DORA e NIS2: nuovi obblighi per il CdA

Con il Regolamento DORA e la Direttiva NIS2 (UE 2022/2555, attuata in Italia con Dlgs. 138/2024) il legislatore europeo ha posto in essere, come noto, un framework normativo per la gestione e mitigazione del rischio della cybersicurezza (sia all’interno delle società che presso i loro fornitori), con un diretto coinvolgimento degli organi di gestione ai vertici delle società e degli enti destinatari dei provvedimenti.

Seppur in un quadro generale comune ed entrambi basati su un approccio “risk based”, si tratta di plessi normativi profondamente diversi tra loro, anche in ragione dei diversi soggetti destinatari e della portata dei loro precetti (più “preciso” il Regolamento DORA, più “alta” la Direttiva NIS2). Di conseguenza, anche il “coinvolgimento” degli organi amministrativi delle società presenta profili di non totale sovrapposizione.

La gestione dei rischi informatici secondo la direttiva NIS 2

Contestualizziamo, in primo luogo, le finalità della Direttiva NIS2 per meglio analizzare gli obblighi dell’organo amministrativo delle società target.

La Direttiva NIS2 mira a creare “un livello comune di cibersicurezza nell’Unione in modo da migliorare il funzionamento del mercato interno” (art. 1). Quindi:

• gli Stati membri devono adottare una strategia nazionale di cibersicurezza, designare le autorità competenti e i c.d. CSIRT (team di risposta agli incidenti di sicurezza informatica) e condividere le informazioni e vigilanza,

mentre

• i soggetti destinatari devono adottare misure in materia di gestione dei rischi cyber e segnalare taluni incidenti cyber in conformità alla disciplina emanata dagli Stati membri per dare attuazione alla Direttiva (in Italia il Dlgs. 138/2024 e l’emananda normativa secondaria).

A tal fine, secondo la Direttiva gli “organi di gestione” (ma il Dlgs. 138/2024 parla di “organi amministrativi” e “organi direttivi” – art. 23(1) – con un’“estensione soggettiva” del dettato comunitario non priva di incertezze interpretative):

1. devono (i) approvare le misure di gestione dei rischi di cybersicurezza, (ii) sovraintendere alla loro attuazione e (iii) seguire una formazione specifica in materia ed offrirla periodicamente anche ai dipendenti, nonché

• possono essere ritenuti responsabili della violazione di tale disciplina (art. 20).

Le misure di gestione dei rischi (punto a)(i) che precede) consistono nella predisposizione di un modello caratterizzato da misure tecniche, organizzative ed operative adeguate e proporzionali ai rischi posti alla sicurezza dei sistemi informativi e di rete utilizzati.

In sostanza, viene richiesta al Consiglio di Amministrazione l’adozione di un modello tecnico/organizzativo adeguato e proporzionale (sulla falsa riga di quanto già richiesto, mutatis mutandis, all’organo di gestione dagli artt. 2086(2) e 2381 codice civile) e la sua costante revisione (trattandosi di un modello “risk-based”, la sua idoneità viene periodicamente valutata e modulata secondo le circostanze concrete).

La finalità del modello è duplice:

a) “gestire i rischi di sicurezza dei sistemi informatici e di rete[1] che (tal)i soggetti utilizzano nelle loro attività o nella fornitura dei servizi”, nonché

b) “prevenire o ridurre al minimo l’impatto degli incidenti per i destinatati dei loro servizi e per altri servizi” (art. 21(1)). Quindi, le imprese devono guardare all’interno del loro sistema in senso ampio (ricomprendendovi, come vedremo fra poco, anche i propri fornitori e partners non necessariamente ICT ) per metterlo in sicurezza, con uno sguardo rivolto anche ai “clienti” per evitare altri “danni” o la propagazione del disservizio a settori contigui o diversi.

L’approccio è multirischio: proteggere, fra l’altro, i sistemi informatici e di rete “e il loro ambiente fisico” da incidenti.

Le misure “minime” del modello da approvare devono almeno coprire i seguenti elementi (art. 21(2)):

1. analisi dei rischi e sicurezza dei sistemi informatici
2. gestione degli incidenti
3. continuità operativa (back-up e ripristino) e gestione della crisi
4. sicurezza della supply-chain (non solo ICT), compresi i rapporti tra ciascun fornitore e i suoi diretti fornitori o fornitori di servizi
5. sicurezza dell’acquisizione e manutenzione di sistemi informatici e di rete
6. procedure e policy in tema di cybersicurezza
7. igiene informatica e formazione
8. uso di crittografia e cifratura
9. sicurezza delle risorse umane e controllo degli accessi
10. autenticazione multi-fattore.

Responsabilità nella gestione dei rischi informatici per gli organi amministrativi

Quanto alla responsabilità all’interno degli organi di gestione, l’art. 32 (6) della Direttiva NIS2 prevede che: “Gli Stati membri provvedono affinché qualsiasi persona fisica responsabile di un soggetto essenziale o che agisca in qualità di suo rappresentante legale sulla base del potere di rappresentarlo, dell’autorità di prendere decisioni per suo conto o dell’autorità di esercitare un controllo su di esso abbia il potere di garantirne il rispetto della presente direttiva. Gli Stati membri provvedono affinché tali persone fisiche possano essere ritenute responsabili dell’inadempimento dei loro doveri di garantire il rispetto della presente direttiva”.

Il Dlgs. 138/2024 (art. 38(5)) in proposito dispone: “Qualsiasi persona fisica responsabile di un soggetto essenziale o che agisca in qualità di suo rappresentante legale con l’autorità di rappresentarlo, di prendere decisioni per suo conto o di esercitare un controllo sul soggetto stesso, assicura il rispetto delle disposizioni di cui al presente decreto. Tali persone fisiche possono essere ritenute responsabili dell’inadempimento in caso di violazione del presente decreto da parte del soggetto di cui hanno rappresentanza”.

Quindi, in base alla disciplina introdotta dalla Direttiva NIS2 e recepita in Italia con il Dlgs. 138/2024, l’organo amministrativo (e, secondo il Dlgs. 138/2024, sembrerebbe anche “gli organi direttivi”):

1. devono approvare le misure di gestione dei rischi di cybersicurezza di cui all’art. 21 (secondo l’art. 23 del Dlgs. 138/2024 “le modalità di implementazione delle misure di gestione dei rischi per la sicurezza informatica adottate ex art. 24”);
2. devono sovraintendere alla loro attuazione (secondo l’art. 23 del Dlgs. 138/2024, sovraintendere all’“’implementazione degli obblighi di cui al presente capo e di cui all’articolo 7”, con un’estensione dell’attività agli obblighi di registrazione e notifica degli incidenti);
3. devono seguire una formazione specifica in materia ed offrirla periodicamente anche ai dipendenti (art. 23(2) Dlgs. 138/2024);
4. devono essere informati su base periodica o, se opportuno, tempestivamente degli incidenti e delle notifiche (art. 23(3) del Dlgs. 138/2024);
5. possono essere ritenuti responsabili di violazione da parte dei soggetti della Direttiva NIS2 (in base all’art. 23 del Dlgs. 138/2024 “sono responsabili delle violazioni di cui al presente decreto”);
6. per i soli soggetti “essenziali[2]”, qualunque persona fisica che agisce quale legale rappresentante del soggetto (sulla base di un “potere di rappresentarlo, dell’autorità di prendere decisioni per suo conto o dell’autorità di esercitate un controllo su di esso” – art. 32(6) Direttiva) deve avere “il potere di garantirne il rispetto della presente direttiva” e può essere ritenuta responsabile della violazione del suo dovere di garantire il rispetto della Direttiva (art. 38(5)). Così il Dlgs. 138/2024 impone a tale persona fisica “di assicurare il rispetto delle disposizioni di cui al presente decreto” e può essere ritenuto responsabile in caso di violazione delle disposizioni in oggetto da parte del soggetto di cui ha la rappresentanza.

Il Regolamento DORA e l’organo amministrativo

Il Regolamento DORA si prefigge di far conseguire “un livello comune elevato di resilenza operativa digitale” stabilendo “obblighi uniformi in relazione alla sicurezza dei sistemi informatici e di rete che sostengono i processi commerciali delle entità finanziarie” (art. 1). Si applica, come noto, solo agli operatori (in senso ampio) del sistema finanziario e si pone come obiettivo specifico la resilienza digitale operativa. La resilienza, come noto, è cosa diversa dalla cibersicurezza di cui alla Direttiva NIS2: è la “capacità dell’entità finanziaria di costruire, assicurare e riesaminare la propria integrità e affidabilità operativa, garantendo, direttamente o indirettamente tramite il ricorso ai servizi offerti da fornitori terzi di servizi TIC, l’intera gamma delle capacità connesse alle TIC necessarie per garantire la sicurezza dei sistemi informatici e di rete utilizzati dall’entità finanziaria, su cui si fondano la costante offerta dei servizi finanziari e la loro qualità, anche in occasione di perturbazioni”(art. 3(1)). In pratica, è la capacità di garantire la continuità operativa digitale anche in caso di attacco/incidente, prendendo atto che il sistema finanziario rende i propri servizi essenzialmente grazie ai sistemi informatici che sono tra loro profondamente interconnessi.

Obblighi dettagliati digestione dei rischi informatici secondo DORA

Quanto alla governance da attuarsi da parte degli organi di gestione, le entità finanziarie “predispongono un quadro di gestione e di controllo interno che garantisce una gestione efficace e prudente di tutti i rischi informatici … al fine di acquisire un elevato livello di resilienza operativa digitale”. In particolare, l’organo di gestione dell’entità finanziaria (art. 6):

1. definisce e approva l’attuazione di tutte le disposizioni concernenti il quadro per la gestione dei rischi informatici
2. vigila su tale attuazione
3. ne è responsabile e
4. segue una formazione specifica.

Tuttavia, il Regolamento non si limita ad indicare le finalità del modello da adottare e i suoi contenuti minimi (come invece opera la Direttiva NIS2 che comunque deve essere attuata in ogni Stato membro), ma entra molto più nel dettaglio sia delle misure minime che della responsabilità dell’organo di gestione.

Infatti, secondo il Regolamento DORA l’organo di gestione:

a) assume la responsabilità finale per la gestione dei rischi informatici;

b) predispone politiche miranti a garantire il mantenimento di standard elevati di disponibilità, autenticità, integrità e riservatezza dei dati;

c) definisce chiaramente ruoli e responsabilità per tutte le funzioni connesse alle TIC[3] e stabilisce adeguati meccanismi di governance e cooperazione tra gli stessi;

d) ha la responsabilità generale di definire e approvare la strategia di resilienza operativa digitale, compresa la determinazione del livello appropriato di tolleranza per i rischi informatici dell’entità finanziaria;

e) approva, supervisiona e riesamina periodicamente l’attuazione della politica di continuità operativa delle TIC e dei piani di risposta e ripristino relativi alle TIC dell’entità finanziaria;

f) approva e riesamina periodicamente i piani interni di audit in materia di TIC dell’entità finanziaria e gli audit in materia di TIC;

g) assegna e riesamina periodicamente le risorse finanziarie adeguate per soddisfare le esigenze di resilienza operativa digitale dell’entità finanziaria rispetto a tutti i tipi di risorse, compresi i pertinenti programmi di sensibilizzazione sulla sicurezza delle TIC e le attività di formazione sulla resilienza operativa digitale per tutto il personale;

h) approva e riesamina periodicamente la politica relativa alle modalità per l’uso dei servizi TIC prestati dal fornitore terzo di servizi TIC;

i) istituisce a livello aziendale canali di comunicazione che gli consentono di essere debitamente informato in merito a: i) gli accordi conclusi con i fornitori terzi di servizi TIC; ii) le relative eventuali modifiche importanti; iii) il potenziale impatto di tali modiche;

l) (solo per i soggetti diversi dalle microimprese), istituisce un ruolo per monitorare gli accordi conclusi con i fornitori terzi di servizi TIC per l’uso di tali servizi, oppure designa un dirigente di rango elevato quale responsabile della sorveglianza sulla relativa esposizione al rischio e sulla documentazione pertinente;

m) si mantiene attivamente aggiornato quanto alle conoscenze e competenze adeguate per comprendere e valutare i rischi informatici e il loro impatto sulle operazioni, anche seguendo una formazione specifica su base regolare.

La gestione dei rischi informatici tra adeguatezza e responsabilità

Sin da questo primo esame, si nota immediatamente come le previsioni del Regolamento DORA limitino la discrezionalità dell’organo amministrativo proprio per perseguire quell’”uniformità di obblighi” in relazione alla sicurezza dei sistemi informatici e di rete che sostengono l’operativa “commerciale” delle entità finanziarie che ne è il suo obiettivo. Una sorta di “autotutela” a protezione del business e del sistema finanziario.

Anche in questo caso, si tratta di predisporre non solo un assetto tecnico/organizzativo adeguato e proporzionato (anche e con particolare riferimento alle terze parti che offrono servizi ICT agli enti finanziari e da cui dipende, in tutto o in parte, la loro operatività), ma anche un quadro di controllo, una sorta di “dashroom” che consenta all’organo di gestione di affrontare i rischi informatici “in maniera rapida, efficiente ed esaustiva, assicurando un elevato livello di resilienza operativa digitale” (art. 6(1)) e ridurre al minimo l’impatto degli stessi (art. 6(3)). Il tutto sempre con un approccio “risk-based” e multirischio, con una funzione di controllo tendenzialmente istituita “ad hoc” ed una periodica revisione (art. 6(5)) e audit (art. 6(6)) del sistema.

Si noti che nello schema di decreto legislativo per l’adeguamento della normativa nazionale al Regolamento DORA e alla Direttiva DORA (UE) 2022/2556 (per il quale la Commissione XIV Politiche della UE della Camera dei Deputati ha espresso parere favorevole il 6 febbraio scorso), l’art. 10 prevede di introdurre, fra l’altro, nel TUB (Dlgs. 385/1993) una previsione (art. 144-ter) che introduce rilevanti sanzioni pecuniarie amministrative in caso di determinate violazioni del Regolamento DORA in capo ai “soggetti che svolgono funzioni di amministrazione, direzione o controllo e del personale delle società e degli enti nei confronti dei quali sono accertate le violazioni quando l’inosservanza è conseguenza della violazione dei doveri propri o dell’organo di appartenenza e la condotta ha inciso in modo rilevante sulla complessiva organizzazione o sui profili di rischio aziendali o ha contribuito a determinare la mancata ottemperanza della società o dell’ente a provvedimenti specifici della Banca d’Italia”. Con ciò ampliando i soggetti responsabili dell’attuazione del Regolamento DORA al di là dell’organo di gestione, come previsto dall’art. 50(5)[4] del Regolamento DORA.

Note

[1] L’art. 6, punto 2 definisce «sicurezza dei sistemi informatici e di rete» come “la capacità dei sistemi informatici e di rete di resistere, con un determinato livello di confidenza, agli eventi che potrebbero compromettere la disponibilità, l’autenticità, l’integrità o la riservatezza dei dati conservati, trasmessi o elaborati o dei servizi offerti da tali sistemi informatici e di rete o accessibili attraverso di essi”; mentre l’art. 6, punto 1, della Direttiva definisce come “«sistema informatico e di rete»: a) una rete di comunicazione elettronica quale definita all’articolo 2, punto 1, della direttiva (UE) 2018/1972; b) qualsiasi dispositivo o gruppo di dispositivi interconnessi o collegati, uno o più dei quali eseguono, in base a un programma, un’elaborazione automatica di dati digitali; o c) i dati digitali conservati, elaborati, estratti o trasmessi per mezzo degli elementi di cui alle lettere a) e b), ai fini del loro funzionamento, del loro uso, della loro protezione e della loro manutenzione.

[2] L’art. 3 della Direttiva NIS2 distingue, come noto, tra soggetti “essenziali” e soggetti “importanti”,

[3] «risorse TIC»: software o hardware presenti nei sistemi informatici e di rete utilizzati dall’entità finanziaria (art. 3, punto 7).

[4] “ Qualora il paragrafo 2, lettera c), e il paragrafo 4 si applichino a persone giuridiche, gli Stati membri conferiscono alle autorità competenti il potere di imporre sanzioni amministrative e misure di riparazione, alle condizioni previste dal diritto nazionale, nei confronti di membri dell’organo di gestione e di altre persone che, ai sensi del diritto nazionale, siano responsabili della violazione”.