Questa pagina è destinata a direttori cybersecurity, project manager e responsabili IT delle grandi aziende costruttive e di ingegneria civile italiane classificate come entità importante secondo l'Annex II del D.Lgs. 138/2024. Imparerai quali sistemi BIM, piattaforme di gestione progetti e dispositivi IoT devono essere protetti, come gestire la sicurezza della supply chain dei subappaltatori, e come conformarti agli obblighi di segnalazione incidenti entro 24-72 ore.
Le grandi imprese costruttive, società di ingegneria civile e contractor che operano su progetti infrastrutturali critici devono registrarsi come entità importante presso l'ACN se forniscono servizi essenziali mediante sistemi informatici (piattaforme BIM, gestionali di cantiere, sistemi di building automation). L'iscrizione è obbligatoria tra il 1° gennaio e il 28 febbraio di ogni anno. Le aziende con fatturato superiore a 50 milioni di euro e attive in settori quali trasporti, energia, acqua e gestione rifiuti rientrano automaticamente nella classificazione.
Tutti i dati contenuti nelle piattaforme BIM, nei gestionali di progetto e nei sistemi di controllo cantiere devono essere protetti con autenticazione multi-fattore, crittografia end-to-end e controlli di accesso granulari basati sui ruoli. È obbligatorio implementare segmentazione di rete tra i sistemi che contengono progetti di infrastrutture critiche e le reti generiche, nonché monitorare continuamente l'accesso ai dati sensibili mediante log di audit revisionati settimanalmente.
Prima di concedere ai subappaltatori l'accesso a piattaforme BIM, sistemi di gestione progetti o reti aziendali, è necessario condurre una valutazione formalizzata della loro postura di cybersecurity, verificando la presenza di ISMS, certificazioni ISO 27001 o equivalenti, e politiche di gestione delle password. Deve essere stipulato un contratto di sicurezza specifico che obblighi il subappaltatore a segnalare immediatamente qualsiasi incidente che coinvolga i sistemi aziendali, pena l'esclusione da commesse future.
Qualsiasi violazione di dati, accesso non autorizzato a piattaforme BIM o interruzione di servizi critici di cantiere deve essere segnalata all'ACN entro 24 ore dal rilevamento, con una relazione tecnica dettagliata entro 72 ore. La segnalazione deve includere la natura dell'incidente, i sistemi interessati, i dati compromessi, le misure di contenimento adottate e il piano di ripristino. La mancata segnalazione nei termini comporta sanzioni fino a 7 milioni di euro o il 1,4% del fatturato annuo.
I sensori IoT, i sistemi di drone, le telecamere di sicurezza e i dispositivi di building automation presenti sui cantieri non devono essere collegati alla rete aziendale principale. È obbligatorio creare una VLAN dedicata, configurare firewall hardware specifici, aggiornare regolarmente il firmware di tutti i dispositivi connessi, e implementare monitoraggio continuo del traffico di rete per rilevare comportamenti anomali o comunicazioni non autorizzate.
Per tutti i progetti di infrastrutture critiche (ponti, gallerie, dighe, sistemi di trasporto), è necessario mantenere un piano di continuità operativa documentato che preveda backup giornalieri crittografati dei dati BIM, server di ripristino isolato geograficamente, e procedure di failover testate almeno due volte all'anno. Il tempo massimo di ripristino (RTO) per i sistemi critici non deve superare 4 ore, e il punto di ripristino (RPO) non deve superare 1 ora.
La registrazione sulla piattaforma dell'ACN deve essere effettuata ogni anno tra il 1° gennaio e il 28 febbraio. Per il primo anno di applicazione del D.Lgs. 138/2024 (in vigore dal 16 ottobre 2024), la prima finestra di registrazione si è chiusa il 28 febbraio 2025. La mancata registrazione nei termini comporta sanzioni amministrative.
Hai 24 ore dal rilevamento dell'incidente per notificare l'ACN, seguito da una relazione tecnica dettagliata entro 72 ore. La relazione deve descrivere la natura della violazione, i sistemi e i dati interessati, le azioni di contenimento adottate e il cronoprogramma di ripristino. La mancata segnalazione o il ritardo oltre i termini comporta sanzioni fino a 7 milioni di euro o il 1,4% del fatturato annuo.
Per le entità importante (Annex II), le sanzioni amministrative possono raggiungere fino a 7 milioni di euro o il 1,4% del fatturato annuo globale, a seconda di quale importo sia maggiore. Le violazioni particolarmente gravi (come mancanza di ISMS, incident response non funzionante o negligenza nella supply chain) possono dar luogo a sanzioni penali aggiuntive secondo il D.Lgs. 138/2024.