del settore digitale, costretti ad iscriversi entro un termine così breve, senza peraltro che ci fosse una variazione della procedura di valutazione delle registrazioni, che vengono tutte valutate a marzo 2025.

Peraltro l’ACN nelle FAQ 3.7 pubblicate nel suo sito ha indicato per il soggetti della tipologia del settore digitale, il termine per la registrazione del 17.01.2025, tuttavia nella determinazione n. 38565 citata, non ha previsto questo termine, fissando i termini validi per tutti i soggetti NIS dal 1.12.2024 al 28.02.2025, in modo da evitare che chi si registri in ritardo dopo il 17.01.2025 possa essere sanzionato.

Mi sembra, quindi, che questa sia la conclusione più ragionevole. Vedremo cosa farà l’ACN perché probabilmente ci saranno registrazioni tardive, frutto anche della complessità della materia e della mancata adozione di alcuni provvedimenti applicativi (per es. il DPCM sulla clausola  di  salvaguardia).

 

---

Like   Back to Top   Seen 629 times   Liked 1 times

Subscribe to Updates

Enter your email address to be notified of new posts

Subscribe to:
All Posts GDPR cyber security

x

Subscribe to Updates

If you enjoyed this, why not subscribe to free email updates ?

I've already subscribed / don't show me this again