Questa guida è destinata a responsabili della cybersicurezza, direttori IT e dirigenti di amministrazioni centrali, regionali e locali che gestiscono servizi digitali verso i cittadini. Scoprirai gli obblighi concreti del D.Lgs. 138/2024, le scadenze di registrazione presso l'ACN e le misure di sicurezza richieste per proteggere le infrastrutture critiche pubbliche.
Rientrano nell'ambito NIS2 tutti gli enti della pubblica amministrazione centrale (ministeri, agenzie nazionali), le amministrazioni regionali, i comuni, gli enti locali e gli organismi di diritto pubblico che forniscono servizi digitali essenziali ai cittadini. Non esiste una soglia dimensionale: ogni ente pubblico che gestisce portali e-government, banche dati critiche o servizi in rete è classificato automaticamente come entità essenziale e deve conformarsi al D.Lgs. 138/2024.
Ogni ente pubblico deve registrarsi sulla piattaforma dell'Agenzia per la Cybersicurezza Nazionale entro il periodo 1 gennaio – 28 febbraio di ogni anno, fornendo i dati identificativi, i servizi digitali gestiti e i responsabili della sicurezza informatica. La mancata registrazione comporta l'applicazione di sanzioni amministrative. La notifica è obbligatoria anche quando cambia la composizione o la natura dei servizi gestiti durante l'anno.
Gli enti pubblici devono segnalare all'ACN gli incidenti di sicurezza che causano interruzione o degrado dei servizi digitali essenziali entro 24 ore dalla scoperta (notifica immediata) e entro 72 ore con una relazione tecnica completa. La segnalazione deve includere il tipo di attacco, l'impatto operativo, le misure di contenimento e il piano di ripristino. Ritardi nella comunicazione determinano sanzioni fino a €10 milioni.
I portali web e i sistemi informativi che erogano servizi ai cittadini (iscrizione anagrafe, pagamenti, rilascio certificati digitali) devono essere sviluppati secondo i principi di sicurezza by design. Ciò include autenticazione multi-fattore, crittografia end-to-end dei dati personali, test di penetrazione periodici e conformità al modello di maturità CMMC o equivalente. La progettazione deve inoltre prevedere la segregazione di rete tra sistemi backend e interfacce pubbliche.
Gli enti pubblici devono verificare che i fornitori di software, servizi cloud e integratori di sistema rispettino i medesimi standard di sicurezza NIS2. Ogni contratto pubblico per soluzioni digitali deve includere clausole di security by default, diritti di audit sulla infrastruttura del fornitore e obblighi di notifica dei breach. Gli appaltatori hanno l'obbligo di comunicare all'ente qualsiasi incidente che comprometta i dati o i servizi forniti.
Tutti i dipendenti pubblici che gestiscono dati sensibili o accedono a sistemi critici devono ricevere una formazione obbligatoria iniziale e ricorrente (minimo annuale) su protezione dei dati, riconoscimento del phishing, gestione sicura delle credenziali e incident reporting. La documentazione della formazione deve essere mantenuta dal responsabile della sicurezza informatica dell'ente e resa disponibile ai revisori ACN. La mancanza di evidenza di formazione costituisce elemento di non conformità.
La registrazione sulla piattaforma dell'Agenzia per la Cybersicurezza Nazionale deve avvenire tra il 1 gennaio e il 28 febbraio di ogni anno. Ogni ente pubblico classificato come entità essenziale deve completarla. La mancata registrazione entro il 28 febbraio costituisce violazione amministrativa punibile con sanzioni pecuniarie fino a €10 milioni per le entità essenziali e l'avvio di procedure di enforcement da parte dell'ACN.
Deve essere effettuata una notifica immediata all'ACN entro 24 ore dalla scoperta dell'incidente. Successivamente, entro 72 ore, deve essere trasmessa una relazione tecnica completa con analisi delle cause root, impatto sulla continuità del servizio, dati compromessi e azioni di mitigazione intraprese. Il mancato rispetto di questi tempi espone l'ente a sanzioni significative e a ulteriori inchieste amministrative.
Le entità essenziali (categoria di appartenenza di tutti gli enti pubblici) incorrono in sanzioni amministrative pecuniarie fino a €10 milioni o al 2% del fatturato annuo complessivo (se superiore), con aggravanti in caso di recidiva o negligenza grave. Le sanzioni si applicano per violazioni delle obbligazioni di notifica, della gestione della sicurezza informatica, della governance dei rischi e del mantenimento di misure tecniche e organizzative adeguate.