Questa nuova normativa definisce le misure per la gestione del rischio informatico e stabilisce i criteri per considerare un incidente come significativo, richiedendo alle aziende che gestiscono infrastrutture e servizi digitali di segnalarlo alle autorità nazionali. Si tratta di un passo importante per rafforzare la resilienza delle infrastrutture digitali critiche in Europa.

Applicazione del regolamento a settori chiave

Le nuove disposizioni si applicano a specifiche categorie di aziende digitali, tra cui fornitori di servizi di cloud computing, data center, marketplace online, motori di ricerca e piattaforme di social network. Per ogni categoria di fornitori di servizi, il provvedimento di attuazione stabilisce anche i criteri per considerare un incidente significativo, il quale deve quindi essere segnalato alle autorità nazionali.

La direttiva NIS2: scadenze e recepimento a livello nazionale

Il regolamento coincide con la scadenza per il recepimento della direttiva NIS2 nei singoli ordinamenti nazionali. Ricordiamo che, a differenza di una direttiva, un regolamento è immediatamente applicabile senza necessità di recepimento tramite legge nazionale. Dal 18 ottobre 2024, tutti gli Stati membri dovranno applicare le misure necessarie per garantire il rispetto della direttiva, incluse le attività di vigilanza e controllo.

Obbligo di autovalutazione per le imprese

In Italia, il 7 agosto 2024, il Consiglio dei Ministri ha approvato in via definitiva il decreto legislativo n. 138 del 4 settembre 2024, pubblicato sulla Gazzetta Ufficiale n. 230 del 1° ottobre 2024. Questo decreto recepisce la Direttiva NIS2, che mira a innalzare gli standard di cibersicurezza nell’Unione. Le aziende potenzialmente interessate devono prima eseguire un’autovalutazione per verificare se rientrano nell’ambito di applicazione del decreto. In caso positivo, devono registrarsi sulla piattaforma digitale dell’Agenzia Nazionale per la Cybersicurezza (ACN), che comunicherà se tali aziende sono soggette alle nuove normative.

Una panoramica sulle iniziative europee per la sicurezza informatica

La prima direttiva sulla sicurezza informatica, nota come NIS, è stata introdotta nel 2016 e ha gettato le basi per una sicurezza comune delle reti e dei sistemi informativi nell’UE. Nel 2020, la Commissione ha proposto la revisione della direttiva per adattarla alle esigenze dell’era digitale. Entro il 17 Ottobre 2024 , gli Stati membri hanno dovuto recepire la direttiva NIS2 nel diritto nazionale che introduce misure rafforzate che coprono settori essenziali, quali servizi ICT, sanità, energia, trasporti, gestione dei rifiuti, spazio, e pubblica amministrazione.

Gli obiettivi della NIS2 per un’Unione più sicura

La direttiva NIS2:

• rafforza i requisiti di sicurezza per le aziende,
• affronta la sicurezza delle catene di fornitura,
• semplifica gli obblighi di segnalazione,
• introduce misure di vigilanza più rigorose,
• mira a un’armonizzazione delle sanzioni tra Stati membri,
• promuove la cooperazione e la condivisione delle informazioni nella gestione delle crisi informatiche a livello UE.

Linee Guida del Comitato Europeo per il Trattamento dei Dati Personali, sul Trasferimento di Dati all’Estero

Il Comitato Europeo per la Protezione dei Dati Personali ha pubblicato delle Linee Guida, che possono aiutare i titolari e responsabili del trattamento di dati personali nel gestire in modo appropriato il trasferimento di dati personali all’estero.

Il tema del trasferimento di dati personali all’estero viene trattato nel Regolamento Europeo sulla Protezione dei Dati Personali.

L’articolo 3 stabilisce che il regolamento si applica al trattamento di dati personali effettuato da un ente, o meglio un titolare del trattamento; sia nel caso il trattamento venga effettuato all’interno dell’Unione Europea, sia all’esterno.

Il capo V è interamente dedicato alle modalità con cui è possibile trasferire dati personali verso paesi terzi o ad organizzazioni internazionali, come potrebbero essere le Nazioni Unite, l’Organizzazione Mondiale della Sanità e via di seguito.
Alla luce di possibili conflitti di interpretazione fra l’articolo 3 ed il capo V, da tempo si attendeva una posizione ufficiale del Comitato Europeo, che finalmente è stata approvata durante la sessione plenaria del 19 novembre 2021.

Queste linee guida aiutano nello stabilire che cosa si intende per trasferimento internazionale di dati e sono oltremodo preziose per assistere titolari e responsabili in queste attività.
Le linee guida specificano tre criteri cumulativi che qualificano un trattamento come trasferimento:

• chi esporta i dati, sia esso un titolare o un responsabile del trattamento, è sempre soggetto alle regole del regolamento generale Europeo per lo specifico trattamento,
• chi esporta i dati rende disponibili i dati ad un altro titolare, contitolare o responsabile, che si trova all’estero,
• si intende che un trattamento contempla l’esportazione dei dati quando il destinatario si trova in un paese terzo oppure è un’organizzazione internazionale.

Il trattamento viene sempre considerato come un trasferimento, indipendentemente dal fatto che il destinatario dei dati possa essere già soggetto al regolamento europeo, in base all’articolo 3.
Tuttavia, il comitato europeo stabilisce che la raccolta di dati, effettuata direttamente presso gli interessati che si trovino nell’unione europea, non costituisce un trasferimento.
La presidente del comitato europeo ha precisato che queste linee guida rappresentano un punto di riferimento non solo per chi trasferisce dati in un paese terzo, ma anche per il soggetto che, avendo ricevuto dati ed essendo residente in un paese terzo, a sua volta trasferisce questi dati in un altro paese.
Le linee guida sono a disposizione di tutti i lettori, in allegato, ricordando che chiunque può avanzare proposte di migliorie, inviandole direttamente al Comitato Europeo per la Protezione dei Dati, entro la fine di gennaio 2022.

Per maggiori informazioni
Telefono 041-995202
Email info@qasc.it

Fascicolo Sanitario Elettronico (FSE): i pazienti hanno diritto di scegliere quali dati oscurare.

Garante: sì alle Linee guida Agid sull’interoperabilità delle banche dati pubbliche.

Importanti novità da parte del Garante in materia di maggiori tutele per i dati giudiziari, diritto di scegliere quali dati oscurare nel Fascicolo Nazionale Elettronico e Linee guida Agid sull’interoperabilità delle banche dati pubbliche.

Link all’articolo del Garante per la Protezione dei Dati Personali.

Per maggiori informazioni
Telefono 041-995202
Email info@qasc.it