Di Tom Meevis, avvocato presso Law & More
La sicurezza informatica non è più una questione puramente tecnica. È anche una questione legale e di governance che riguarda praticamente ogni organizzazione, indipendentemente dalle dimensioni.
Con la direttiva europea NIS2 e la legge olandese sulla sicurezza informatica, la responsabilità della resilienza digitale ricade saldamente sul consiglio di amministrazione. La legge olandese sulla sicurezza informatica entrerà in vigore il 15 agosto 2026. I titolari d'azienda, gli amministratori e i responsabili della conformità devono pertanto stabilire al più presto:
- se la loro organizzazione rientra nell'ambito di applicazione delle nuove norme;
- da cui derivano gli obblighi;
- quali misure sono necessarie;
- e come l'organizzazione può adempiere a tali obblighi.
Questo articolo illustra gli elementi principali del NIS2 e della legge olandese sulla sicurezza informatica: l'ambito di applicazione, il dovere di diligenza, l'obbligo di notifica, la responsabilità del consiglio di amministrazione, l'applicazione e le misure che le organizzazioni possono adottare fin da subito.
Che cosa è NIS2?
NIS2 è la denominazione ufficiale della Direttiva (UE) 2022/2555. Essa succede alla prima direttiva europea sulla sicurezza delle reti e dell'informazione, generalmente nota come NIS1.
Gli Stati membri erano tenuti a recepire la NIS2 nel diritto nazionale entro il 17 ottobre 2024. Dal 18 ottobre 2024 la NIS2 ha formalmente sostituito la direttiva precedente.
L'obiettivo è quello di innalzare e armonizzare il livello di resilienza informatica all'interno dell'Unione europea. Ciò si articola in due direzioni principali. In primo luogo, un ambito di applicazione più ampio: molte più organizzazioni rientrano nell'ambito di applicazione delle norme rispetto a quanto previsto dalla NIS1. In secondo luogo, una supervisione più rigorosa e un'applicazione più severa, con una gamma più ampia di strumenti e responsabilità più chiare per gli amministratori.
Mentre il NIS1 distingueva tra operatori di servizi essenziali e fornitori di servizi digitali, il NIS2 opera sia con enti essenziali che con enti importanti. Tale distinzione non è meramente terminologica: tra le altre cose, determina l'intensità della supervisione e l'entità delle potenziali sanzioni.
Quali organizzazioni rientrano nel sistema NIS2?
NIS2 si applica alle organizzazioni attive in diciotto settori designati, suddivisi in settori ad alta criticità e altri settori critici.
I settori ad alta criticità includono energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile e trattamento delle acque reflue, infrastrutture digitali, gestione dei servizi ICT per gli utenti aziendali, pubblica amministrazione e spazio.
Gli altri settori critici includono i servizi postali e di corriere, la gestione dei rifiuti, l'industria chimica, alimentare, manifatturiera, i fornitori di servizi digitali e gli istituti di ricerca.
La soglia dimensionale
All'interno di questi settori, la regola principale è che un'organizzazione rientri nel NIS2 se si qualifica come impresa di medie o grandi dimensioni. I criteri sono almeno 50 dipendenti, oppure un fatturato annuo o un totale di bilancio superiore a 10 milioni di euro.
Esistono delle eccezioni a questa regola generale. Alcune organizzazioni rientrano nell'ambito di applicazione a prescindere dalle dimensioni, perché i loro servizi sono considerati particolarmente critici:
- fornitori di reti e servizi pubblici di comunicazioni elettroniche;
- fornitori di servizi fiduciari;
- fornitori di servizi di registrazione di nomi di dominio;
- registri di nomi di dominio di primo livello;
- enti che gestiscono database pubblici.
A partire dal 15 agosto 2026, i nuovi obblighi si applicheranno a oltre 8,000 organizzazioni nei Paesi Bassi. Si tratta di un'espansione considerevole rispetto al numero di organizzazioni coperte dall'attuale legge sulla sicurezza delle reti e dei sistemi informativi.
Le organizzazioni che in precedenza non si consideravano parte di un settore critico potrebbero quindi essere coinvolte, tra cui le medie imprese manifatturiere, i produttori alimentari, gli istituti di ricerca e i fornitori di servizi digitali. È importante sottolineare che spetta alle organizzazioni stesse valutare se rientrano nell'ambito di applicazione della normativa. Non riceveranno alcuna lettera da parte di un'autorità di controllo in tal senso.
Il dovere di diligenza: quali misure sono richieste?
Il principio cardine della norma NIS2 e della legge olandese sulla sicurezza informatica è il dovere di diligenza. Gli enti essenziali e importanti devono adottare misure tecniche, operative e organizzative adeguate e proporzionate per gestire i rischi per le proprie reti e i propri sistemi informativi.
Le norme individuano gli argomenti che la politica deve in ogni caso affrontare:
- analisi dei rischi e politica di sicurezza delle informazioni;
- gestione degli incidenti;
- continuità operativa, gestione dei backup e ripristino di emergenza;
- sicurezza della catena di approvvigionamento;
- Igiene informatica e formazione del personale;
- politica di gestione delle vulnerabilità;
- autenticazione a più fattori;
- comunicazioni sicure;
- crittografia;
- valutazione periodica dell'efficacia delle misure.
Le misure devono essere proporzionate alle dimensioni dell'organizzazione e ai rischi a cui è effettivamente esposta. Pertanto, un'entità di piccole dimensioni ma importante non è tenuta ad adottare le stesse misure di una grande entità essenziale operante in un settore ad alto rischio.
Ciò non rende facoltativo l'obbligo di diligenza. Le organizzazioni devono essere in grado di dimostrare quali rischi hanno identificato, quali misure hanno adottato e perché tali misure sono appropriate. Non solo le misure in sé, ma anche il modo in cui vengono valutate, registrate e periodicamente esaminate, è soggetto a supervisione.
Obbligo di notifica dopo un incidente
Oltre all'obbligo di diligenza, il NIS2 impone un obbligo di notifica graduale per gli incidenti significativi. Qualora un incidente abbia o possa avere un impatto sostanziale sulla continuità dei servizi, si applicano, a grandi linee, le seguenti scadenze:
- entro 24 ore, un avviso tempestivo al team nazionale di risposta agli incidenti di sicurezza informatica o all'autorità competente;
- Entro 72 ore, una notifica formale con una valutazione iniziale della gravità e dell'impatto;
- Entro un mese al massimo, una relazione finale che descriva l'incidente, la sua probabile causa principale, le misure adottate e gli eventuali effetti transfrontalieri.
Queste scadenze impongono la necessità di stabilire procedure chiare in anticipo. L'organizzazione deve sapere quando un incidente deve essere notificato, chi è autorizzato a notificarlo, quali informazioni devono essere disponibili, chi coordina le attività e come vengono informati il consiglio di amministrazione e il supervisore.
Un'organizzazione che tenta di implementare un processo di notifica solo in caso di incidente corre il rischio considerevole di non essere in grado di segnalare l'accaduto in modo tempestivo o completo.
Responsabilità del consiglio di amministrazione
Un elemento fondamentale di NIS2 è che la responsabilità della gestione del rischio informatico è espressamente attribuita al consiglio di amministrazione. Il consiglio deve approvare le misure di sicurezza, supervisionarne l'attuazione, essere in grado di valutare i rischi informatici dell'organizzazione e ricevere una formazione adeguata.
La sicurezza informatica non può quindi più essere considerata una responsabilità esclusiva del reparto IT. Si tratta di un tema di governance che deve essere parte integrante dei processi decisionali e della gestione del rischio.
La direttiva affronta espressamente anche la responsabilità personale dell'alta dirigenza in caso di inadempienza da parte dell'organizzazione. È necessario documentare il coinvolgimento del consiglio di amministrazione, ad esempio registrando la formazione svolta, le decisioni del consiglio, le politiche approvate, le valutazioni dei rischi, la rendicontazione e la supervisione dell'attuazione.
L'implementazione olandese
L'attuazione della normativa NIS2 nei Paesi Bassi ha subito notevoli ritardi. La scadenza per il recepimento, fissata al 17 ottobre 2024, non è stata rispettata.
L'8 luglio 2026 la Commissione europea ha deciso di deferire i Paesi Bassi, insieme a Irlanda, Spagna e Francia, alla Corte di giustizia dell'Unione europea per mancata notifica delle misure di recepimento. I Paesi Bassi figuravano quindi tra i quattro paesi dell'Unione europea in ritardo con la notifica.
La tempistica è sorprendente. Il giorno prima, il 7 luglio 2026, il Senato aveva approvato la legge sulla sicurezza informatica e la legge sulla resilienza delle entità critiche. Resta da vedere se l'adozione della legge prima dell'invio del ricorso influirà sull'esito del procedimento; questo spetta alla Corte deciderlo.
Entrambe le leggi entreranno in vigore il 15 agosto 2026. La legge sulla sicurezza informatica attua la direttiva NIS2; la legge sulla resilienza delle entità critiche attua la direttiva europea CER, volta a garantire la resilienza delle infrastrutture critiche. Le organizzazioni contemplate da quest'ultima saranno formalmente designate come entità critiche a partire dal 15 agosto 2026.
Con la sua entrata in vigore, l'attuale legge sulla sicurezza delle reti e dei sistemi informativi (Wbni) decade. Per le organizzazioni già soggette a tale legge, ciò comporterà obblighi più stringenti; per le organizzazioni che rientrano nel suo ambito di applicazione per la prima volta, si tratterà di un regime completamente nuovo.
Registrazione presso l'NCSC
Un nuovo e importante obbligo è la registrazione presso il Centro nazionale per la sicurezza informatica. Gli enti essenziali e importanti devono essere iscritti nel registro nazionale degli enti. Tale registrazione è obbligatoria a partire dal 15 agosto 2026 e avviene tramite il portale MijnNCSC, utilizzando eHerkenning per le organizzazioni ordinarie e SSOnRijk per gli enti del settore pubblico. Eventuali modifiche ai dati registrati devono essere comunicate entro quattordici giorni.
La registrazione non è una mera formalità amministrativa. Una volta registrate, le organizzazioni possono accedere ai servizi del proprio CSIRT, che fornisce prodotti e servizi per aumentare la resilienza e offrire supporto in caso di incidente. È importante preparare la registrazione con largo anticipo, in modo che l'implementazione non inizi solo dopo l'entrata in vigore della normativa.
Vigilanza e applicazione della legge
La legge sulla sicurezza informatica prevede un regime di vigilanza differenziato. Gli enti essenziali sono soggetti a vigilanza proattiva: l'autorità di controllo può effettuare controlli continui e di propria iniziativa, anche in assenza di incidenti o segnali specifici. Gli enti importanti sono invece soggetti a vigilanza reattiva, in cui l'autorità di controllo interviene in linea di principio in risposta a un incidente, a una segnalazione o ad altri segnali concreti.
La supervisione è ripartita tra diverse autorità. Dal 15 agosto 2026, l'Autorità olandese per le infrastrutture digitali (ADA) supervisiona le organizzazioni in nove settori; per gli altri settori sono designate altre autorità di vigilanza. Verificate quale autorità di vigilanza è competente per la vostra organizzazione.
Gli strumenti a disposizione per far rispettare le norme sono numerosi e includono:
- una scansione di sicurezza o un audit di sicurezza;
- istruzioni vincolanti;
- un provvedimento di esecuzione amministrativa o un provvedimento soggetto al pagamento di una sanzione;
- pubblicazione di una violazione;
- una sanzione amministrativa;
- Per gli enti essenziali: sospensione di una certificazione, di un'autorizzazione o di un membro del consiglio di amministrazione.
Per le entità essenziali, la sanzione massima è di almeno 10 milioni di euro o il 2% del fatturato annuo mondiale totale, a seconda di quale dei due importi sia maggiore. Per le entità importanti, la sanzione è di almeno 7 milioni di euro o l'1.4% del fatturato annuo mondiale, anche in questo caso a seconda di quale dei due importi sia maggiore. L'entità finale della sanzione dipende dalle circostanze del caso, tra cui la natura, la gravità e la durata dell'infrazione, il grado di colpevolezza e le misure adottate.
Cosa può fare ora la vostra organizzazione?
- Effettua un'autovalutazione. Verifica se l'organizzazione opera in un settore specifico e soddisfa i requisiti dimensionali.
- Determinare la categoria corretta. Stabilire se l'organizzazione si qualifica come entità essenziale o importante e quale responsabile è competente.
- Prepara la registrazione. Raccogli i dati necessari per la registrazione presso l'NCSC tramite MijnNCSC.
- Verificare le misure di diligenza. Valutare le misure esistenti in materia di analisi dei rischi, risposta agli incidenti, continuità operativa, sicurezza della catena di approvvigionamento, igiene informatica, vulnerabilità, autenticazione a più fattori e crittografia.
- Definisci la procedura di notifica. Registra chi valuta se un incidente è soggetto a notifica, chi effettua la notifica e come vengono rispettati i termini di 24 ore, 72 ore e un mese.
- Coinvolgere concretamente il consiglio di amministrazione. Documentare le decisioni prese dal consiglio, la formazione svolta e le modalità di supervisione dell'attuazione.
- Includete la catena di fornitura. Gran parte delle vulnerabilità non si riscontrano all'interno dell'organizzazione stessa, bensì presso i fornitori e i prestatori di servizi. Rivedete i vostri contratti in merito alle disposizioni di sicurezza, agli obblighi di notifica e ai diritti di audit.
In chiusura
Il Cybersecurity Act e il Critical Entities Resilience Act rappresentano un notevole inasprimento degli obblighi in materia di sicurezza informatica. Un ambito di applicazione più ampio, misure concrete di diligenza, scadenze di notifica ravvicinate, responsabilità personale per gli amministratori e un consistente insieme di strumenti di applicazione della legge significano che le organizzazioni non possono ignorare questo tema. Con l'entrata in vigore il 15 agosto 2026, il tempo per prepararsi è poco.
Law & More Assiste aziende, amministratori e responsabili della conformità nel determinare la loro posizione ai sensi della normativa NIS2 e della legge olandese sulla sicurezza informatica, nell'implementare e testare le misure di diligenza, nel preparare la registrazione presso il NCSC e nell'integrare legalmente la politica di sicurezza informatica.
Desiderate che la posizione della vostra organizzazione alla luce delle nuove normative venga valutata? Non esitate a contattarci per una consulenza senza impegno.
Domande frequenti
Di seguito rispondiamo alle domande che ci vengono poste più frequentemente su questo argomento.
Quando entrerà in vigore la legge olandese sulla sicurezza informatica?
Il 15 agosto 2026, il Senato ha approvato la legge sulla sicurezza informatica e la legge sulla resilienza delle entità critiche il 7 luglio 2026. Con la loro entrata in vigore, la legge sulla sicurezza dei sistemi di rete e informativi (Wbni) attualmente in vigore decade.
La mia organizzazione rientra nel sistema NIS2?
Dipende dal settore e dalle dimensioni dell'azienda. Il sistema NIS2 copre diciotto settori designati e, all'interno di tali settori, di norma le organizzazioni con almeno 50 dipendenti o un fatturato annuo o un totale di bilancio superiore a 10 milioni di euro. Alcune entità sono coperte indipendentemente dalle dimensioni.
Verrò informato se la mia organizzazione rientra nell'ambito di applicazione?
No. Le organizzazioni sono responsabili autonomamente della valutazione della propria idoneità all'applicazione della legge sulla sicurezza informatica. Attendere rischia di comportare l'applicazione di obblighi prima che la valutazione sia stata effettuata.
Qual è la differenza tra un'entità essenziale e un'entità importante?
Determina l'intensità della supervisione e l'entità delle potenziali sanzioni. Gli enti essenziali sono soggetti a una supervisione proattiva, in cui l'autorità di vigilanza può effettuare controlli di propria iniziativa. Gli enti importanti sono soggetti a una supervisione reattiva, attivata da un incidente, un reclamo o altro segnale.
Che cosa implica il dovere di diligenza?
Adottare misure tecniche, operative e organizzative appropriate e proporzionate per gestire i rischi per la rete e i sistemi informativi, che coprano aspetti quali l'analisi dei rischi, la gestione degli incidenti, la continuità operativa, la sicurezza della catena di fornitura, la sicurezza informatica, le vulnerabilità, l'autenticazione a più fattori e la crittografia. È necessario essere in grado di giustificare l'adeguatezza delle misure scelte.
Quali sono i termini di notifica da rispettare dopo un incidente?
Un allarme precoce entro 24 ore, una notifica formale entro 72 ore con una valutazione iniziale della gravità e dell'impatto e una relazione finale entro un mese al massimo. Impostate il processo di notifica in anticipo.
La mia organizzazione deve registrarsi?
Sì. L'iscrizione al registro nazionale degli enti è obbligatoria dal 15 agosto 2026 e avviene tramite MijnNCSC, utilizzando eHerkenning o, per gli enti del settore pubblico, SSOnRijk. Eventuali modifiche devono essere comunicate entro quattordici giorni. Una volta effettuata l'iscrizione, è possibile accedere ai servizi del proprio CSIRT.
Quali responsabilità spettano al consiglio di amministrazione?
Il consiglio di amministrazione deve approvare le misure di sicurezza, supervisionarne l'attuazione, essere in grado di valutare i rischi informatici e sottoporsi a propria formazione. La direttiva disciplina la responsabilità personale dell'alta dirigenza in caso di inadempienza, pertanto è necessario documentare in modo dimostrabile le decisioni, la formazione e la supervisione.
A quanto ammontano le multe?
Per le entità essenziali, almeno 10 milioni di euro o il 2% del fatturato annuo mondiale; per le entità importanti, almeno 7 milioni di euro o l'1.4%, in entrambi i casi a seconda di quale dei due importi sia maggiore. L'eventuale livello dipende da fattori quali la natura, la gravità e la durata dell'infrazione e il grado di colpevolezza.
Chi supervisiona la conformità?
La situazione varia a seconda del settore. Dal 15 agosto 2026, l'Autorità olandese per le infrastrutture digitali (ADA) supervisiona le organizzazioni in nove settori; per gli altri settori sono designate autorità di vigilanza diverse. Verificate quale autorità di vigilanza è competente per la vostra organizzazione.
Perché i Paesi Bassi sono stati deferiti alla Corte di Giustizia?
Per il tardivo recepimento della norma NIS2. L'8 luglio 2026 la Commissione europea ha deciso di deferire i Paesi Bassi, insieme a Irlanda, Spagna e Francia, alla Corte di giustizia per la mancata notifica delle misure di recepimento. Il fatto che la legge sulla cibersicurezza sia stata adottata un giorno prima non pone fine a tale procedimento.
Questo vale anche per i miei fornitori?
La sicurezza della catena di approvvigionamento è una delle tematiche relative agli obblighi di diligenza. Gran parte delle vulnerabilità si riscontra presso i fornitori e i prestatori di servizi. È opportuno rivedere i contratti relativi alle disposizioni in materia di sicurezza, agli obblighi di notifica e ai diritti di audit.
