Le Pubbliche Amministrazione, nell’ambito della tutela dei dati personali, devono adottare tecniche informatiche che garantiscano la tutela dei dati personali.

Tutte le P.A., come più volte evidenziato nelle news del servizio All Privacy, devono attuare le misure minime di sicurezza informatica AGID sin dal 2017.

A seguito dell’incremento degli attacchi informatici, inoltre, è stata adottata una ulteriore normativa europea di protezione dei sistemi informatici: la cosiddetta Direttiva NIS2.

Sull’applicazione diretta di tale Direttiva anche agli Enti Locali, tuttavia, si è creata confusione e la convinzione di una diretta obbligatorietà per tali enti.

E’ necessario, quindi, fornire un quadro di applicazione della norma più chiaro e ricordare, in ogni caso, l’obbligatorietà, non più derogabile, di attuare misure minime di sicurezza, con riferimento quantomeno alle misure minime di sicurezza Agid, non solo nel livello Minimo, ma anche con riferimento al livello Standard.

Chiarimenti relativi all'ambito di applicazione

La Direttiva NIS2 (EU) 2022/2555, recepita in Italia con il Decreto Legislativo n. 138 del 4 settembre 2024, introduce un quadro normativo avanzato per la sicurezza informatica, ampliando l’ambito di applicazione e rafforzando gli obblighi per le organizzazioni coinvolte.

La normativa si applica a un’ampia gamma di settori, suddivisi in categorie principali:

• Settori Altamente Critici (essenziali): includono energia, trasporti, banche, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, Pubblica Amministrazione, spazio e produzione di prodotti critici.
• Settori Critici (importanti): comprendono servizi postali e di corriere, gestione dei rifiuti, produzione, trasformazione e distribuzione di alimenti, produzione, trasformazione e distribuzione di prodotti chimici, produzione, trasformazione e distribuzione di dispositivi medici, produzione, trasformazione e distribuzione di computer ed elettronica, produzione, trasformazione e distribuzione di macchinari e veicoli a motore.

Enti esclusi dall’ambito di applicazione

Nonostante l'ampliamento dell'ambito di applicazione, è importante chiarire che la Direttiva NIS2 mantiene un approccio basato sulla proporzionalità, concentrando gli sforzi di cybersecurity laddove il rischio è più significativo.

Con specifico riferimento alla P.A. e, in particolare, agli Enti Locali, l’art. 3 comma 6 del D.Lgs 134/2024, che disciplina l’ambito di applicazione della NIS 2, precisa che “il presente decreto si applica, altresì, anche indipendentemente dalle loro dimensioni, alle pubbliche amministrazioni di cui all'articolo 1, comma 3, della legge 31 dicembre 2009, n. 196 (tra cui gli enti locali), ricomprese nelle categorie elencate nell'allegato III”.

Il citato Allegato III del D.Lgs 134/2024 precisa che sono individuate le seguenti categorie:

c) amministrazioni locali

1. le Città metropolitane;

2. i Comuni con popolazione superiore a 100.000 abitanti;

3. i Comuni capoluoghi di regione;

4. le Aziende sanitarie locali.

Pertanto, gli Enti pubblici locali che generalmente non operano nei settori sopracitati e/o non soddisfano i criteri dimensionali (hanno popolazione inferiore a 100.000 abitanti) sono esclusi dall'obbligo di applicazione della direttiva.

Questa esclusione tiene conto della natura e delle dimensioni delle attività svolte da tali enti, che presentano un profilo di rischio cibernetico generalmente inferiore rispetto alle grandi organizzazioni e infrastrutture critiche.

Considerato l'attuale contesto di crescenti minacce cibernetiche, inclusi attacchi ransomware sempre più sofisticati, si invitano tuttavia gli Enti a concentrare la propria attenzione e i propri sforzi sull'attuazione e l'aggiornamento costante delle Misure minime di sicurezza ICT per le pubbliche amministrazioni (cosiddette misure minime AGID).

L'attuazione di tali misure, obbligatorie per tutti gli Enti pubblici sin dal 2017, e quindi anche per gli Enti Locali, rappresenta un passo fondamentale per garantire un adeguato livello di sicurezza informatica.

Esse forniscono infatti un riferimento pratico per valutare e migliorare la postura di sicurezza delle amministrazioni, consentendo di contrastare efficacemente le minacce informatiche più comuni.