NIS2 e la Responsabilità Cyber: Un Nuovo Orizzonte per le Aziende Italiane

La recente attuazione della direttiva NIS2 rappresenta un cambiamento fondamentale nel panorama della cybersecurity, specialmente per quanto riguarda la responsabilità dei soggetti aziendali. Con il nuovo decreto legislativo italiano (D.Lgs. 138/2024), non si può più considerare la responsabilità di un’azienda semplicemente in base alla sua sede legale. In particolare, la legge si propone di affrontare le complessità legate ai gruppi multinazionali, ai servizi cloud e alla sicurezza centralizzata.

Trasformazione della Responsabilità Cyber

La normativa esamina non solo chi è legalmente responsabile, ma anche chi effettivamente controlla e gestisce i sistemi di sicurezza. In un contesto di servizi condivisi e strutture internazionali, le aziende devono rispondere a domande più approfondite: chi decide le politiche di sicurezza? Da chi dipendono le operazioni quotidiane di cybersecurity? La sicurezza non è più una questione territoriale, ma funzionale. Pertanto, se un’azienda italiana utilizza le risorse e le decisioni di un’entità estera del suo stesso gruppo, essa potrebbe essere chiamata a rispondere in base all’efficacia di tali misure.

Nel nuovo paradigma, la normativa mira a colmare il divario esistente tra le aziende e i soggetti che, pur non essendo formalmente sotto la giurisdizione italiana, influenzano direttamente la sicurezza dei servizi essenziali. Questa evoluzione normativa fa sì che anche le aziende estere, coinvolte in modo sostanziale nella cyber-resilienza, possano rientrare nel perimetro di vigilanza italiano.

Fornitori Esteri e Catena di Approvvigionamento

La NIS2 non si limita a chiudere le aziende italiane in un perimetro di responsabilità nazionale; espande le sue radici anche ai fornitori esteri. Il legame tra un soggetto NIS italiano e i fornitori terzi va valutato non solo in termini di contratti, ma in base alla loro effettiva influenza sulla continuità del servizio. Se un fornitore estero si dimostra cruciale per la catena di approvvigionamento digitale di un soggetto NIS, esso rientra nella normativa italiana.

L’articolato sistema di regole introduce l’obbligo di fornire una lista di fornitori rilevanti, ricercando quelle relazioni critiche che potrebbero compromettere la sicurezza dei servizi. Questa mappatura offre alle aziende italiane un quadro di riferimento utile per valutare le proprie dipendenze e i rischi associati.

Implicazioni Pratiche per le Aziende Italiane

L’impatto delle nuove norme su aziende e utenti italiani è significativo. Le aziende devono rivedere l’intero modello di governance della sicurezza, considerando chi prende le decisioni e chi gestisce le tecnologie. Non è sufficiente “adeguarsi” alla legge; è necessario comprendere e gestire in modo proattivo il proprio ecosistema di sicurezza.

Le aziende italiane devono potenziare la trasparenza e la comunicazione interna, integrando i fornitori nella propria strategia di gestione del rischio. La cybersecurity deve divenire una parte integrante della catena di approvvigionamento, non un aggiunta all’ultimo minuto.

Conclusione

In sintesi, la NIS2 introduce un modello di responsabilità più dinamico e interconnesso. Le aziende italiane, in particolare quelle inserite in contesti multinazionali, devono adottare un approccio proattivo e flessibile nella gestione della sicurezza informatica. Non è più sufficiente identificare la propria sede; è fondamentale comprendere la rete di relazioni e dipendenze che possono influenzare la resilienza dei servizi forniti. Solo così si potrà garantire una difesa efficace nella crescente complessità del panorama cyber.