News13

Lo scorso 17 Gennaio 2023 è entrata in vigore la Direttiva UE 2022/2555 del Parlamento europeo e del Consiglio del 14 dicembre 2022 sulla sicurezza delle reti e delle informazioni (c.d. Direttiva NIS2), che ha abrogato la precedente Direttiva UE 2016/1148.

La Direttiva in parola segna un passo fondamentale verso la piena definizione della strategia per la cybersicurezza dell’Unione Europea.

I sistemi informatici e di rete, infatti, occupano ormai una posizione centrale nella vita di tutti i giorni con la rapida trasformazione digitale e l’interconnessione della società, anche negli scambi transfrontalieri. Da ciò ne è disceso un aumento delle minacce informatiche, a fronte delle quali devono essere predisposti adeguati presidi.

Cosa cambia con l’entrata in vigore della Direttiva NIS2?

La Direttiva segna anzitutto un rilevante cambiamento rispetto al passato: la cybersicurezza non è più un tema di esclusivo interesse di chi gestisce i sistemi informativi, ma adesso riguarda anche gli organi di gestione aziendale, i quali saranno tenuti a prendere parte a percorsi di formazione specifici in tema di cyber security.

In concreto, l’art. 21 della Direttiva individua le misure, basate su un approccio c.d. multirischio, idonee a proteggere i sistemi informatici di rete e il loro ambito fisico da incidenti ed il cui contenuto minimo prevede:

1. politiche di analisi dei rischi e di sicurezza dei sistemi informatici;
2. gestione degli incidenti;
3. continuità operativa, come la gestione del backup e il ripristino in caso di disastro, e gestione delle crisi;
4. sicurezza della catena di approvvigionamento, compresi aspetti relativi alla sicurezza riguardanti i rapporti tra ciascun soggetto e i suoi diretti fornitori o fornitori di servizi;
5. sicurezza dell’acquisizione, dello sviluppo e della manutenzione dei sistemi informatici e di rete, compresa la gestione e la divulgazione delle vulnerabilità;
6. strategie e procedure per valutare l’efficacia delle misure di gestione dei rischi di cibersicurezza;
7. pratiche di igiene informatica di base e formazione in materia di cibersicurezza;
8. politiche e procedure relative all’uso della crittografia e, se del caso, della cifratura;
9. sicurezza delle risorse umane, strategie di controllo dell’accesso e gestione degli attivi;
10. uso di soluzioni di autenticazione a più fattori o di autenticazione continua, di comunicazioni vocali, video e testuali protette e di sistemi di comunicazione di emergenza protetti da parte del soggetto al proprio interno, se del caso.

Inoltre, si dovrà tenere conto delle vulnerabilità specifiche per ogni diretto fornitore e fornitore di servizi e della qualità complessiva dei prodotti e delle pratiche di cybersicurezza dei propri fornitori e fornitori di servizi, comprese le loro procedure di sviluppo sicuro.

I soggetti c.d. essenziali e importanti, come individuati dalla Direttiva NIS2, dovranno perciò adeguarsi a dette misure.

Gli Stati membri hanno adesso tempo fino al 17 Ottobre 2024 per recepire le disposizioni della Direttiva in esame.

Di recente, il d.lgs. 231/2001, disciplinante la c.d. responsabilità da reato degli enti, ha subito due importanti mutamenti normativi, l’uno per via diretta e l’altro per via indiretta:

• da una parte, il 9 ottobre 2023 è stata pubblicata in Gazzetta Ufficiale la L. 137/2023, di conversione con modifiche del D.L. 105/2023 (noto come “Decreto Giustizia”), recante “Disposizioni urgenti in materia di processo penale e di processo civile di contrasto agli incendi boschivi di recupero dalle tossicodipendenze di salute e di cultura nonché in materia di personale della magistratura e della pubblica amministrazione”, mediante la quale, il legislatore ha introdotto nell’alveo dei reati-presupposto tre nuove fattispecie di reato: quelle di “Turbata libertà degli incanti” (art. 353 c.p.), di “Turbata libertà del procedimento di scelta dei contraenti” (art. 353-bis c.p.) e di “Trasferimento fraudolento di valori” (art. 512-bis c.p.), confluite negli artt. 24 e 25-octies.1 del decreto;
• dall’altra parte, con L. 206/2023, in vigore dall’11 gennaio 2024, nell’ottica della valorizzazione, promozione e tutela del c.d. Made in Italy, il legislatore è andato a modificare i due reati di “Vendita di prodotti industriali con segni mendaci”(art. 517 c.p.) e “Contraffazione di indicazioni geografiche o denominazione di origine dei prodotti agroalimentari” (art. 517-quater c.p.), già reati-presupposto del “decreto 231” (art. 25-bis.1), provvedendo, per quanto riguarda il primo, ad ampliarne l’ambito di operatività alla mera detenzione finalizzata alla vendita.

Entrambe le modifiche, ponendosi pienamente in linea con il trend di progressiva estensione della c.d. parte speciale della disciplina, hanno quindi comportato un ampliamento del “catalogo” dei reati-presupposto, vale a dire di quei reati capaci di impegnare direttamente la società laddove commessi, nell’interesse e/o vantaggio di questa, da parte di soggetti (apicali o sottoposti) alla stessa appartenenti.

Di conseguenza, entrambe gli interventi pongono il problema della gestione, tramite lo strumento del Modello di Organizzazione, Gestione e Controllo, dei corrispondenti rischi-reato all’interno delle singole realtà d’impresa.

• In quest’ottica, con riguardo al primo intervento normativo citato, è d’uopo evidenziare che, pur prevedendo già la maggior parte dei modelli organizzativi esistenti misure di prevenzione e controllo rispetto ai reati realizzabili nell’ambito dei rapporti con la Pubblica Amministrazione (quali sono, per l’appunto, quelli di turbata libertà degli incanti e del procedimento di scelta dei contraenti), le due nuove fattispecie hanno comportato, di fatto, una estensione del perimetro delle aree sensibili al rischio, atteso che le stesse si innestano, tra l’altro, anche nelle fasi prodromiche allo svolgimento delle gare pubbliche.

Sarà dunque necessario che le società procedano ad una attenta verifica dei presidi preventivi e di controllo esistenti, così da valutarne l’idoneità e l’efficacia anche rispetto a tali ulteriori attività sensibili.

• Lo stesso deve dirsi, inoltre, per la fattispecie di “Trasferimento fraudolento di valori” di cui all’art. 512-bis. (inserita, come detto, all’art. 25-octies.1, d.lgs. 231/2001, recante “Reati in materia di strumenti di pagamento diversi dai contanti”), la quale, presentando evidenti punti di contatto, circa il profilo preventivo, con altri reati già previsti all’art. 25-octies (ricettazione, riciclaggio, autoriciclaggio e impiego di denaro, beni o altre utilità di provenienza illecita) sembra destinata a collocarsi nel solco di aree di rischio verosimilmente già gestite nell’ambito dei presidi esistenti, ma comunque bisognose di una nuova attenta verifica nell’ottica della riduzione del rischio-reato.
• Analogo discorso va fatto, infine, con riguardo al secondo e più recente intervento normativo, il quale, come detto, ha ampliato il perimetro applicativo dell’art. 517 c.p. (“Vendita di prodotti industriali con segni mendaci”), già reato-presupposto della responsabilità da reato degli enti (art. 25-bis.1), prevedendo che, oltre alla commercializzazione del bene contraffatto, venga oggi punita anche la mera detenzione ai fini della vendita del prodotto.

Sulla scorta di tali ultimi interventi legislativi, pertanto, le società non potranno esimersi dal compiere un ulteriore sforzo di valutazione dei propri processi interni. Ciò allo scopo di comprendere il grado di impatto che i nuovi reati-presupposto potranno avere su di essi, adottando, al bisogno, nuove misure di riduzione e contenimento del rischio, tenuto anche conto delle gravi sanzioni (pecuniarie e interdittive) che la commissione di tali illeciti comporta.