Questa pagina è destinata a rettori, responsabili ICT, direttori amministrativi e responsabili della sicurezza informatica di università, istituti di istruzione superiore e grandi scuole private con infrastruttura digitale. Qui troverai gli obblighi specifici, le scadenze normative e le strategie concrete per conformarsi al D.Lgs. 138/2024 in quanto entità importante secondo l'Allegato II della NIS2.
Rientrano nei requisiti della NIS2 le università, gli istituti di istruzione superiore e le grandi scuole private che gestiscono infrastrutture digitali critiche, inclusi sistemi di gestione della didattica (LMS), banche dati di ricerca, piattaforme cloud per l'e-learning e reti di ateneo con accesso esterno. L'obbligo riguarda in particolare enti con una significativa presenza digitale nel settore della ricerca, della formazione e dell'amministrazione accademica.
Devi implementare misure di sicurezza adeguate per i sistemi di gestione della didattica, le piattaforme learning e i database di ricerca al fine di proteggere i dati personali degli studenti e i dati sensibili di ricerca da accessi non autorizzati, perdita e compromissione. Questo include cifratura dei dati in transito e a riposo, controlli d'accesso basati su ruoli, backup regolari e test di disaster recovery. La mancanza di protezione costituisce violazione diretta della NIS2 e può esporre l'ateneo a sanzioni fino a 7 milioni di euro.
Entro il 28 febbraio di ogni anno, devi registrare la tua istituzione sul registro ACN (Agenzia per la Cybersicurezza Nazionale) comunicando lo status di entità importante secondo l'Allegato II del D.Lgs. 138/2024. La registrazione iniziale è avvenuta tra il 1 gennaio e il 28 febbraio 2025. Questa notifica è obbligatoria e consente all'ACN di monitorare la conformità del settore universitario italiano.
In caso di incidente di sicurezza che comprometta i dati degli studenti, le risorse di ricerca o il funzionamento dei sistemi critici, devi notificare all'ACN entro 24 ore dalla scoperta dell'incidente e fornire una relazione dettagliata entro 72 ore. L'incident reporting deve includere la natura dell'attacco, i dati interessati, le misure di contenimento e il piano di ripristino. Ritardi nella notifica espongono l'ateneo a ulteriori sanzioni.
Devi condurre valutazioni di sicurezza sui fornitori di piattaforme learning, servizi cloud, software di gestione amministrativa e soluzioni edtech che hanno accesso ai sistemi critici dell'ateneo. Includi nei contratti clausole di cybersecurity, auditing rights, incident notification e compliance con NIS2. Monitora continuamente i rischi di terze parti attraverso valutazioni annuali e penetration testing dove rilevante.
Devi promuovere una cultura di cybersecurity attraverso programmi di formazione obbligatori rivolti a docenti, personale amministrativo, tecnico e studenti con accesso a sistemi critici. La formazione deve coprire riconoscimento di phishing, gestione sicura delle password, protezione dei dati personali, uso di dispositivi personali (BYOD) e procedure di segnalazione di incidenti. La consapevolezza diffusa riduce significativamente il rischio di breach legato al fattore umano.
Devi registrare la tua istituzione come entità importante sul registro ACN entro il 28 febbraio di ogni anno, a partire dal 1 gennaio. La registrazione iniziale per il 2025 è già scaduta (28 febbraio 2025), quindi se non l'hai già fatto, contatta immediatamente l'ACN. La mancata registrazione comporta sanzioni fino a 7 milioni di euro.
Devi notificare all'ACN entro 24 ore dalla scoperta dell'incidente con comunicazione preliminare, seguita da una relazione tecnica completa entro 72 ore. Se l'incidente riguarda dati personali di studenti o ricercatori europei, devi anche notificare al Garante per la protezione dei dati personali secondo il GDPR. Ritardi nella notifica espongono l'ateneo a ulteriori sanzioni amministrative.
Come entità importante (Allegato II), l'ateneo è soggetto a sanzioni amministrative fino a 7 milioni di euro o fino al 1,4% del fatturato annuale, a seconda di quale importo sia maggiore. Le sanzioni si applicano per violazioni degli obblighi di sicurezza, mancata registrazione ACN, ritardo nel reporting di incidenti e negligenza nella gestione della supply chain di vendor critici.