Pubblicate le nuove FAQ dell’Agenzia per la Cybersicurezza Nazionale che spiegano come saranno svolte le attività di monitoraggio, vigilanza ed esecuzione nei confronti dei soggetti NIS. Per le organizzazioni si apre una fase nella quale non sarà più sufficiente dichiarare la conformità: occorrerà essere in grado di dimostrarla.
L’attuazione della direttiva NIS2 entra progressivamente in una fase nuova: dopo l’individuazione dei soggetti interessati e l’adeguamento agli obblighi previsti dalla normativa, cresce l’importanza delle attività di controllo da parte dell’autorità competente.
In questo contesto, ACN ha pubblicato una nuova sezione delle FAQ dedicata alle attività di monitoraggio, vigilanza ed esecuzione nei confronti dei soggetti NIS. Il documento aiuta a comprendere, in termini operativi, come l’Agenzia potrà verificare il rispetto degli obblighi previsti dal decreto legislativo 4 settembre 2024, n. 138.
Monitoraggio, vigilanza ed esecuzione non sono la stessa cosa - Uno dei primi elementi da chiarire riguarda proprio questi tre concetti.
Il monitoraggio consiste nell’attività attraverso la quale ACN acquisisce informazioni e osserva il livello di attuazione della disciplina NIS. Essere interessati da un’attività di monitoraggio non significa quindi, automaticamente, essere sottoposti a una contestazione.
La vigilanza rappresenta invece il controllo sul rispetto degli obblighi previsti dalla normativa. ACN può verificare se le misure richieste siano state effettivamente adottate e se vengano applicate.
L’esecuzione riguarda infine gli interventi con i quali l’autorità può assicurare il rispetto degli obblighi quando emergano situazioni di non conformità. La distinzione è importante perché una richiesta di informazioni o un’attività di controllo non equivalgono necessariamente a una sanzione.
La verifica non riguarda soltanto l’esistenza formale di documenti e procedure. Il decreto NIS richiede ai soggetti interessati di adottare misure tecniche, operative e organizzative adeguate alla gestione dei rischi di cybersicurezza. Tra gli ambiti coinvolti rientrano, tra gli altri, la gestione degli incidenti, la continuità operativa, la sicurezza della catena di approvvigionamento, il controllo degli accessi e la sicurezza delle risorse umane.
La vera questione diventa quindi la capacità dell’organizzazione di dimostrare l’effettiva applicazione delle misure.
Non sarà sufficiente poter mostrare una policy sulla gestione degli incidenti: occorrerà essere in grado di spiegare come viene applicata, chi è responsabile, con quale frequenza viene verificata e come vengono gestite le eventuali criticità. È una logica molto vicina a quella dell’accountability prevista dal GDPR, pur trattandosi di discipline distinte.
La NIS2 non è un adempimento “una tantum” - Uno degli aspetti più importanti per le organizzazioni è proprio questo: la conformità NIS2 non può essere considerata raggiunta una volta per tutte.
I rischi cyber cambiano, le infrastrutture vengono modificate, cambiano i fornitori e possono emergere nuove vulnerabilità. Di conseguenza, anche le misure di sicurezza devono essere mantenute e aggiornate nel tempo.
Le attività di vigilanza di ACN si inseriscono quindi in una logica di compliance permanente, nella quale l’organizzazione deve essere in grado di dimostrare il proprio livello di sicurezza anche a distanza di tempo dall’adozione delle misure.
Cosa succede in caso di non conformità - Il sistema previsto dal decreto NIS non si limita alla possibilità di applicare sanzioni amministrative.
In presenza delle condizioni previste dalla normativa, ACN dispone di strumenti di intervento finalizzati a ottenere l’adeguamento del soggetto interessato e, nei casi più gravi o persistenti, possono trovare applicazione le conseguenze previste dal decreto, comprese le sanzioni amministrative pecuniarie e ulteriori misure.
La disciplina attribuisce inoltre specifiche responsabilità agli organi di amministrazione e direttivi, chiamati ad approvare le modalità di implementazione delle misure di gestione del rischio e a sovrintenderne l’attuazione.
La cybersicurezza, quindi, non può essere considerata una questione esclusivamente tecnica da delegare interamente al reparto IT.
Perché interessa anche DPO e professionisti privacy - Per chi opera nella protezione dei dati personali, la nuova fase di vigilanza NIS2 presenta diversi punti di contatto con il GDPR. Gestione degli incidenti, controllo degli accessi, sicurezza delle risorse umane, gestione dei fornitori, continuità operativa e formazione sono infatti ambiti che possono avere contemporaneamente una dimensione di cybersicurezza e di protezione dei dati personali.
Un incidente informatico, ad esempio, può essere rilevante sia ai fini della disciplina NIS sia come violazione di dati personali soggetta agli obblighi previsti dal GDPR. Questo rende sempre più importante un coordinamento tra le diverse funzioni aziendali: sicurezza informatica, compliance, privacy, risk management e vertice organizzativo.
Dalla conformità dichiarata alla conformità dimostrabile - Le nuove FAQ ACN rappresentano quindi un ulteriore segnale del passaggio dalla fase di introduzione della NIS2 a quella della sua concreta applicazione e verifica. Alle organizzazioni non sarà sufficiente affermare di essere conformi. Occorrerà poter dimostrare che cosa è stato fatto, quando, da chi, con quali criteri e con quali risultati. Anche nella NIS2, infatti, la sicurezza diventa sempre più una questione di governance, responsabilità e capacità di documentare le proprie scelte, oltre che di tecnologia.
Fonte: FEDERPRIVACY