Questa guida è destinata ai raccoglitori di rifiuti municipali, processori di rifiuti industriali e operatori di rifiuti pericolosi classificati come entità importante secondo l'Allegato II del D.Lgs. 138/2024. Apprenderete quali sono gli obblighi di cybersicurezza specifici per il vostro settore, le scadenze di conformità e come colmare i gap di sicurezza più comuni.
Rientrano nell'ambito di applicazione le società che gestiscono la raccolta di rifiuti municipali, il trattamento di rifiuti industriali e le operazioni di smaltimento e recupero di rifiuti pericolosi con un volume operativo e una criticità infrastrutturale significativi. Le organizzazioni devono registrarsi sulla piattaforma dell'ACN (Agenzia per la Cybersicurezza Nazionale) entro il 28 febbraio di ogni anno, con la prima registrazione prevista tra il 1 gennaio e il 28 febbraio 2025.
Deve essere implementata una protezione adeguata ai sistemi di gestione dei veicoli, del tracciamento GPS e della pianificazione delle rotte di raccolta. Tutti i dispositivi IoT utilizzati sui mezzi di raccolta devono essere configurati con credenziali non predefinite e integrati in una architettura di rete segregata. La perdita o il malfunzionamento di questi sistemi deve essere considerato un incidente operativo critico da segnalare entro 24 ore all'ACN nel caso di interruzione del servizio di raccolta.
La documentazione relativa ai rifiuti pericolosi, incluse le schede di sicurezza, i registri di movimentazione e i certificati di smaltimento, deve essere archiviata con controlli di accesso rigorosi e crittografia dei dati a riposo. L'accesso ai dati deve essere limitato al personale autorizzato mediante autenticazione a fattori multipli. Qualsiasi violazione della riservatezza o dell'integrità di questi dati rappresenta un incidente da segnalare entro 72 ore.
Qualunque incidente di cybersicurezza che determini una disruption nella raccolta o nello smaltimento dei rifiuti deve essere segnalato all'ACN entro 24 ore dalla rilevazione. Questo include attacchi ransomware su sistemi di pianificazione, interruzioni di comunicazione tra base operativa e veicoli, e blocchi del sistema di tracciamento dei rifiuti pericolosi. La segnalazione deve contenere descrizione dell'evento, impatto operativo e misure di mitigazione adottate.
Gli operatori devono selezionare fornitori di dispositivi di monitoraggio e tracciamento con comprovate politiche di sicurezza della catena di fornitura. Tutti i dispositivi IoT devono provenire da fornitori che garantiscono aggiornamenti di sicurezza regolari e cicli di vita del prodotto trasparenti. È necessario documentare i criteri di selezione dei fornitori e condurre revisioni periodiche della conformità alle politiche di sicurezza.
Deve essere redatta e mantenuta una politica formale di sicurezza delle informazioni specifica per i computer di bordo, i dispositivi portatili e i sistemi di comunicazione installati sui veicoli di raccolta. La politica deve includere regole di autenticazione, gestione degli accessi, logging degli eventi e procedure di risposta agli incidenti. Il personale operativo deve ricevere formazione annuale su questa politica e sulla corretta manipolazione dei dati sensibili raccolti durante le operazioni.
La registrazione deve avvenire entro il 28 febbraio di ogni anno. La prima registrazione è programmata per il periodo compreso tra il 1 gennaio e il 28 febbraio 2025. Dopo questa data iniziale, tutte le organizzazioni dovranno rinnovare la registrazione annualmente entro la scadenza del 28 febbraio.
Se l'incidente causa un'interruzione del servizio di raccolta, la segnalazione deve essere inoltrata entro 24 ore dalla rilevazione. Per gli incidenti che non causano disruption immediata ma interessano i dati di rifiuti pericolosi, la finestra è estesa a 72 ore. In ogni caso, l'ACN deve essere notificata immediatamente attraverso il suo portale dedicato.
Per le entità importanti come i gestori di rifiuti, le sanzioni amministrative possono raggiungere fino a 7 milioni di euro o l'1,4% del fatturato annuale lordo, a seconda di quale importo sia maggiore. Queste penalità si applicano in caso di mancata implementazione delle misure di cybersicurezza, negligenza nella segnalazione degli incidenti e violazione degli obblighi di registrazione presso l'ACN.