DIRETTIVA NIS 2: CRITICITA’ DELLA DETERMINAZIONE ACN DEL 14/04/2025 N. 164179 CHE STABILISCE MODALITÀ E SPECIFICHE DI BASE PER L’ADEMPIMENTO DEGLI OBBLIGHI SPETTANTI AI SOGGETTI NIS, ESSENZIALI E IMPORTANTI

L’ACN (Agenzia per la cybersicurezza nazionale) ha dato avvio alla seconda fase di implementazione della normativa secondaria relativa al decreto NIS (d.lgs. 4.09.2024 n. 138), adottando, tra le altre, la determinazione del 14.04.2025 n. 164179 che definisce le specifiche di base per l’adempimento degli obblighi da parte dei soggetti essenziali e importanti, derivanti dalla nuova normativa NIS.

La lettura di questa determinazione presenta alcune criticità che si ritiene opportuno segnalare.

Mancata adozione preliminare della procedura di informazione prevista dalla direttiva (UE) 2015/1535

L’art. 2 rubricato “Adozione delle specifiche di base”, prevede che:

“1. In fase di prima applicazione del decreto NIS sono adottate le specifiche di base di cui agli allegati 1, 2, 3 e 4, facenti parte integrante della presente determinazione.

1. Le misure di sicurezza di base, a carico degli organi di amministrazione e direttivi e in materia di misure di gestione dei rischi per la sicurezza informatica, sono stabiliti:
2. a) per i soggetti importanti, nell’allegato 1;
3. b) per i soggetti essenziali, nell’allegato 2.
   1. Gli incidenti significativi di base sono stabiliti:
   2. a) per i soggetti importanti, nell’allegato 3;
   3. b) per i soggetti essenziali, nell’allegato 4. “.

• In questo articolo si stabiliscono in modo puntuale le specifiche di base che devono rispettare i soggetti NIS, essenziali ed importanti, sia per la gestione dei rischi per la sicurezza informatica, richiamandosi al FNCS-DP (Framework Nazionale per la Cybersecurity e la Data Protection) che è stato aggiornato, sia per le notifiche per gli incidenti significativi.

Il successivo art. 3 prevede anche i termini per l’adozione delle specifiche di base, rispettivamente per la gestione dei rischi in 18 mesi e per le notifiche di incidente significativo in 9 mesi, decorrenti dalla comunicazione di inserimento nell’elenco dei soggetti NIS.

La determinazione, però, nell’ultimo art. 10 comma 3, stabilisce il termine di entrata in vigore dell’art. 2 commi 1 e 2 e dell’art. 3 che è prevista dal giorno successivo dall’esperimento della procedura di informazione prevista dalla direttiva (UE) n. 2015/1535.

Questa direttiva (UE) n. 2015/1535 è stata attuata in Italia con il d.lgs. 15.12.2017 n. 233, che ha modificato la legge 21.06.1986 n. 317, “Disposizioni di attuazione di disciplina europea in materia di normazione europea e procedura d'informazione nel settore delle regolamentazioni tecniche e delle regole relative ai servizi della società dell'informazione”, dove in sintesi è previsto che i progetti di regole tecniche che uno Stato membro intenda adottare, devono essere, prima dell’adozione, notificati alla Commissione Europea ed agli altri Stati membri, tramite l’Unità Centrale di Notifica che si trova presso il Ministero delle Imprese e del Made in Italy (già Ministero dello Sviluppo Economico). Inoltre, dalla notifica bisogna attendere un periodo di minimo tre mesi, salvo ulteriori proroghe (art. 9 legge 1986 n. 317 cit.), prima dell’adozione del progetto di regola tecnica. La Commissione e gli Stati membri possono intervenire, con le modalità indicate nella legge 1986 n. 317 citata e dalla direttiva 2015/1535 cit., per verificare se la normativa tecnica proposta possa qualificarsi come misura restrittiva della concorrenza, senza che sussista una valida ragione volta a soddisfare un interesse generale.

Questa normativa ha lo scopo quindi di evitare che gli Stati membri possano introdurre tramite regole tecniche, restrizioni al libero commercio all’interno del mercato unico europeo, come già accaduto in passato.

Nell’art. 10 co. 1 della determinazione ACN n. 164179 cit., si segue una procedura inversa: prima si è adottato il progetto contenente la regola tecnica, poi si è previsto l’esperimento della procedura di informazione di cui alla direttiva (UE) n. 2015/1535. Si stabilisce infatti che l’entrata in vigore dell’art. 2 commi 1 e 2 e dell’art. 3 decorre dal “giorno successivo all’esperimento della procedura di informazione ai sensi della Direttiva (UE) n. 2015/1535”.

E’ evidente che la procedura di informazione deve essere ancora esperita, mentre l’adozione della regola tecnica è già avvenuta con la determinazione, con tanto di pubblicazione sul sito dell’ACN e la previsione della comunicazione nella Gazzetta Ufficiale come sancito dall’art. 9.

Questo non solo non appare conforme alla procedura di informazione della direttiva (UE) n. 2015/1535, ma rende molto complesso capire l’esatta entrata in vigore degli articoli citati.

Ma c’è di più perché l’art. 2 e relativi allegati sembrano essere in contrasto con la normativa europea.

Contrasto con il regolamento di esecuzione della Commissione Europea 2024/2690 relativo ai soggetti c.d. pertinenti

Le specifiche di base previste dall’art. 2 riguardano, come in esso indicato, tutti i soggetti essenziali e importanti, definendo adempimenti a carico degli organi di amministrazione e direttivi, senza considerare però gli obblighi di cui al regolamento di esecuzione della Commissione Europea 2024/2690 adottato ai sensi degli artt. 21 § 5 e 23 § 11 comma 2, quindi direttamente applicabile negli Stati membri.

Il regolamento di esecuzione (UE) 2024/2690 prevede nell’art. 1 quanto segue:

“Articolo 1

Oggetto

Il presente regolamento stabilisce i requisiti tecnici e metodologici delle misure di cui all’articolo 21, paragrafo 2, della direttiva (UE) 2022/2555 e specifica ulteriormente i casi in cui un incidente è considerato significativo ai sensi dell’articolo 23, paragrafo 3, della medesima direttiva per quanto riguarda i fornitori di servizi DNS, i registri dei nomi di dominio di primo livello, i fornitori di servizi di cloud computing, i fornitori di servizi di data center, i fornitori di reti di distribuzione dei contenuti, i fornitori di servizi gestiti, i fornitori di servizi di sicurezza gestiti, i fornitori di mercati online, di motori di ricerca online e di piattaforme di servizi di social network, nonché i prestatori di servizi fiduciari (i soggetti pertinenti).”.

Questo regolamento si applica ai soggetti c.d. pertinenti, senza distinzione tra soggetti essenziali o importanti, i quali sono obbligati ad adottare le misure di gestione dei rischi relativi alla sicurezza informatica ivi indicate (dettagliate anche nell’allegato) ed a tener conto delle specifiche di incidente significativo contenute negli artt. 3 e seguenti del regolamento per la notifica di incidente ex art. 25 del decreto NIS, art. 23 della direttiva NIS.

Come noto, questo regolamento comunitario prevale sulla normativa nazionale dello Stato membro che sia in contrasto, come appare essere la delibera ACN del 14.04.2025 n. 164179, dove l’art. 2 fissa le specifiche di base per i soggetti essenziali ed importanti, senza considerare il regolamento 2024/2690, non essendoci tra l’altro prevista una clausola di salvaguardia rispetto alla normativa comunitaria.

Senza entrare nel dettaglio del confronto tra gli allegati contenuti nella determinazione ACN e il regolamento comunitario, emergono però delle divergenze, prima tra tutte, il fatto che nella prima, c’è una differenza tra soggetti essenziali e importanti, con obblighi ridotti per questi ultimi, cosa non prevista per i soggetti pertinenti, che devono tutti adeguarsi alle misure di sicurezza informatica ivi previste. La divergenza più evidente è quella relativa alla qualificazione di incidente significativo, dove nel regolamento c’è una puntuale specificazione dei casi, anche in relazione alla tipologia di soggetto, che non si trovano nella determinazione ACN.

Una situazione quindi che crea molta difficoltà per chi deve poi applicare la normativa.

Applicazione dell’art. 32 comma 3 decreto NIS riguardante solo i fornitori di servizi di registrazione di nome di dominio, anche ai gestori di registri di nomi di dominio di primo livello

Nell’art. 4 comma 3 della determinazione del 14.04.2025 n. 164179 si legge quanto segue:

“3. Ai sensi dell’articolo 32, comma 3, i gestori di registri dei nomi di dominio di primo livello e i fornitori di servizi di registrazione dei nomi di dominio adottano politiche al fine di assicurare un livello di sicurezza informatica coerente con le specifiche di cui all’allegato 1.”

Con questo comma 3, si prevede che anche i gestori di registri di nomi di dominio di primo livello debbano adottare politiche di sicurezza informatica in modo coerente con le specifiche di cui all’allegato n. 1, riguardante i soggetti importanti, sebbene i primi siano sempre qualificabili come essenziali (art. 6 co. 1, lett. d, direttiva NIS 2 art. 3 § 1, lett. b) ed anche come soggetti pertinenti (art. 1 regolamento 2024/2690 cit.).

A sommesso avviso di chi scrive, tale indicazione non è congruente con lo stesso art. 32 comma 3 del decreto NIS, dove viene previsto quanto segue:

“3. Gli obblighi di cui agli articoli 24 e 25 non si applicano ai soggetti che erogano esclusivamente servizi di registrazione dei nomi di dominio. Tali soggetti assicurano un livello di sicurezza informatica coerente con gli obblighi di cui agli articoli 24 e 25.”

E’ evidente che nel comma 3 dell’art. 4 della determinazione ACN n. 164179 citata, non c’è alcun riferimento ai gestori di registri di nomi di dominio di primo livello quindi è illogico il richiamo a tale tipologia di soggetti.

Infine, come detto, i gestori di registri di nomi di dominio di primo livello sono soggetti non solo essenziali, ma anche pertinenti, quindi, si deve applicare il regolamento 2024/2690 che impone oneri molto maggiori, rispetto a quelli previsti nella determinazione ACN, come sopra esaminato.

Si spera che in tempi brevi queste problematiche applicative trovino una soluzione.

---

Like   Back to Top   Seen 878 times   Liked 1 times

Subscribe to Updates

Enter your email address to be notified of new posts

Subscribe to:
All Posts GDPR cyber security

x

Subscribe to Updates

If you enjoyed this, why not subscribe to free email updates ?

I've already subscribed / don't show me this again