Le previsioni del Decreto, che si applicheranno a decorrere dal 18 ottobre 2024, introducono importanti novità per i soggetti, pubblici o privati, che operano nei settori considerati "critici" e "altamente critici" (e.g., energia, trasporti, settore sanitario) e che sono soggetti alla giurisdizione nazionale.
In particolare, tra le altre, il Decreto introduce alcune novità per determinati soggetti, definiti, a seconda del settore e/o delle dimensioni, come soggetti essenziali o soggetti importanti. Tra queste:
a) l'obbligo di adottare, secondo un approccio multi-rischio, misure tecniche, operative e organizzative adeguate e proporzionate alla gestione dei rischi che minacciano la sicurezza dei sistemi informativi e di rete che tali soggetti utilizzano nelle loro attività o nella fornitura dei loro servizi, nonché per prevenire o ridurre al minimo l'impatto degli incidenti per i destinatari dei loro servizi e per altri servizi;
b) l'obbligo di notificare, senza ingiustificato ritardo, eventuali incidenti che hanno un impatto significativo sulla fornitura dei servizi.
Inoltre, gli organi amministrativi e direttivi dei soggetti essenziali e dei soggetti importanti sono efficacemente responsabilizzati e coinvolti sul tema della cybersicurezza. In proposito, infatti, il Decreto stabilisce che detti organi approvano le modalità di implementazione delle misure di gestione dei rischi per la sicurezza informatica adottate, ne sovrintendono l'implementazione e, infine, sono responsabili delle violazioni del Decreto.
Sotto tale ultimo aspetto, il Decreto prevede, tra le altre, sanzioni amministrative pecuniarie, che vanno fino ad Euro 10 milioni (o al 2% del totale fatturato annuo su scala mondiale per l'esercizio precedente) per i soggetti essenziali, e fino ad Euro 7 milioni (o all'1,4% del totale del fatturato annuo su scala mondiale per l'esercizio precedente) per i soggetti importanti.
In conclusione, i soggetti interessati dovranno adeguarsi alle novità del Decreto e ai significativi mutamenti normativi nell'ambito della sicurezza informatica a livello nazionale che esso comporta, al fine di costruire un ecosistema digitale coeso, in cui è essenziale la collaborazione con le autorità di controllo e la consapevolezza dei potenziali rischi operativi, utile a prevenire e gestire in maniera efficace gli incidenti informatici.
