Cybersicurezza: definite le regole per applicare la clausola di salvaguardia

---

Condividi l'articolo:

---

Nella Gazzetta Ufficiale n. 33 del 10 febbraio 2025, è stato pubblicato il Decreto del Presidente del Consiglio dei Ministri (DPCM) n. 221 del 9 dicembre 2024.

Nel decreto è contenuto il Regolamento per la definizione dei criteri per l'applicazione della clausola di salvaguardia prevista dall'articolo 3, commi 4 e 12, del Decreto Legislativo n. 138/2024 (decreto NIS), adottato in attuazione della Direttiva (UE) n. 2022/2555 sulla cibersicurezza (Direttiva NIS 2).

Il regolamento consente a determinati soggetti di derogare all’applicazione dell’articolo 6, paragrafo 2, della Raccomandazione 2003/361/CE, che definisce le categorie di micro, piccole e medie imprese, qualora l'applicazione di tale normativa non risulti proporzionata.

Requisiti per la richiesta della clausola di salvaguardia

Il decreto stabilisce che la clausola di salvaguardia può essere richiesta esclusivamente da soggetti che dimostrino l'indipendenza totale dei loro sistemi informativi e di rete, nonché delle loro attività e servizi NIS rispetto alle imprese collegate.

In altre parole, il funzionamento delle infrastrutture digitali e delle operazioni aziendali del soggetto richiedente non deve dipendere in alcun modo da un gruppo di imprese di cui fa parte o da altre entità collegate.

Tuttavia, tale possibilità di deroga non è concessa ai soggetti già sottoposti agli obblighi del decreto NIS ai sensi dell’articolo 3, comma 10.

Procedura di richiesta e valutazione

Per richiedere l’applicazione della clausola, i soggetti interessati devono presentare la domanda attraverso la piattaforma digitale istituita dal decreto NIS. Una volta ricevuta la richiesta, l'Autorità nazionale competente NIS valuterà la sussistenza dei requisiti e fornirà un riscontro formale mediante la medesima piattaforma.

Le dichiarazioni fornite dai richiedenti sono soggette alle disposizioni dell’articolo 76 del DPR n. 445/2000, in materia di responsabilità per dichiarazioni mendaci.

Il regolamento, oltreché in Gazzetta Ufficiale, è stato pubblicato sui siti istituzionali della Agenzia per la Cybersicurezza Nazionale (ACN) e delle Autorità di settore NIS.

Il DPCM è entrato in vigore l'11 febbraio 2025, giorno successivo alla sua pubblicazione in GU.