Questa pagina è destinata a responsabili della sicurezza IT, direttori operativi e gestori di impianti di trattamento rifiuti in Italia. Scoprirai gli obblighi specifici di NIS2 per la protezione dei sistemi di gestione flotte, il tracciamento dei rifiuti pericolosi e i protocolli di incident reporting che entrano in vigore nel 2026.
Rientrano in questa categoria i gestori di rifiuti urbani con popolazione servita superiore a 25.000 abitanti, gli operatori di impianti di trattamento rifiuti speciali e pericolosi con capacità di lavorazione superiore a 10 tonnellate/giorno, e le società di raccolta differenziata con flotte superiori a 50 veicoli. L'obbligo si applica indipendentemente dal numero di dipendenti, poiché la classificazione si basa sull'importanza operativa per i servizi essenziali.
Dovete implementare controlli di accesso robusti e crittografia su tutti i sistemi GPS, telemetria veicolare e software di pianificazione rotte. Questo include l'obbligo di sostituire le credenziali IoT predefinite su dispositivi montati sui veicoli di raccolta e l'implementazione di segmentazione di rete per isolare i sistemi operativi dai sistemi di gestione amministrativa.
Tutti i documenti relativi al trasporto, stoccaggio e smaltimento di rifiuti pericolosi devono essere protetti mediante controlli di accesso granulari, log di audit immutabili e backup crittografati. Dovete garantire che solo il personale autorizzato possa accedere ai registri e che ogni modifica sia registrata con timestamp e identificazione dell'operatore.
Dovete notificare all'Autorità competente entro 72 ore qualsiasi incidente di sicurezza informatica che causi interruzioni nella raccolta, nell'elaborazione o nel trasporto di rifiuti. Questo include attacchi ransomware, guasti ai sistemi di tracciamento e malfunzionamenti del software di gestione che impediscono lo svolgimento delle operazioni ordinarie.
Dovete condurre valutazioni di sicurezza sui fornitori di dispositivi IoT, sensori di riempimento cassonetti e terminali mobili portatili. Implementate requisiti contrattuali che obblighino i vendor a fornire aggiornamenti di sicurezza regolari, a divulgare vulnerabilità note e a supportare l'integrazione con i vostri sistemi di autenticazione aziendali.
Dovete definire e documentare una politica di sicurezza che copra l'uso di tablet, terminali di firma digitale e dispositivi di scansione codici a barre utilizzati sui veicoli di raccolta. La politica deve includere procedure di configurazione sicura, gestione delle patch, controllo della connettività e protocolli di segnalazione in caso di smarrimento o furto del dispositivo.
Gli operatori di servizi essenziali (Allegato I) sono soggetti a obblighi più stringenti, mentre le entità importanti (Allegato II) come i vostri gestori rifiuti hanno obblighi leggermente meno severi ma comunque significativi. La classificazione come entità importante vi obbliga a implementare misure di sicurezza comparabili, ma con maggiore flessibilità nei tempi di implementazione rispetto agli operatori essenziali.
Dovete condurre un inventario di tutti i dispositivi IoT in uso e pianificare una sostituzione sistematica delle credenziali predefinite con credenziali univoche gestite tramite un sistema centralizzato di identity management. Se il dispositivo non consente cambio di credenziali, valutate l'isolamento di rete o la sostituzione del dispositivo con un'alternativa conforme. Documentate tutte le modifiche in un registro di audit.
D.Lgs. 138/2024 prevede sanzioni fino a 5 milioni di euro o il 1% del fatturato annuale globale per violazioni di obblighi di sicurezza. La scadenza per la compliance completa è il 17 ottobre 2026. Consigliamo di iniziare la valutazione gap immediatamente per disporre di tempo sufficiente all'implementazione e ai test prima della scadenza.