La NIS2 porta la cybersicurezza in giunta: cosa cambia per i Comuni

Chi ha seguito il tema della cyber sicurezza nelle pubbliche amministrazioni conosce la legge 28 giugno 2024, n. 90: obblighi di segnalazione all’ACN entro 24 ore dalla scoperta di un incidente, nomina del referente per la cyber sicurezza, strutture interne dedicate. Un primo passo importante, rivolto – tra gli enti locali – alle città metropolitane, ai comuni con popolazione superiore a 100.000 abitanti e ai comuni capoluogo di regione.

Il D.lgs. 4 settembre 2024, n. 138, che recepisce la Direttiva (UE) 2022/2555 (NIS2), si rivolge alla stessa platea di comuni. Non ci sono differenze sul fronte di chi è obbligato (le FAQ dell’ACN lo confermano esplicitamente), la vera novità sta altrove, ed è sostanziale: cambia la profondità degli obblighi, la logica con cui la sicurezza informatica viene governata e soprattutto cambia chi, all’interno dell’amministrazione, ne risponde. I due testi coesistono e si integrano: chi è soggetto a entrambi deve, pertanto, conoscere sia l’uno che l’altro.

NIS2 per i Comuni: dalla segnalazione alla gestione del rischio

La legge 90 si concentra principalmente su due aspetti: la segnalazione tempestiva degli incidenti (24 ore per la notifica preliminare, 72 per quella completa) e la creazione di una struttura interna dedicata con un referente per la cybersicurezza. E’ una normativa che interviene dopo che qualcosa è successo, o che prepara l’organizzazione a reagire.

NIS2 richiede qualcosa di diverso e più ambizioso: un sistema di gestione del rischio informatico strutturato e permanente, da costruire prima che gli incidenti accadano. L’art. 24 del D.lgs. 138/2024 elenca le misure minime obbligatorie che i soggetti obbligati devono adottare: politiche di analisi dei rischi e di sicurezza dei sistemi informativi; procedure per la gestione degli incidenti; misure di continuità operativa e gestione delle crisi (backup, disaster recovery); sicurezza della catena di approvvigionamento; politiche di acquisizione, sviluppo e manutenzione sicura dei sistemi; formazione in materia di cybersicurezza; uso della crittografia e, ove opportuno, della cifratura.

Sanzioni e responsabilità previste dalla NIS2

Non si tratta di un elenco di buone pratiche: sono obblighi giuridici, la cui mancata attuazione espone il soggetto obbligato a sanzioni amministrative significative: fino a 10 milioni di euro o al 2% del fatturato per i soggetti c.d. essenziali, fino a 7 milioni o all’1,4% per quelli c.d. importanti, mentre per le PA è stato previsto in regime speciale che prevede importi da 25.000 € a 125.000 euro (ridotte di 1/3 se soggetti “importanti”); novità ancora più rilevante, la responsabilità personale degli organi di vertice.

Sindaco e giunta nella NIS2 per i Comuni: le responsabilità

La responsabilità é il punto che distingue più nettamente NIS2 dalla legge 90 e che merita di essere affermato con chiarezza. L’art. 23 del D.lgs. 138/2024 prevede che gli organi di amministrazione e gli organi direttivi dei soggetti obbligati approvino le misure di gestione dei rischi di cybersicurezza, ne supervisionino l’attuazione e possano essere chiamati a rispondere per l’inadempimento dei predetti obblighi.

Per un comune, questo significa che il sindaco e la giunta non possono considerare la cybersicurezza una questione tecnica da delegare interamente all’ufficio IT o al referente nominato ai sensi della legge 90. Devono conoscere le misure adottate, approvarle formalmente, seguire una formazione specifica in materia, che il decreto impone espressamente, estendendola anche ai dipendenti. In caso di gravi e reiterate violazioni, il decreto 138 prevede la possibilità di inibizione temporanea dall’esercizio delle funzioni dirigenziali per i responsabili apicali.

E’ un cambio di paradigma significativo: la cyber sicurezza diventa una responsabilità di governance, non solo una questione operativa. Chi approva il bilancio del comune, chi decide le priorità di investimento, chi firma le delibere sulle forniture digitali è ora direttamente coinvolto nella catena di responsabilità’.

Fornitori digitali e supply chain nella NIS2 per i Comuni

Tra le misure obbligatorie di NIS2, quella sulla sicurezza della supply chain e’ forse la più innovativa per i comuni e la più sottovalutata. L’art. 24, comma 2, lett. d) impone di valutare e gestire i rischi di sicurezza posti dai fornitori e dai prestatori di servizi, inserendo nei contratti requisiti minimi di cyber sicurezza e monitorandone il rispetto nel tempo.

Basti pensare a quanti soggetti terzi lavorano nell’infrastruttura digitale di un comune moderno: il fornitore del software gestionale, il provider cloud per i dati anagrafici e tributari, l’azienda che gestisce i sensori IoT per la mobilità o l’illuminazione pubblica, il manutentore dei sistemi di videosorveglianza, il gestore della piattaforma di pagamento. Ciascuno di questi è un potenziale vettore di attacco verso i sistemi comunali. Un incidente che origina da un fornitore è comunque un incidente che il comune deve notificare e gestire.

Questo cambia radicalmente il modo di gestire gli acquisti digitali: la cybersicurezza non può più essere un requisito tecnico secondario nei capitolati di gara, ma deve diventare un criterio di selezione e valutazione centrale. I contratti in essere con i fornitori critici andrebbero rivisti al fine di prevedere delle clausole esplicite: requisiti minimi di sicurezza, diritto di audit, obbligo di notifica degli incidenti che coinvolgono i sistemi comunali, responsabilità contrattuale in caso di violazioni imputabili al fornitore.

Smart city e infrastrutture critiche nel perimetro NIS2

NIS2 consolida e amplia la nozione di ‘infrastruttura critica’ includendo settori – come la gestione delle acque, dei rifiuti, l’energia e i trasporti urbani – che i comuni possono gestire direttamente o attraverso società in house. Per chi ha investito negli ultimi anni in sistemi IoT nell’ambito delle misure PNRR per la digitalizzazione, questo ha implicazioni concrete.

Reti di sensori urbani, sistemi di controllo del traffico, piattaforme di gestione dell’illuminazione pubblica intelligente: se la loro compromissione può avere effetti significativi sulla sicurezza pubblica o sulla continuità dei servizi essenziali, questi sistemi rientrano nel perimetro di protezione più stringente di NIS2. I ‘progetti smart city’ non posso più essere qualcosa da inaugurare e dimenticare, ma infrastrutture critiche da proteggere, monitorare e aggiornare nel tempo. La sicurezza deve essere progettata fin dall’inizio – secondo il principio ‘security by design’ – non aggiunta in corsa come rattoppo.

NIS2 e legge 90 nei Comuni: coordinare gli obblighi

I comuni soggetti a entrambi i regimi si trovano a gestire obblighi che non sempre coincidono, seppure il legislatore ha cercato il più possibile di allineare gli obblighi nascenti dai due corpus normativi. Qualche esempio: sia la legge 90 che NIS2 prevedono obblighi di notifica degli incidenti all’ACN, ma con alcun diversità¹; entrambe richiedono strutture interne dedicate, ma con profili e responsabilità non identici²; entrambe interagiscono con il GDPR nella gestione dei data breach.

Un sistema integrato con l’AI Act

La buona notizia è che molti adempimenti possono essere integrati in un unico sistema di governance della sicurezza informatica, evitando duplicazioni. Il referente per la cybersecurity nominato ai sensi della legge 90 può diventare il punto di riferimento anche per gli adempimenti NIS2. Il piano di gestione del rischio richiesto da NIS2 può inglobare e arricchire il documento organizzativo sulla sicurezza previsto dalla legge 90. Il registro degli asset digitali utile per NIS2 è la stessa base da cui partire per il censimento dei sistemi AI richiesto dall’AI Act.

Costruire un sistema di compliance integrato – che risponda simultaneamente a legge 90, NIS2 e AI Act – è più efficiente che affrontare i tre regimi separatamente. E’ anche l’unico approccio sostenibile per un comune che non dispone di risorse illimitate.

Tre azioni per adeguare i Comuni alla NIS2

• Mappare gli obblighi di ciascun regime. Predisporre una matrice che metta a confronto legge 90 e NIS2 sulle principali aree (notifica incidenti, struttura interna, analisi del rischio, formazione, supply chain) e identifichi dove gli adempimenti si sovrappongono e dove divergono. Questo evita la duplicazione di attività, ma anche di lasciare scoperte le aree non coincidenti.
• Portare il tema in giunta con un documento formale. La responsabilità diretta degli organi di vertice prevista dall’art. 23 del D.lgs. 138/2024 richiede che il sindaco e la giunta approvino formalmente il piano di gestione del rischio informatico. Non basta una relazione dell’ufficio IT: serve una delibera e che chi la firma abbia ricevuto la formazione minima prevista dal decreto.
• Rivedere i contratti con i fornitori digitali critici. Inserire nei nuovi capitolati di gara e, alla prima occasione utile, nei rinnovi contrattuali, clausole specifiche sulla sicurezza della supply chain. Chi fornisce servizi o sistemi che accedono alle reti comunali deve garantire standard minimi di sicurezza, accettare audit e rispondere contrattualmente degli incidenti che origina.

NIS2 non e’ una complicazione aggiuntiva rispetto alla legge 90: è un salto di qualità nel modo di concepire la cyber sicurezza nella PA. Chiede ai comuni di passare da una logica reattiva – ‘notifichiamo quando succede qualcosa’ – a una logica preventiva e di governance continuativa. Per le amministrazioni che stanno costruendo la propria infrastruttura digitale, adottare questo approccio adesso e’ molto meno costoso che dover correre ai ripari dopo un incidente.

Note

1. Per la l. 90: notifica tempestiva e comunque entro 24 ore dal rilevamento dell’incidente al CSIRT Italia e notifica completa entro 72 ore; modello triparto per il decreto 138: Pre-notifica entro 24h, Notifica dettagliata entro 72h, Relazione finale entro 1 mese. In ogni caso l’Articolo 1, comma 1 della L. 90/2024 stabilisce che gli obblighi di notifica in essa contenuti si applicano «qualora non operino in qualità di soggetti essenziali o importanti ai sensi della direttiva (UE) 2022/2555 $NIS 2$». Questo significa che, una volta attivata la procedura per la NIS 2, il Comune seguirà primariamente quel percorso per gli incidenti per evitare doppie segnalazioni. ↩
2. Nomina formale del Referente per la cybersicurezza e istituzione di una struttura idonea per la l.90, registrazione sulla piattaforma ACN e designazione del Punto di contatto NIS per il decreto 138. All’atto pratico, i Comuni tendono a far convergere Referente (L.90) e Punto di Contatto (NIS 2) nella stessa figura (es. l’RTD o il CISO, se presente). ↩