Perimetro di sicurezza nazionale cibernetica: chi riguarda

Accanto alla NIS2 esiste in Italia un'altra cornice normativa per la sicurezza informatica, meno conosciuta ma più stringente: il Perimetro di sicurezza nazionale cibernetica. È stato istituito con il decreto-legge 21 settembre 2019, n. 105, convertito dalla legge 133/2019, e attuato con diversi decreti successivi.

Lo scopo

Il Perimetro protegge le reti, i sistemi informativi e i servizi informatici da cui dipende l'esercizio di funzioni essenziali dello Stato o la prestazione di servizi essenziali per il mantenimento di attività civili, sociali o economiche fondamentali, il cui malfunzionamento o la cui interruzione potrebbero causare un pregiudizio per la sicurezza nazionale.

In altre parole, riguarda i soggetti e i sistemi la cui compromissione avrebbe conseguenze per il Paese, non solo per l'organizzazione colpita.

Chi ne fa parte

Il Perimetro comprende un numero limitato di amministrazioni pubbliche, enti e operatori privati, individuati sulla base di criteri stabiliti con decreto. I soggetti inclusi ricevono una comunicazione individuale: l'elenco non è pubblico, per ragioni di sicurezza.

Per la maggior parte delle aziende e degli enti, quindi, la risposta alla domanda "siamo nel Perimetro?" è semplice: se non avete ricevuto la comunicazione, no. Ma questo non significa che il Perimetro non vi riguardi.

Perimetro e NIS2: le differenze

• Platea: la NIS2 coinvolge decine di migliaia di soggetti; il Perimetro un numero molto più ristretto.
• Finalità: la NIS2 mira a un livello comune elevato di sicurezza nell'Unione europea; il Perimetro alla tutela della sicurezza nazionale.
• Obblighi: nel Perimetro le misure di sicurezza, i tempi di notifica degli incidenti e i controlli sono in generale più stringenti, con tempi di notifica misurati in poche ore.
• Sovrapposizioni: un soggetto può rientrare in entrambi i regimi; l'ACN è autorità competente per tutti e due.

Gli obblighi principali

Per i soggetti inclusi, le norme sul Perimetro prevedono tra l'altro:

• la redazione e l'aggiornamento dell'elenco dei beni ICT rilevanti per le funzioni essenziali;
• l'adozione di misure di sicurezza specifiche;
• la notifica degli incidenti al CSIRT Italia in tempi molto stretti;
• per l'acquisto di determinate categorie di beni, sistemi e servizi ICT destinati ai beni del Perimetro, una comunicazione preventiva che può portare a verifiche tecniche da parte del Centro di valutazione e certificazione nazionale (CVCN).

Perché interessa anche i fornitori

Chi fornisce tecnologie o servizi a un soggetto del Perimetro può trovarsi coinvolto indirettamente:

• con requisiti contrattuali di sicurezza più stringenti;
• con verifiche tecniche sui prodotti forniti;
• con obblighi di collaborazione in caso di incidente;
• con la necessità di garantire riservatezza sulle informazioni ricevute.

Per un'impresa tecnologica, conoscere queste regole è un requisito per lavorare con alcuni dei committenti più importanti del Paese.

Le domande da porsi

• Abbiamo ricevuto una comunicazione di inclusione nel Perimetro?
• Siamo fornitori di soggetti che ne fanno parte, e quali requisiti ci vengono chiesti?
• Rientriamo anche nella NIS2, e come coordiniamo gli obblighi?

In sintesi

Il Perimetro di sicurezza nazionale cibernetica riguarda direttamente pochi soggetti, ma i suoi effetti si estendono alla loro catena di fornitura. Sapere se e come ci tocca è il primo passo per non farsi trovare impreparati.