AssoAmbiente

Il 18 ottobre 2024 entrerà in vigore la Direttiva (UE) 2022/2555 (c.d. NIS2) che affronta con maggior completezza rispetto al passato i temi della sicurezza informatica e riguarderà, in alcuni casi, anche le imprese che si occupano della gestione di rifiuti (v. Allegato 1).

L’obiettivo è quello di raggiungere un livello comune elevato di cybersicurezza tra gli Stati Membri, migliorando la capacità di garantire uniformità ed efficacia nell’applicazione, e quindi di garantire un’effettiva protezione per la vita sociale ed economica dell’Unione.

Una delle più importanti novità introdotte dalla Direttiva NIS2 è proprio l’ampio bacino di settori merceologici in perimetro, tra cui rientrano (con determinati parametri dimensionali specificati) imprese che si occupano della gestione dei rifiuti, escluse quelle per cui la gestione dei rifiuti non è la principale attività economica.

È importante sottolineare che trattandosi di una Direttiva, la NIS2 dovrà essere recepita nel diritto nazionale dagli Stati Membri per il 17 ottobre 2024. Durante il processo di recepimento, gli Stati Membri dovranno definire in modo più puntuale alcuni degli obblighi imposti alle organizzazioni, tenendo conto delle peculiarità dei rispettivi contesti nazionali.

In Italia la direttiva NIS2 è stata presentata il 23 luglio 2023 alla Camera dei Deputati nel disegno di legge di delegazione europea 2022-2023 (Atto Camera 1342), per poi passare in Senato, il quale ha approvato la legge 21 febbraio 2024, n. 15 di delega al Governo (v. Allegato 2).

Come mera anticipazione i soggetti c.d. “in perimetro” della NIS2 saranno chiamati a rispettare requisiti quali:

• avere una governance della cybersicurezza;
• adottare misure per la gestione dei rischi (inclusa la sicurezza della catena di fornitura);
• gestire la continuità operativa ed adeguati strumenti di segnalazione in caso di incidenti.
   

Segnaliamo infine che le Commissioni riunite Affari costituzionali e Giustizia della Camera hanno concluso lo scorso 8 maggio l’esame del ddl recante disposizioni in materia di rafforzamento della cybersicurezza nazionale e di reati informatici (AC. 1717 Governo). Per quanto di specifico interesse, segnaliamo che nell’ambito dell’esame alla Camera sono stati approvati i seguenti emendamenti:

• 1 (nuova formulazione) Mauri (PD) – stabilisce che per i comuni con popolazione superiore a 100.000 abitanti e i comuni capoluoghi di regione, per le società di trasporto pubblico urbano con bacino di utenza non inferiore a 100.000 abitanti, per le società di trasporto pubblico extraurbano operanti nell'ambito delle città metropolitane, per le aziende sanitarie locali e per le società in house che forniscono servizi informatici, i servizi di trasporto, nonché per quelle che raccolgono, smaltiscono o trattano acque reflue urbane, domestiche o industriali o che si occupano della gestione dei rifiuti, gli obblighi di notifica di alcune tipologie di incidenti aventi impatto su reti, sistemi informativi e servizi informatici (commi 1 e 2 dell’articolo 1 (Obblighi di notifica di incidenti)) si applicano a decorrere dal centottantesimo giorno successivo alla data di entrata in vigore della legge
• 2 (nuova formulazione) Bonafè (PD), 1.3 (nuova formulazione) Paolo Emilio Russo (FI),1.4 (nuova formulazione)) Mauri (PD), 1.7 (nuova formulazione) Boschi (IV), 1.8 (nuova formulazione) Mauri (PD), 1.9 (nuova formulazione) Pastorella (Az), 1.12. (nuova formulazione) Boschi (IV), 1.13 (nuova formulazione) Mauri (PD) - aggiunge le città metropolitane e le società di trasporto pubblico extraurbano operanti nell'ambito delle città metropolitane tra i soggetti che hanno un obbligo di segnalazione di alcune tipologie di incidenti aventi impatto su reti, sistemi informativi e servizi informatici. Precisa che tra i soggetti che hanno l’obbligo di notifica dei suddetti incidenti sono comprese anche le rispettive società in house dei soggetti stessi che forniscono servizi informatici, i servizi di trasporto, nonché per quelle che raccolgono, smaltiscono o trattano acque reflue urbane, domestiche o industriali, o che si occupano della gestione dei rifiuti.
   

L’inizio esame in Aula è previsto nella seduta di lunedì 13 maggio.

L’Associazione monitorerà il tema, anche in relazione ai lavori parlamentari in corso, e terrà dovutamente aggiornati gli associati sugli aspetti di interesse.

Nel far rinvio alla Direttiva ed alla legge di delegazione Europea, allegate alla presente, restiamo a disposizione per informazioni ed aggiornamenti.