Con l’entrata in vigore della c.d. Direttiva NIS 2 (Direttiva UE 2022/2555), recepita dal d.lgs. 4 settembre 2024, n. 138, le imprese italiane sono state chiamate a rafforzare la propria infrastruttura di sicurezza informatica a fronte dell’introduzione d’una serie di obblighi stringenti in materia di prevenzione e gestione degli incidenti cyber.
Quale, dunque, il punto di contatto tra l’anzidetta Direttiva e la disciplina prevista dal d.lgs. 8-6-2001, n. 231?
Il d.lgs. 8-6-2001, n. 231, come noto, prevede l’adozione e l’efficace attuazione di modelli di organizzazione, gestione e controllo (MOG 231) idonei a prevenire reati.
Reati che, per potere essere fatti oggetto di contestazione all’ente, in primo luogo, devono essere commessi, da un lato, da soggetti apicali o da persone sottoposte all’altrui direzione o vigilanza e, dall’altro lato, nell’interesse o a vantaggio dell’ente.
Reati che, in secondo luogo, devono essere compresi all’interno del catalogo dei cc.dd. reati presupposto ex artt. 24 ss., d.lgs. 8-6-2001, n. 231.
Catalogo, quest’ultimo, che, per quel che qui importa, comprende altresì i delitti informatici e trattamento illecito di dati ex art 24 bis del d.lgs. 8-6-2001, n. 231.
La prevenzione di questi ultimi, ed è questo il punto, è destinata a transitare attraverso l’adozione e l’efficace attuazione delle misure imposte dalla c.d. Direttiva NIS 2 per la prevenzione e la gestione degli incidenti cyber.
Quali le conseguenze?
Per quanto riguarda il MOG 231.
Il MOG 231, alla luce di quanto precede, dovrà prevedere specifici protocolli per la gestione del rischio cyber, in linea con le prescrizioni introdotte dalla c.d. Direttiva NIS 2.
Per quanto riguarda, invece, l’Organismo di vigilanza?
Per rispondere è necessaria, qui, una breve premessa di ragionamento.
L’Organismo di vigilanza, per quanto qui d’interesse, ai sensi dell’art. 6 d.lgs. 8-6-2001, n. 231, ha il compito di vigilare sul funzionamento e l’osservanza dei modelli (MOG 231) e di curare il loro aggiornamento.
L’Organismo di vigilanza, nel contesto fin qui descritto, pertanto, assumerà un ruolo chiave nel monitorare la conformità del MOG 231 alla c.d. Direttiva NIS 2, dovendo verificare e l’effettiva adozione delle più idonee misure preventive e, nel caso di incidente cyber, la tempestività nella gestione dello stesso.
La formazione e la responsabilizzazione del personale – compresi i vertici aziendali –diventeranno elementi centrali per garantire una cultura della sicurezza informatica diffusa e integrata.
Nei termini in cui, ed è forse ciò su cui è importante riflettere, l’incidente cyber, spesso e volentieri, deriva da banali disattenzioni umane che, solo se fatte oggetto di una importante opera di sensibilizzazione, potranno essere evitate.
In conclusione.
Un sistema di governance della sicurezza informatica più robusto, capace di prevenire reati informatici e garantire la continuità operativa, è un sistema in grado di tutelare il patrimonio e la reputazione aziendale.
Sì, perché anche la stessa continuità operativa e la reputazione aziendale corrono forti rischi derivanti da possibili incidenti cyber.
Incidenti cyber che, a mero titolo esemplificativo, possono tradursi in attacchi ransomware.
Attacchi, questi ultimi, in grado di bloccare i sistemi informatici aziendali o crittografarne i dati ivi contenuti, rendendo conseguentemente impossibile accedere a informazioni ed utilizzare efficacemente i processi automatizzati dell’azienda.
Patrimonio e reputazione aziendale che, a ben vedere, sarebbero fortemente minacciati altresì dalle pesanti sanzioni introdotte dalla c.d. Direttiva NIS 2, che possono arrivare fino al 2% del fatturato globale o a 10 milioni di euro per i cc.dd. soggetti essenziali.
Vero quanto sopra, viene qui in evidenza la necessità d’un approccio coordinato tra MOG 231 e cybersecurity per un’efficace strategia di compliance e gestione del rischio cyber.
Non è un caso, dunque, che si sia cominciato a parlare di cc.dd. MONIS (Modelli Organizzativi NIS 2).
Dott. Luca Bertazzoni