NIS2 Italië: verplichtingen, compliance en sancties

Wat betekent dit voor mijn bedrijf?

1. Registratieprocedure bij ACN (Art. 7)

In het kader van de implementatie van de Europese NIS2-richtlijn heeft Italië een nationale registratieprocedure ingevoerd voor publieke en private entiteiten die onder de regelgeving vallen. Deze procedure wordt beheerd door de Agenzia per la Cybersicurezza Nazionale (ACN).

Tussen 1 december 2024 en 28 februari 2025 moeten alle organisaties die onder de Italiaanse NIS2-wet vallen zich registratie via het digitale portaal van de ACN. Deze registratie is verplicht en vormt een essentieel onderdeel van het toezicht op de cyberbeveiliging in kritieke sectoren. Voor DNS-dienstverleners, registers voor topleveldomeinnamen, aanbieders van cloudcomputingdiensten, aanbieders van datacentrumdiensten, aanbieders van netwerken voor de levering van inhoud, aanbieders van beheerde diensten, aanbieders van beheerde beveiligingsdiensten, aanbieders van onlinemarktplaatsen, van onlinezoekmachines en van platforms voor socialenetwerkdiensten, en verleners van vertrouwensdiensten geldt dat deze zich dienen te registreren tegen 17 januari 2025.

Als uw organisatie wordt aangemerkt als een essentiële of belangrijke entiteit, op basis van de beschreven criteria in het hoofdstuk ‘NIS2-entiteiten’, moet u de volgende informatie aanleveren bij ACN:

• Bedrijfsnaam;
• Adres en contactgegevens, met inbegrip van de e-mailadressen en telefoonnummers;
• De aanwijzing van een contactpersoon, met vermelding van de functie bij de entiteit en de actuele contactgegevens, met inbegrip van de e-mailadressen en telefoonnummers;
• Indien van toepassing, de relevante sectoren, subsectoren en soorten entiteiten als bedoeld in de bijlagen I, II, III en IV.

Uiterlijk op 31 maart 2025 stelt de bevoegde nationale autoriteit de lijst op van entiteiten die als essentieel of belangrijk worden beschouwd. Daarbij wordt aan de betrokken organisaties formeel medegedeeld of zij zijn opgenomen in de lijst, of hun bestaande status als NIS2-entiteit wordt bevestigd of zij uit de lijst zijn verwijderd.

In de periode van 15 april tot en met 31 mei van elk jaar dienen de betrokken entiteiten hun gegevens te verstrekken of bij te werken. Voor entiteiten die ondersteuning hebben aangevraagd bij de jaarlijkse actualisatie, wordt de deadline uitgesteld tot 31 juli. De volgende informatie moet minimaal aangeleverd worden:

• Het IP-adresbereik en de domeinnamen van de organisatie;
• Een overzicht van de lidstaten waarin diensten worden aangeboden die onder de reikwijdte van de NIS2-richtlijn vallen;
• De contactgegevens van de verantwoordelijke personen, inclusief hun functie, e-mailadres en telefoonnummer;
• De contactgegevens van een vervanger voor het aanspreekpunt, eveneens met vermelding van hun functie, e-mailadres en telefoonnummer.

Elke wijziging in bovenstaande gegevens dient binnen 14 werkdagen te worden doorgegeven. 

Organisaties die geen overheidsinstantie zijn, dienen voorafgaand aan de registratie een zelfevaluatie uit te voeren. Verdere toelichting en richtlijnen zijn beschikbaar via de website van ACN onder FAQ 3.1.

2. Beheersmaatregelen cybersecurity (Art. 24)

Als uw organisatie gecategoriseerd is als essentiële of belangrijke entiteit, betekent dit dat u verantwoordelijk bent voor het implementeren van passende technische en organisatorische maatregelen om de beveiliging van uw netwerk- en informatiesystemen te waarborgen. Deze cybersecurity beheersmaatregelen betreffen minstens:

• Beleid voor risicoanalyse en beveiliging van informatiesystemen 
• Incidentenbeheer 
• Bedrijfscontinuïteit, zoals back-upbeheer en noodherstel, en crisisbeheer 
• Beveiliging van toeleveringsketen 
• Beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen, met inbegrip van de respons op en bekendmaking van kwetsbaarheden 
• Beleid en procedures om de effectiviteit van maatregelen voor het beheer van cyberbeveiligingsrisico’s te beoordelen 
• Cyberhygiëne en opleiding op het gebied van cyberbeveiliging 
• Beleid en procedures over cryptografie en in voorkomend geval encryptie 
• Beveiligingsaspecten ten aanzien van personeel, toegangsbeleid en beheer van activa 
• Gebruik van multifactorauthenticatie of continue authenticatieoplossingen, beveiligde spraak-, video- en tekstcommunicatie en beveiligde noodcommunicatiesystemen binnen de entiteit, indien van toepassing. 

De Europese Commissie heeft in de uitvoeringsverordening 2024/2690 de bovenstaande minimummaatregelen voor cyberbeveiliging uitgewerkt voor DNS -dienstverleners, registers voor topleveldomeinnamen, aanbieders van cloudcomputingdiensten, aanbieders van datacentrumdiensten, aanbieders van netwerken voor de levering van inhoud, aanbieders van beheerde diensten, aanbieders van beheerde beveiligingsdiensten, aanbieders van onlinemarktplaatsen, van onlinezoekmachines en van platforms voor socialenetwerkdiensten, en verleners van vertrouwensdiensten.

Organisaties die als belangrijk worden aangemerkt, dienen de maatregelen toe te passen zoals omschreven in bijlage 1 van de Resolutie 164179 van 14 april 2025. Voor organisaties die als essentieel worden beschouwd, geldt dat zij de maatregelen moeten volgen zoals vastgesteld in bijlage 2 van dezelfde resolutie.

Meer informatie omtrent de basismaatregelen vindt u hier.

3. Rapportageverplichting van significante incidenten (Art. 25, 26)

Belangrijke en essentiële entiteiten zijn verplicht het nationale Computer Security Incident Response Team (CSIRT), zijnde CSIRT Italia, in kennis te stellen wanneer zich een significant incident voordoet. Daarnaast dienen zij ook de ontvangers van hun diensten op de hoogte te brengen indien het significant incident de verlening van de diensten betreffende de (sub)sectoren van bijlage I tot IV affecteert.  

Een incident wordt als significant beschouwd, wanneer

• Het incident heeft geleid of kan leiden tot ernstige verstoring van de dienstverlening of financiële verliezen voor de getroffen entiteit of
• Het incident andere natuurlijke of rechtspersonen heeft getroffen of kan treffen door het veroorzaken van aanzienlijke materiële of immateriële schade.

Het significante incident wordt door de essentiële en belangrijke entiteit gemeld per mail aan infected@csirt.gov.it of via de online tool volgens volgende procedure: 

1. Onmiddellijk en binnen de 24 uur nadat zij kennis heeft gekregen van het significante incident, dient de entiteit een vroegtijdige waarschuwing in, met melding van vermoedelijke oorzaak en eventuele grensoverschrijdende gevolgen; 
2. Onmiddellijk en binnen de 72 uur nadat zij kennis heeft gekregen van het significante incident, communiceert de entiteit een incidentenmelding dat een informatie-update bevat en een initiële beoordeling van het incident. Voor aanbieders van vertrouwensdiensten geldt een termijn van 24 uur voor het indienen van een incidentenrapport;
3. Op verzoek van CSIRT Italia dient de entiteit een tussentijds verslag in;
4. Uiterlijk 1 maand na de incidentenmelding dient de entiteit een eindverslag in met vermelding van: 
   
   1. Een gedetailleerde beschrijving van het incident, alsook de ernst en de gevolgen ervan;
   2. Het soort bedreiging of de grondoorzaak die waarschijnlijk tot het incident heeft geleid;
   3. Toegepaste en lopende risicobeperkende maatregelen;
   4. De grensoverschrijdende gevolgen van het incident, indien van toepassing.
5. Indien het incident nog lopende is een maand na de incidentenmelding, dient de entiteit een voorgangsverslag in en binnen de maand na de afhandeling van incident wordt een eindverslag ingediend.

De Europese Commissie heeft in de uitvoeringsverordening 2024/2690 de criteria voor een significant incident bepaald voor DNS -dienstverleners, registers voor topleveldomeinnamen, aanbieders van cloudcomputingdiensten, aanbieders van datacentrumdiensten, aanbieders van netwerken voor de levering van inhoud, aanbieders van beheerde diensten, aanbieders van beheerde beveiligingsdiensten, aanbieders van onlinemarktplaatsen, van onlinezoekmachines en van platforms voor sociale netwerkdiensten, en verleners van vertrouwensdiensten. Deze bijzondere regels hebben voorrang op de nationale regels in het geval van tegenstrijdigheden. 

Tot slot kunnen alle entiteiten, ongeacht  of zij vallen binnen het toepassingsgebied van de NIS2-wet vrijwillig (significante) incidenten, cyberdreigingen en bijna-incidenten melden bij het CSIRT Italia.

Meer informatie omtrent het melden van significante cyberincidenten kan u hier vinden.

4. Verplichtingen en verantwoordelijkheden van het management

De bestuursorganen van essentiële en belangrijke entiteiten zijn verantwoordelijk voor de naleving van de NIS2-wet en dienen verschillende verplichtingen na te komen waaronder:

• Goedkeuren van de beheersmaatregelen voor cyberbeveiliging en toezicht houden op de naleving ervan
• Volgen van training om over voldoende kennis en vaardigheden te beschikken om risico’s te kunnen identificeren en beheersmaatregelen en de impact ervan op hun diensten te kunnen beoordelen
• Voortdurend bijscholen van de werknemers van de cyber security entiteit op het gebied van cyber security

De bestuursorganen zijn aansprakelijk bij niet-naleving van de NIS2-wet.

5. Samenwerken met autoriteiten

Essentiële en belangrijke entiteiten dienen samen te werken met de nationale autoriteiten. Betreft het uitwisselen van informatie over de beveiliging van netwerk- en informatiesystemen, rapporteren van incidenten, samenwerking met de inspectiedienst enzovoort.