**Responsabilità delle Imprese: Navigare nel Nuovo Regolamento NIS2**

L’era digitale ha cambiato radicalmente il modo in cui le aziende operano e interagiscono con le informazioni. Tuttavia, con l’aumento delle opportunità sono cresciuti anche i rischi legati alla sicurezza informatica. Il nuovo quadro normativo introdotto dalla direttiva NIS2 rappresenta un passo importante verso la protezione degli interessi collettivi, stabilendo un contesto regolatoro che richiede alle aziende di adattarsi a requisiti di sicurezza sempre più stringenti.

### Un Nuovo Approccio alla Sicurezza Informatica

La direttiva NIS2 amplia significativamente il perimetro di applicazione rispetto alla sua precedente versione. Non si limita più a settori che già operavano sotto regole di sicurezza, ma include nuove aree critiche come la gestione dei rifiuti, il settore del trasporto, la produzione alimentare, la distribuzione di acqua potabile e molto altro. Questa estensione riconosce l’interconnessione tra diversi settori e il rischio di attacchi informatici che possono propagarsi attraverso le catene di fornitura.

### Obblighi e Responsabilità

Per esempio, le aziende dovranno adottare un approccio basato sul rischio per identificare le vulnerabilità e implementare le misure di sicurezza adeguate. Questo richiederà una valutazione periodica e l’aggiornamento continuo delle misure, onde garantire una protezione efficace. Le procedure di notifica degli incidenti di sicurezza alla autorità competenti saranno ora più rigorose, con tempi di risposta più rapidi e dettagliate informazioni da fornire.

Un altro aspetto fondamentale è legato alla responsabilità del management nella gestione della sicurezza informatica. Le aziende saranno tenute a garantire che i dirigenti rispondano per eventuali violazioni, applicando sanzioni per chi non rispetta i protocolli di sicurezza.

### Proporzionalità e Gradualità per le PMI

Il regolamento NIS2 tiene conto della realtà delle piccole e medie imprese (PMI), introducendo il principio di proporzionalità. Questo principio implica che gli obblighi di sicurezza debbano essere calcolati in base alla dimensione e al profilo di rischio dell’organizzazione. Sebbene l’intento sia lodevole, la sua attuazione non è priva di complessità.

Con l’introduzione del concetto di “imprese collegate”, è necessario riflettere su quali aziende rientrano sotto questa definizione. La normativa indica che una PMI potrebbe non essere considerata tale se è parte di un gruppo economico più ampio in cui una grande impresa esercita un potere di controllo. Questa situazione potrebbe portare a obblighi di registrazione e conformità a requisiti di sicurezza che altrimenti non sarebbero stati applicabili.

### La Struttura della Normativa NIS2 in Italia

Il legislatore italiano ha implementato un modello “a strati” nel recepire la direttiva NIS2. Questo approccio prevede diverse categorie di soggetti, creando un sistema che distingue tra aziende, pubbliche amministrazioni e soggetti critici a seconda della loro dimensione e importanza nel contesto della sicurezza informatica.

1. **Primo strato**: comprende soggetti di dimensioni considerevoli, che superano particolari limiti di fatturato e occupazione.

2. **Secondo strato**: include aziende che, anche se non di grandi dimensioni, forniscono servizi critici o operano in settori chiaramente identificabili come essenziali per la sicurezza.

3. **Terzo strato**: interessa le imprese che, sebbene siano di dimensioni ridotte, possono essere collegate a aziende più grandi e quindi soggette a requisiti di registrazione.

Questa struttura serve a chiarire quale sia la situazione per le aziende minori, permettendo una maggiore flessibilità e sostenibilità nella loro applicazione alle normative.

### Criteri di Indipendenza e Registrazione

Un aspetto essenziale della NIS2 riguarda i criteri di indipendenza per le aziende collegate. Per evitare un’applicazione eccessivamente gravosa per le PMI, il legislatore prevede che la clausola di salvaguardia possa non essere applicata se l’azienda minore non ha influenza o il controllo sulle decisioni critiche in materia di cybersecurity.

### Futuro della Sicurezza Informatica

L’approccio della NIS2 è un impegno verso un modello di sicurezza più robusto, ma anch’esso presenta delle sfide, specialmente per le piccole realtà. Le amministrazioni locali,