DECRETO LEGISLATIVO 4 settembre 2024, n. 138

Recepimento della direttiva (UE) 2022/2555, relativa a misure per un livello comune elevato di cibersicurezza nell'Unione, recante modifica del regolamento (UE) n. 910/2014 e della direttiva (UE) 2018/1972 e che abroga la direttiva (UE) 2016/1148. (24G00155)

note: Entrata in vigore del provvedimento: 16/10/2024

(GU n.230 del 01-10-2024) visualizza atto intero

nascondi

vigente al 23/10/2026

Articoli
Capo I
Disposizioni generali
1
2
3
4
5
6
7
8
Capo II
Quadro nazionale di sicurezza informatica
9
10
11
12
13
14
15
16
17
Capo III
Cooperazione a livello dell'Unione europea e internazionale
18
19
20
21
22
Capo IV
Obblighi in materia di gestione del rischio per la sicurezza informatica e di notifica di incidente
23
24
25
26
27
28
29
30
31
32
33
Capo V
Monitoraggio, vigilanza ed esecuzione
34
35
36
37
38
39
Capo VI
Disposizioni finali e transitorie
40
41
42
43
44

Allegati

Allegato I
Allegato I
Allegato II
Allegato II
Allegato III
Allegato III
Allegato IV
Allegato IV

articolo precedente articolo successivo

Testo in vigore dal: 16-10-2024

Art. 24

Obblighi in materia di misure di gestione dei rischi per la sicurezza informatica

1. I soggetti essenziali e i soggetti importanti adottano misure tecniche, operative e organizzative adeguate e proporzionate, secondo le modalità e i termini di cui agli articoli 30, 31 e 32, alla gestione dei rischi posti alla sicurezza dei sistemi informativi e di rete che tali soggetti utilizzano nelle loro attività o nella fornitura dei loro servizi, nonché per prevenire o ridurre al minimo l'impatto degli incidenti per i destinatari dei loro servizi e per altri servizi. Tali misure:

a) assicurano un livello di sicurezza dei sistemi informativi e di rete adeguato ai rischi esistenti, tenuto conto delle conoscenze più aggiornate e dello stato dell'arte in materia e, ove applicabile, delle pertinenti norme nazionali, europee e internazionali, nonché dei costi di attuazione;

b) sono proporzionate al grado di esposizione a rischi del soggetto, alle dimensioni del soggetto e alla probabilità che si verifichino incidenti, nonché alla loro gravità, compreso il loro impatto sociale ed economico.

2. Le misure di cui al comma 1 sono basate su un approccio multi-rischio, volto a proteggere i sistemi informativi e di rete nonché il loro ambiente fisico da incidenti, e comprendono almeno i seguenti elementi:

a) politiche di analisi dei rischi e di sicurezza dei sistemi informativi e di rete;

b) gestione degli incidenti, ivi incluse le procedure e gli strumenti per eseguire le notifiche di cui agli articoli 25 e 26;

c) continuità operativa, ivi inclusa la gestione di backup, il ripristino in caso di disastro, ove applicabile, e gestione delle crisi;

d) sicurezza della catena di approvvigionamento, ivi compresi gli aspetti relativi alla sicurezza riguardanti i rapporti tra ciascun soggetto e i suoi diretti fornitori o fornitori di servizi;

e) sicurezza dell'acquisizione, dello sviluppo e della manutenzione dei sistemi informativi e di rete, ivi comprese la gestione e la divulgazione delle vulnerabilità;

f) politiche e procedure per valutare l'efficacia delle misure di gestione dei rischi per la sicurezza informatica;

g) pratiche di igiene di base e di formazione in materia di sicurezza informatica;

h) politiche e procedure relative all'uso della crittografia e, ove opportuno, della cifratura;

i) sicurezza e affidabilità del personale, politiche di controllo dell'accesso e gestione dei beni e degli assetti;

l) uso di soluzioni di autenticazione a più fattori o di autenticazione continua, di comunicazioni vocali, video e testuali protette, e di sistemi di comunicazione di emergenza protetti da parte del soggetto al proprio interno, ove opportuno.

3. Nel valutare quali misure di cui al comma 2, lettera d), siano adeguate, i soggetti tengono conto delle vulnerabilità specifiche per ogni diretto fornitore e fornitore di servizi e della qualità complessiva dei prodotti e delle pratiche di sicurezza informatica dei propri fornitori e fornitori di servizi, comprese le loro procedure di sviluppo sicuro. Per la medesima finalità i soggetti tengono altresì conto dei risultati delle valutazioni coordinate dei rischi per la sicurezza delle catene di approvvigionamento critiche effettuate dal Gruppo di cooperazione NIS.

4. Qualora un soggetto rilevi di non essere conforme alle misure di cui al comma 2, esso adotta, senza indebito ritardo, tutte le misure appropriate e proporzionate correttive necessarie.

articolo precedente articolo successivo

nascondi