Nell’ambito del convegno organizzato da Paradigma “Governance societaria e presidi organizzativi adeguati per la gestione dei cyber risk”, l’Avv. Alessandro Del Ninno è intervenuto con una relazione dal titolo “Incident management e obblighi di notifica”, dedicata al quadro normativo e agli adempimenti operativi che disciplinano la gestione e la segnalazione degli incidenti di sicurezza informatica.
L’intervento ha esaminato i principali obblighi di notifica previsti dalla normativa europea e nazionale in materia di cybersicurezza e protezione dei dati personali, con particolare attenzione al coordinamento tra i diversi regimi regolatori applicabili alle imprese e agli operatori dei settori maggiormente esposti ai rischi informatici.
Uno specifico approfondimento ha riguardato gli obblighi di segnalazione degli incidenti rilevanti previsti dalla disciplina NIS 2, la tassonomia degli incidenti adottata dall’Agenzia per la Cybersicurezza Nazionale (ACN) e le implicazioni operative della Determinazione ACN n. 164179 del 14 aprile 2025, con riferimento alla classificazione degli eventi, all’individuazione dei presupposti di notifica e alla gestione dei relativi adempimenti.
Particolare attenzione è stata inoltre dedicata agli aggiornamenti delle categorie di incidenti soggetti a notifica da parte degli operatori inclusi nel Perimetro di Sicurezza Nazionale Cibernetica, alla luce del DPCM n. 111 del 4 giugno 2025, nonché alle esigenze di coordinamento tra gli obblighi di comunicazione previsti dalle differenti normative settoriali e dalla disciplina sulla protezione dei dati personali.
La relazione ha affrontato anche il sistema sanzionatorio applicabile in caso di violazione degli obblighi normativi e il ruolo delle attività periodiche di testing nella verifica dell’efficacia dei presidi di sicurezza, delle procedure di incident management e della capacità organizzativa di individuare, classificare e gestire tempestivamente gli eventi informatici.
L’intervento ha offerto un inquadramento giuridico e operativo delle principali responsabilità e criticità connesse alla gestione degli incidenti cyber, evidenziando l’importanza di procedure interne coordinate, flussi informativi efficaci e adeguati presidi documentali per assicurare la conformità normativa, la tempestività delle notifiche e la resilienza digitale delle organizzazioni.
