Questa pagina è rivolta a processori alimentari, distributori e grandi catene di vendita al dettaglio con dipendenza critica dalla catena di fornitura. Scoprirai gli obblighi concreti di cybersicurezza previsti dal D.Lgs. 138/2024, le scadenze normative e come colmare i gap di conformità più comuni nel vostro settore.
Rientrano in questa classificazione i processori alimentari, i distributori all'ingrosso e le catene di grande distribuzione con un numero significativo di dipendenti e/o fatturato considerevole, oppure quelli che operano sistemi critici per la continuità della fornitura alimentare. La vostra organizzazione deve registrarsi presso l'ACN (Agenzia per la Cybersicurezza Nazionale) tra il 1° gennaio e il 28 febbraio di ogni anno se non già iscritte, indipendentemente dalle dimensioni formali, se la vostra interruzione comporterebbe rischi significativi per la sicurezza alimentare o l'approvvigionamento pubblico.
Dovete implementare controlli di accesso basati sui ruoli (RBAC) e restrizioni geografiche sui vostri sistemi ERP, di pianificazione della produzione e di gestione degli ordini fornitori. I sistemi di tracciabilità dei prodotti, gestione delle materie prime e monitoraggio della qualità devono disporre di logging dettagliato e verifiche di integrità regolari. Sottoponete questi sistemi a valutazioni di vulnerabilità almeno semestrali e applicate patch critiche entro 30 giorni dalla disponibilità.
Qualsiasi incidente di cybersicurezza che comprometta la continuità della fornitura alimentare, la tracciabilità dei prodotti o l'accesso ai sistemi di controllo qualità deve essere segnalato all'ACN entro 72 ore dal rilevamento. La segnalazione deve includere la natura dell'incidente, i sistemi interessati, il numero stimato di fornitori/clienti colpiti e le misure di contenimento adottate. Configurate un processo interno di escalation per identificare tempestivamente gli incidenti che raggiungono questa soglia di rilevanza.
Tutti i contratti di fornitura di servizi IT, sistemi di automazione, piattaforme di e-commerce B2B e fornitori di logistica devono contenere clausole esplicite di cybersicurezza, inclusi obblighi di notifica di breach, standard minimi di crittografia e diritti di audit da parte vostra. I fornitori critici (impianti di produzione satelliti, fornitori di ingredienti chiave, partner di distribuzione) devono fornire annualmente una dichiarazione di conformità o una certificazione di conformità a standard riconosciuti (ISO 27001, SOC 2).
I sistemi che contengono dati di tracciabilità, etichettatura, certificazioni di prodotto e storico dei lotti devono essere sottoposti a backup settimanale presso una posizione fisicamente separata o su infrastruttura cloud crittografata. Condotte esercitazioni di ripristino almeno una volta all'anno per verificare il Recovery Time Objective (RTO) entro 24 ore e il Recovery Point Objective (RPO) non superiore a 4 ore. Documentate i risultati e risolvete le lacune identificate.
Designate formalmente un referente per la cybersicurezza (CISO o equivalente) presso la vostra organizzazione e assicurate che abbia accesso diretto al management board. Implementate una politica di cybersicurezza documentata che copra specificamente la filiera alimentare, incluse procedure di risposta agli incidenti, continuità operativa e comunicazione con clienti e autorità. Conducete formazione obbligatoria annuale su cybersicurezza per tutto il personale con accesso ai sistemi critici.
La registrazione presso l'ACN deve essere completata tra il 1° gennaio e il 28 febbraio di ogni anno. Se siete classificati come entità importante (Allegato II) e non vi registrate, incorrete in sanzioni amministrative fino a 7 milioni di euro o l'1,4% del fatturato annuale globale, a seconda di quale sia maggiore. Inoltre, potete essere assoggettati a misure di controllo e audit forzati.
Sì. Se l'attacco al fornitore causa un'interruzione della vostra capacità di distribuire prodotti alimentari critici, voi dovete segnalare l'incidente all'ACN entro 72 ore, anche se l'attacco è avvenuto presso il fornitore. Dovete includere nella segnalazione l'impatto sulla continuità della fornitura, le misure adottate per ripristinare il servizio e le azioni intraprese con il fornitore. Assicurate che i vostri contratti fornitori includano una clausola che vi consenta di richiedere notifica immediata in caso di incidente.
La mancanza di backup testati per sistemi critici rientra nella violazione degli obblighi di misure tecniche e organizzative. Se non affrontate questa lacuna prima della valutazione di conformità, potete essere soggetti a sanzioni amministrative pecuniarie fino a 7 milioni di euro o l'1,4% del vostro fatturato globale, oltre all'ordine immediato di rimediare. Inoltre, in caso di incidente che causa interruzione della continuità alimentare, la mancanza di backup costituisce una violazione aggravante.