Conformità NIS2 per il settore della gestione dei rifiuti

I servizi di gestione dei rifiuti sono essenziali per la protezione ambientale, la salute pubblica e le infrastrutture urbane in tutta l'Unione Europea. Sistemi di raccolta, impianti di selezione, impianti di riciclaggio e attività di trattamento di rifiuti pericolosi si basano sempre più su piattaforme logistiche digitali, sistemi di controllo industriale e tecnologie di processo automatizzate. Man mano che questi sistemi diventano più interconnessi, i rischi informatici possono incidere direttamente sulla sicurezza ambientale e sulla continuità operativa.

La Direttiva NIS2 stabilisce obblighi di cybersecurity a livello UE per le entità Essenziali e Importanti e amplia significativamente l'ambito del quadro NIS originario. La conformità alla NIS2 per il settore della gestione dei rifiuti riflette la necessità di proteggere le infrastrutture ambientali critiche da interruzioni e interferenze dolose.

La Direttiva si applica alle organizzazioni di medie e grandi dimensioni operanti nei settori designati, incluso quello della gestione dei rifiuti. Molti operatori regionali e privati della gestione dei rifiuti possono rientrare nell'ambito a seconda delle soglie dimensionali.

Se la vostra organizzazione opera nella gestione dei rifiuti, potreste ricadere sotto la NIS2 come essenziale o importante entità.

Il settore della gestione dei rifiuti è classificato come:

• Entità importante ai sensi dell'Allegato II

Allegato rilevante: Allegato II (Entità importanti)

Copertura del sottosettore (Allegato II – Gestione dei rifiuti):

• Imprese che svolgono attività di gestione dei rifiuti, escludendo le imprese per le quali la gestione dei rifiuti non costituisce l'attività economica principale

Questo include gli operatori responsabili della raccolta, del trasporto, del recupero, del riciclaggio e dello smaltimento dei rifiuti.

Le entità che soddisfano le soglie dimensionali applicabili sono trattate come entità Important ai sensi della NIS2.

La conformità alla NIS2 per il settore della gestione dei rifiuti si applica a:

• Medie imprese (50 o più dipendenti, oppure fatturato annuo superiore a 10 milioni di euro e totale di bilancio superiore a 10 milioni di euro; si computano le imprese associate e collegate)
• Grandi imprese che superano tali soglie

Ciò include operatori dei rifiuti municipali, aziende di riciclaggio, trattatori di rifiuti pericolosi e fornitori privati di servizi ambientali che soddisfano i criteri dimensionali dell'UE.

Le entità di medie e grandi dimensioni di questo settore soddisfano generalmente il criterio dimensionale NIS2. Le piccole e microentità sono generalmente escluse, salvo disposizione normativa indipendente dalle dimensioni o individuazione nazionale formale. Si applicano la definizione UE di PMI e l’aggregazione delle imprese associate e collegate ai sensi della raccomandazione 2003/361/CE; verificare le regole settoriali e il recepimento nazionale.

Ai sensi del Articolo 21 della Direttiva NIS2, le entità della gestione dei rifiuti devono implementare misure tecniche e organizzative adeguate e proporzionate per gestire i rischi di cybersecurity.

Le misure obbligatorie includono:

• Sistema di gestione del rischio
• Procedure di gestione degli incidenti
• Continuità operativa e disaster recovery
• Sicurezza della catena di fornitura
• Sviluppo e manutenzione sicuri
• Politiche su crittografia e cifratura
• Controllo degli accessi e autenticazione a più fattori (MFA)
• Gestione delle vulnerabilità e delle patch
• Formazione sull'igiene informatica
• Uso di comunicazioni sicure

Per il settore della gestione dei rifiuti, queste misure di sicurezza NIS2 devono proteggere i sistemi di gestione della logistica, le tecnologie di tracciamento delle flotte, le apparecchiature di processo industriale e i sistemi di monitoraggio ambientale.

La conformità alla NIS2 per il settore della gestione dei rifiuti richiede attenzione alla sicurezza delle tecnologie operative negli impianti di riciclaggio e trattamento, nonché al controllo delle reti di raccolta e smaltimento subappaltate. La resilienza dei sistemi e l'integrità dei dati sono essenziali per evitare interruzioni ambientali e operative.

Le entità della gestione dei rifiuti devono rispettare i tempi di segnalazione degli incidenti previsti dalla NIS2 per gli incidenti significativi.

Gli obblighi di segnalazione includono:

Le segnalazioni devono essere inviate al CSIRT nazionale o all'autorità competente.

La regola NIS2 delle 24 ore è particolarmente importante quando gli incidenti informatici interessano il trattamento di rifiuti pericolosi, il coordinamento delle flotte o i sistemi di controllo degli impianti. Gli incidenti che comportano interruzioni del servizio o rischi ambientali saranno generalmente considerati significativi.

La mancata segnalazione entro i termini prescritti può comportare provvedimenti sanzionatori e sanzioni pecuniarie.

La conformità alla NIS2 per il settore della gestione dei rifiuti impone responsabilità all'organo di gestione.

Requisiti chiave di governance includono:

• Approvazione da parte dell'organo di gestione delle misure di gestione del rischio informatico
• Supervisione continua dell'implementazione
• Formazione obbligatoria in materia di cybersecurity per il management
• Possibile esposizione a responsabilità personali ai sensi della normativa nazionale

Articolo 21 della Direttiva NIS2 innalza la supervisione della cybersecurity al livello dirigenziale. La direzione senior deve garantire che adeguate misure di salvaguardia e procedure di risposta siano formalmente adottate e mantenute.

Dato il ruolo ambientale del settore e la dipendenza dai sistemi digitali, i fallimenti di governance possono generare rischi sia operativi sia reputazionali.

In quanto entità dell'Allegato II, gli operatori della gestione dei rifiuti classificati come entità Important sono soggetti a vigilanza reattiva. Le autorità competenti avviano tipicamente misure di vigilanza a seguito di evidenze o notifiche di non conformità.

Le sanzioni amministrative per la non conformità sono:

• Entità Important: Fino a €7 milioni o il 1,4% del fatturato annuo mondiale totale (a seconda di quale importo sia maggiore)

Le leggi di recepimento nazionali possono dettagliare i meccanismi di vigilanza, ma la Direttiva stabilisce soglie minime armonizzate per le sanzioni tra gli Stati membri.

L'attività di applicazione dovrebbe concentrarsi sulla resilienza, la mitigazione del rischio ambientale e la continuità dei servizi.

Le imprese della gestione dei rifiuti dovrebbero adottare un piano di conformità strutturato:

1. Eseguire una valutazione delle lacune rispetto alla NIS2
2. Mappare i sistemi critici di raccolta, trattamento e smaltimento
3. Formalizzare un sistema di gestione del rischio informatico documentato
4. Aggiornare e testare piani di risposta agli incidenti e piani di contingenza
5. Revisionare i contratti con subappaltatori e fornitori tecnologici
6. Formare la leadership esecutiva e i responsabili operativi
7. Stabilire una procedura di segnalazione 24h/72h/1 mese

La preparazione anticipata riduce il rischio di interventi sanzionatori e le interruzioni operative.

Le entità della gestione dei rifiuti affrontano rischi specifici del settore ai sensi della NIS2:

• Interruzione operativa: Gli incidenti informatici possono interrompere le attività di raccolta o di trattamento.
• Esposizione ambientale: Sistemi compromessi possono influire sulla gestione dei rifiuti pericolosi.
• Compromissione della catena di fornitura: Subappaltatori e fornitori di attrezzature introducono rischi di terze parti.
• Sanzioni normative: La non conformità può comportare rilevanti penalità finanziarie.
• Danno reputazionale: La fiducia pubblica nei servizi ambientali può essere compromessa da guasti operativi.

La conformità alla NIS2 per il settore della gestione dei rifiuti è quindi una componente critica della resilienza ambientale e dell'allineamento normativo.