Art. 24 — Obblighi in materia di misure di gestione dei rischi per la sicurezza informatica

I soggetti essenziali e i soggetti importanti adottano misure tecniche, operative e organizzative adeguate e proporzionate, secondo le modalita' e i termini di cui agli articoli 30, 31 e 32, alla gestione dei rischi posti alla sicurezza dei sistemi informativi e di rete che tali soggetti utilizzano nelle loro attivita' o nella fornitura dei loro servizi, nonche' per prevenire o ridurre al minimo l'impatto degli incidenti per i destinatari dei loro servizi e per altri servizi. Tali misure:

• a)assicurano un livello di sicurezza dei sistemi informativi e di rete adeguato ai rischi esistenti, tenuto conto delle conoscenze piu' aggiornate e dello stato dell'arte in materia e, ove applicabile, delle pertinenti norme nazionali, europee e internazionali, nonche' dei costi di attuazione;
• b)sono proporzionate al grado di esposizione a rischi del soggetto, alle dimensioni del soggetto e alla probabilita' che si verifichino incidenti, nonche' alla loro gravita', compreso il loro impatto sociale ed economico. Le misure di cui al comma 1 sono basate su un approccio multi-rischio, volto a proteggere i sistemi informativi e di rete nonche' il loro ambiente fisico da incidenti, e comprendono almeno i seguenti elementi:
• a)politiche di analisi dei rischi e di sicurezza dei sistemi informativi e di rete;
• b)gestione degli incidenti, ivi incluse le procedure e gli strumenti per eseguire le notifiche di cui agli articoli 25 e 26;
• c)continuita' operativa, ivi inclusa la gestione di backup, il ripristino in caso di disastro, ove applicabile, e gestione delle crisi;
• d)sicurezza della catena di approvvigionamento, ivi compresi gli aspetti relativi alla sicurezza riguardanti i rapporti tra ciascun soggetto e i suoi diretti fornitori o fornitori di servizi;
• e)sicurezza dell'acquisizione, dello sviluppo e della manutenzione dei sistemi informativi e di rete, ivi comprese la gestione e la divulgazione delle vulnerabilita';
• f)politiche e procedure per valutare l'efficacia delle misure di gestione dei rischi per la sicurezza informatica;
• g)pratiche di igiene di base e di formazione in materia di sicurezza informatica;
• h)politiche e procedure relative all'uso della crittografia e, ove opportuno, della cifratura;
• i)sicurezza e affidabilita' del personale, politiche di controllo dell'accesso e gestione dei beni e degli assetti;
• l)uso di soluzioni di autenticazione a piu' fattori o di autenticazione continua, di comunicazioni vocali, video e testuali protette, e di sistemi di comunicazione di emergenza protetti da parte del soggetto al proprio interno, ove opportuno. Nel valutare quali misure di cui al comma 2, lettera d), siano adeguate, i soggetti tengono conto delle vulnerabilita' specifiche per ogni diretto fornitore e fornitore di servizi e della qualita' complessiva dei prodotti e delle pratiche di sicurezza informatica dei propri fornitori e fornitori di servizi, comprese le loro procedure di sviluppo sicuro. Per la medesima finalita' i soggetti tengono altresi' conto dei risultati delle valutazioni coordinate dei rischi per la sicurezza delle catene di approvvigionamento critiche effettuate dal Gruppo di cooperazione NIS. Qualora un soggetto rilevi di non essere conforme alle misure di cui al comma 2, esso adotta, senza indebito ritardo, tutte le misure appropriate e proporzionate correttive necessarie.