Glossario NIS2 e AI Act

Le parole del D.Lgs. 138/2024, delle determinazioni ACN e dell’AI Act, ognuna con la sua definizione, il riferimento normativo e le fonti.

ACN (Agenzia per la cybersicurezza nazionale): L'ACN (Agenzia per la cybersicurezza nazionale) è l'autorità pubblica che in Italia applica la NIS2: registra i soggetti, stabilisce come adempiere agli obblighi, riceve le notifiche di incidente e controlla, fino a sanzionare.
Art. 24: misure di gestione dei rischi: L'art. 24 del D.Lgs. 138/2024 obbliga i soggetti essenziali e importanti ad adottare misure tecniche, operative e organizzative adeguate e proporzionate per gestire i rischi dei propri sistemi informativi e di rete, e fissa dieci elementi che queste misure devono coprire come minimo.
Categorizzazione di attività e servizi: La categorizzazione di attività e servizi è l'elenco che ogni soggetto essenziale e importante comunica ogni anno all'ACN, dal 1° maggio al 30 giugno, attribuendo a ciascuna attività o servizio una categoria di rilevanza.
CSIRT Italia: Il CSIRT Italia è il gruppo nazionale di risposta agli incidenti di sicurezza informatica: opera all'interno dell'ACN e riceve le notifiche di incidente che la NIS2 impone ai soggetti essenziali e importanti.
Deployer (AI Act): Il deployer è, nell'AI Act, la persona o l'organizzazione che utilizza un sistema di intelligenza artificiale sotto la propria autorità, salvo che lo faccia per un'attività personale non professionale: in pratica, l'azienda che adotta e usa uno strumento di IA sviluppato da altri.
Fornitore rilevante NIS: Un fornitore rilevante NIS è un fornitore di servizi o prodotti a un soggetto NIS2 che soddisfa almeno uno di due criteri: la fornitura è ICT, oppure la sua interruzione avrebbe un impatto significativo perché non è facilmente sostituibile.
Incidente significativo: Un incidente significativo è un incidente informatico che ha causato, o può causare, una grave perturbazione dei servizi o perdite finanziarie per il soggetto, oppure perdite considerevoli ad altre persone o aziende: è l'incidente che la NIS2 obbliga a notificare.
Misure di sicurezza di base: Le misure di sicurezza di base sono l'elenco di misure tecniche e organizzative che l'ACN chiede ai soggetti NIS2 per adempiere agli artt. 23 e 24 del decreto: 43 misure con 116 requisiti per gli essenziali, 37 misure con 87 requisiti per gli importanti.
Notifica di incidente significativo: La notifica di incidente significativo è l'obbligo, per i soggetti essenziali e importanti, di comunicare al CSIRT Italia ogni incidente con impatto significativo, in più passaggi a scadenza fissa: 24 ore, 72 ore, un mese.
Organi di amministrazione e direttivi (art. 23): Gli organi di amministrazione e direttivi (per una PMI, di solito il consiglio di amministrazione o l'amministratore unico) sono, per l'art. 23 del D.Lgs. 138/2024, i responsabili della sicurezza informatica del soggetto NIS2: approvano le misure, ne sorvegliano l'attuazione e rispondono delle violazioni.
Perimetro NIS2 (ambito di applicazione): Il perimetro NIS2 è l'insieme delle organizzazioni a cui si applica il D.Lgs. 138/2024: di regola le medie e grandi imprese dei settori elencati negli Allegati I e II, più alcune categorie incluse a prescindere dalla dimensione.
Pre-notifica: La pre-notifica è il primo avviso che un soggetto NIS2 invia al CSIRT Italia quando ha evidenza di un incidente significativo: va trasmessa senza ingiustificato ritardo e comunque entro 24 ore.
Punto di contatto: Il punto di contatto è la persona fisica che il soggetto NIS2 designa per curare l'attuazione del decreto: accede al Portale ACN, fa la registrazione annuale e interloquisce con l'ACN per conto dell'organizzazione.
Soggetto essenziale: Un soggetto essenziale è un'organizzazione che rientra nella NIS2 italiana con la categoria più esigente: deve adottare 43 misure di sicurezza di base e rischia sanzioni fino a 10 milioni di euro o al 2% del fatturato mondiale.
Soggetto importante: Un soggetto importante è un'organizzazione che rientra nel perimetro della NIS2 italiana ma non è classificata come essenziale: ha gli stessi tipi di obblighi, con 37 misure di base invece di 43 e sanzioni più basse.

Torna alle risorse