che cos'è la legge sulla sicurezza informatica e cosa cambia

Il Decreto sulla cibersicurezza recepisce la direttiva NIS2 nel diritto olandese

Il Decreto sulla cibersicurezza è la legge olandese che recepisce la direttiva europea NIS2 nelle norme nazionali. La NIS2 è una direttiva europea e una direttiva non è applicabile automaticamente in ogni paese — per questo è necessaria la legislazione nazionale. Nei Paesi Bassi è il Decreto sulla cibersicurezza, reperibile sul sito della wettenoverheid. Nel complesso, la legge segue la direttiva: gli stessi settori, la stessa classificazione in entità essenziali e importanti, e lo stesso nucleo di obblighi. Chi vuole sapere se il suo settore rientra negli allegatilo trova nella panoramica che costituisce la base di questa legge.

Ciò che cambia per le organizzazioni soggette alla legge è principalmente l'ambito degli obblighi. Arriva un obbligo di due diligence: adottare misure appropriate per proteggere i propri sistemi digitali. Arriva un obbligo di registrazione presso l'autorità di vigilanza. E arriva un obbligo di notifica in caso di incidenti, con la domanda di quando e a chi notificare. Per le organizzazioni che non rientrano direttamente nella legge, cambia indirettamente qualcosa: le organizzazioni obbligate devono valutare i loro fornitori, il che significa che anche le aziende non obbligate possono ricevere questionari e requisiti contrattuali. Chi si chiede perché riceve comunque queste domandelegge come funziona il trasferimento attraverso la catena di approvvigionamento.

Da dove deriva: l'attuazione degli articoli 21 e 23

Gli obblighi nel Decreto sulla cibersicurezza derivano direttamente dalla direttiva NIS2: l'articolo 21, paragrafo 2 della Direttiva (UE) 2022/2555 elenca le dieci misure che costituiscono la base dell'obbligo di due diligence, e l'obbligo di notifica è anch'esso stabilito nella direttiva. La legge olandese specifica questi requisiti nelle disposizioni nazionali, consultabili presso la wettenoverheid. L'NCSC fornisce indicazioni su come l'obbligo di due diligence e l'obbligo di notifica vengono attuati nella pratica.