La direttiva (UE) 2022/2555 del 14 dicembre 2022, approvata congiuntamente dal Parlamento europeo e dal Consiglio dell’Unione europea, relativa a misure per un livello comune elevato di cybersicurezza nell’Unione, cosiddetta direttiva NIS 2, ha introdotto un quadro uniforme di obblighi in materia di sicurezza informatica da applicarsi a una molteplicità di soggetti operanti nei settori dell’energia, dei trasporti, bancario, sanitario, delle infrastrutture digitali, nonché le pubbliche amministrazioni centrali, regionali e locali.

A tale approvazione si è pervenuti con la consapevolezza della assoluta necessità di rafforzare le difese dei sistemi-paese e quindi dell’intera comunità europea nei confronti della sempre più evoluta minaccia cyber in un periodo storico peraltro caratterizzato da molteplici conflitti che utilizzano le tecnologie ICT come strumento di offesa tanto da far emergere nuove dottrine militari e scenari di conflitto (la c.d. “guerra ibrida”).

La direttiva in parola è stata quindi recepita nell’ordinamento nazionale con decreto legislativo 4 settembre 2024, n. 138, recante “Recepimento della direttiva (UE) 2022/2555, relativa a misure per un livello comune elevato di cybersicurezza nell’Unione, recante modifica del regolamento (UE) n. 910/2014 e della direttiva (UE) 2018/1972 e che abroga la direttiva (UE) 2016/1148” (di seguito anche solo “decreto NIS”).

Il decreto sopra citato individua l’Agenzia per la cybersicurezza nazionale (ACN) quale Autorità nazionale competente NIS, definendo il perimetro soggettivo di applicazione – che comprende, come già anticipato, i soggetti appartenenti ai settori dell’energia, dei trasporti, bancario, sanitario, delle infrastrutture digitali, nonché le pubbliche amministrazioni centrali, regionali e locali – e distinguendo, in base a soglie dimensionali e al ruolo strategico ricoperto, tra soggetti: essenziali; importanti e fuori ambito.

A carico dei soggetti essenziali e importanti il decreto pone, tra gli altri, degli obblighi di registrazione presso l’ACN, di adozione di politiche e di misure organizzative e tecniche, di gestione del rischio proporzionate al rischio stesso, di notifica degli incidenti significativi.

Il Consiglio regionale del Veneto, qualificato ex lege quale “soggetto importante” ai sensi del D.Lgs. n. 138/2024 (Allegato III), è stato inserito nell’elenco dei soggetti NIS a seguito della dichiarazione resa ai sensi dell’art. 7 del medesimo decreto mediante l’apposita piattaforma informatica, come attestato dalla comunicazione dell’Agenzia per la cybersicurezza nazionale acquisita al protocollo n. 5264 del 14 aprile 2025.

Nell’ambito degli adempimenti del decreto NIS, alcuni di questi obblighi sono posti in capo agli organi di amministrazione e direttivi, attraverso gli artt. 23 e 24 di seguito integralmente riportati:

art. 23 - Organi di amministrazione e direttivi

1. Gli organi di amministrazione e gli organi direttivi dei soggetti essenziali e dei soggetti importanti:

1. approvano le modalità di implementazione delle misure di gestione dei rischi per la sicurezza informatica adottate da tali soggetti ai sensi dell'articolo 24;

2. sovrintendono all'implementazione degli obblighi di cui al presente capo e di cui all'articolo 7;

3. sono responsabili delle violazioni di cui al presente decreto.

2. Gli organi di amministrazione e gli organi direttivi dei soggetti essenziali e dei soggetti importanti:

1. sono tenuti a seguire una formazione in materia di sicurezza informatica;

2. promuovono l'offerta periodica di una formazione coerente a quella di cui alla lettera a) ai loro dipendenti, per favorire l'acquisizione di conoscenze e competenze sufficienti al fine di individuare i rischi e valutare le pratiche di gestione dei rischi per la sicurezza informatica e il loro impatto sulle attività del soggetto e sui servizi offerti.

3. Gli organi di amministrazione e gli organi direttivi dei soggetti essenziali e dei soggetti importanti sono informati su base periodica o, se opportuno, tempestivamente, degli incidenti e delle notifiche di cui agli articoli 25 e 26.

art. 24 - Obblighi in materia di misure di gestione dei rischi per la sicurezza informatica

1. I soggetti essenziali e i soggetti importanti adottano misure tecniche, operative e organizzative adeguate e proporzionate, secondo le modalità e i termini di cui agli articoli 30, 31 e 32, alla gestione dei rischi posti alla sicurezza dei sistemi informativi e di rete che tali soggetti utilizzano nelle loro attività o nella fornitura dei loro servizi, nonché per prevenire o ridurre al minimo l'impatto degli incidenti per i destinatari dei loro servizi e per altri servizi. Tali misure:

1. assicurano un livello di sicurezza dei sistemi informativi e di rete adeguato ai rischi esistenti, tenuto conto delle conoscenze più aggiornate e dello stato dell'arte in materia e, ove applicabile, delle pertinenti norme nazionali, europee e internazionali, nonché dei costi di attuazione;

1. sono proporzionate al grado di esposizione a rischi del soggetto, alle dimensioni del soggetto e alla probabilità che si verifichino incidenti, nonché alla loro gravità, compreso il loro impatto sociale ed economico.

2. Le misure di cui al comma 1 sono basate su un approccio multi-rischio, volto a proteggere i sistemi informativi e di rete nonché il loro ambiente fisico da incidenti, e comprendono almeno i seguenti elementi:

1. politiche di analisi dei rischi e di sicurezza dei sistemi informativi e di rete;

2. gestione degli incidenti, ivi incluse le procedure e gli strumenti per eseguire le notifiche di cui agli articoli 25 e 26;

3. continuità operativa, ivi inclusa la gestione di backup, il ripristino in caso di disastro, ove applicabile, e gestione delle crisi;

4. sicurezza della catena di approvvigionamento, ivi compresi gli aspetti relativi alla sicurezza riguardanti i rapporti tra ciascun soggetto e i suoi diretti fornitori o fornitori di servizi;

5. sicurezza dell'acquisizione, dello sviluppo e della manutenzione dei sistemi informativi e di rete, ivi comprese la gestione e la divulgazione delle vulnerabilità;

6. politiche e procedure per valutare l'efficacia delle misure di gestione dei rischi per la sicurezza informatica;

7. pratiche di igiene di base e di formazione in materia di sicurezza informatica;

8. politiche e procedure relative all'uso della crittografia e, ove opportuno, della cifratura;

9. sicurezza e affidabilità del personale, politiche di controllo dell'accesso e gestione dei beni e degli assetti;

12. uso di soluzioni di autenticazione a più fattori o di autenticazione continua, di comunicazioni vocali, video e testuali protette, e di sistemi di comunicazione di emergenza protetti da parte del soggetto al proprio interno, ove opportuno.

3. Nel valutare quali misure di cui al comma 2, lettera d), siano adeguate, i soggetti tengono conto delle vulnerabilità specifiche per ogni diretto fornitore e fornitore di servizi e della qualità complessiva dei prodotti e delle pratiche di sicurezza informatica dei propri fornitori e fornitori di servizi, comprese le loro procedure di sviluppo sicuro. Per la medesima finalità i soggetti tengono altresì conto dei risultati delle valutazioni coordinate dei rischi per la sicurezza delle catene di approvvigionamento critiche effettuate dal Gruppo di cooperazione NIS.

4. Qualora un soggetto rilevi di non essere conforme alle misure di cui al comma 2, esso adotta, senza indebito ritardo, tutte le misure appropriate e proporzionate correttive necessarie.

Con determinazione del Direttore Generale dell’ACN n. 379907 del 19 dicembre 2025 (che ha aggiornato e sostituito la precedente determinazione n. 164179 del 14 aprile 2025), l’Agenzia ha stabilito le modalità e le specifiche di base per l’adempimento degli obblighi previsti dal D.Lgs. n. 138/2024. In particolare, gli allegati tecnici alla citata determinazione recano le misure di sicurezza di base che i soggetti NIS sono tenuti ad adottare per l’assolvimento degli obblighi previsti dagli artt. 23 e 24 del D.Lgs. n. 138/2024, nonché le tipologie di incidenti significativi di base che i soggetti sono tenuti a notificare al CSIRT Italia (Computer Security Incident Response Team nazionale) ai sensi dell’art. 25 del decreto NIS.

Le suddette specifiche hanno trovato successiva e più puntuale esplicitazione nelle “Linee Guida NIS” pubblicate online rispettivamente nel settembre 2025 (“Guida alla lettura”) e nel dicembre 2025 (“Definizione del processo di gestione degli incidenti di sicurezza informatica”), nonché nei chiarimenti interpretativi (FAQ) pubblicati sul sito ufficiale dell’Agenzia per la cybersicurezza nazionale (link: https://www.acn.gov.it/portale/faq/nis).

Per quanto qui di interesse, le misure di sicurezza di base da adottare ai sensi degli articoli 23 e 24 del decreto NIS sono individuate – con riferimento ai soggetti importanti, tra i quali rientra il Consiglio regionale del Veneto – nell’Allegato I alla determinazione del Direttore generale dell’ACN sopra citata. Il termine per l’attuazione di tali misure è fissato, ai sensi dell’articolo 3 della medesima determinazione, in diciotto mesi dalla ricezione – da parte del soggetto NIS – della comunicazione di inserimento nell’elenco dei soggetti NIS, ovvero, per i soggetti ricompresi nel primo ciclo di applicazione della disciplina, il termine ricade nel mese di ottobre 2026.

Ai sensi dell’Allegato I alla citata determinazione del Direttore generale dell’ACN, il soggetto NIS è tenuto, ai fini dell’attuazione delle misure di sicurezza e della dimostrazione della loro effettiva implementazione, a predisporre specifiche evidenze documentali. Come chiarito nelle “Linee Guida NIS - Guida alla lettura” del settembre 2025 (par. 2.5 e Appendice C), l’approvazione dei documenti che definiscono gli indirizzi e la pianificazione strategica in materia di sicurezza compete in via esclusiva agli organi di amministrazione e direttivi individuati dal soggetto NIS, senza possibilità di delega. Le procedure, le istruzioni operative e i manuali di natura tecnica possono, invece, essere adottati e aggiornati dalle strutture competenti senza necessità di approvazione da parte dei predetti organi.

In relazione all’assetto istituzionale e organizzativo del Consiglio regionale del Veneto, tenuto conto delle attribuzioni previste dalla Legge regionale statutaria 17 aprile 2012, n. 1 (art. 41), dalla Legge regionale 31 dicembre 2012, n. 53 “Autonomia del Consiglio regionale” (art. 10), dal Regolamento regionale n. 1/2015 “Regolamento del Consiglio regionale del Veneto” (art. 17) e dal Regolamento regionale n. 1/2022 “Regolamento interno di amministrazione e organizzazione ai sensi dell’articolo 2 della legge regionale 31 dicembre 2012, n. 53 ‘Autonomia del Consiglio regionale’” (artt. 1, 5, e 34), si ritiene opportuno sottoporre all’Ufficio di Presidenza – in qualità di organo di amministrazione che sovrintende al funzionamento delle strutture organizzative e amministrative del Consiglio regionale e riveste quindi il ruolo di alta direzione di indirizzo – l’approvazione degli indirizzi strategici e della documentazione fondamentale in materia di sicurezza informatica, composta dai seguenti allegati opportunamente predisposti:

• allegato A - Organizzazione per la sicurezza informatica;

• allegato B - Politiche di sicurezza informatica.

Si ritiene altresì opportuno proporre all’Ufficio di Presidenza di demandare al Comitato di Direzione, tenuto conto delle attribuzioni previste dalla Legge regionale 31 dicembre 2012, n. 53 “Autonomia del Consiglio regionale” (art. 22), dal Regolamento regionale n. 1/2022 “Regolamento interno di amministrazione e organizzazione ai sensi dell’articolo 2 della legge regionale 31 dicembre 2012, n. 53 ‘Autonomia del Consiglio regionale’” (art. 50 comma 10) – il quale riveste il ruolo di alta direzione operativa e quindi di organo direttivo – l’approvazione dei documenti di seguito elencati, nel rigoroso rispetto di quanto previsto dai documenti di indirizzo ovvero “Organizzazione per la sicurezza informatica” (allegato A) e “Politiche di sicurezza informatica” (allegato B), avendo cura di adottare, con il supporto delle strutture amministrative competenti e in ottica di integrazione con l’attuale “Sistema integrato di gestione” (SIG), le procedure tecniche, le istruzioni operative, i manuali, i registri e gli ulteriori atti attuativi previsti, valorizzando inoltre le prassi e la documentazione già in essere:

• Valutazione del rischio posto alla sicurezza dei sistemi informativi e di rete;

• Piano di trattamento del rischio;

• Piano di gestione delle vulnerabilità;

• Piano di adeguamento;

• Piano di continuità operativa;

• Piano di ripristino in caso di disastro;

• Piano di gestione delle crisi;

• Piano di formazione;

• Piano per la gestione degli incidenti di sicurezza informatica;

Tutto ciò premesso, il Relatore propone di sottoporre all’approvazione dell’Ufficio di Presidenza il seguente provvedimento.

L’UFFICIO DI PRESIDENZA

• udito il Relatore, il quale dà atto che il Servizio competente ha dichiarato che la pratica è stata regolarmente istruita con l’osservanza della vigente normativa europea, statale e regionale;

• vista la direttiva (UE) 2022/2555 del Parlamento europeo e del Consiglio del 14 dicembre 2022;

• visto il decreto legislativo 4 settembre 2024, n. 138 e, in particolare, l’articolo 23 del medesimo, relativo agli obblighi posti in capo agli organi di amministrazione e direttivi;

• tenuto conto delle determinazioni e delle linee guida NIS adottate dall’Agenzia per la cybersicurezza nazionale, nonché dei chiarimenti interpretative pubblicati sul sito ufficiale ACN in materia di modalità e specifiche di base per l’adempimento degli obblighi previsti dal decreto legislativo n. 138 del 2024;

• preso atto dell’inserimento del Consiglio regionale del Veneto nell’elenco dei soggetti NIS con la qualificazione di soggetto importante, come da comunicazione ACN prot. n. 5264 del 14 aprile 2025;

• visto l’articolo 41 della Legge regionale statutaria 17 aprile 2012, n. 1 “Statuto del Veneto”;

• vista la Legge regionale 31 dicembre 2012, n. 53, in materia di “Autonomia del Consiglio regionale”;

• visto il Regolamento regionale 14 aprile 2015, n. 1 “Regolamento del Consiglio regionale del Veneto”;

• visto il Regolamento regionale 18 febbraio 2022, n. 1, recante “Regolamento interno di amministrazione e organizzazione ai sensi dell’articolo 2 della legge regionale 31 dicembre 2012, n. 53 ‘Autonomia del Consiglio regionale’”;

• considerato che la gestione dei rischi per la sicurezza informatica richiede un sistema organico di governo, pianificazione, controllo e aggiornamento delle misure di cybersicurezza;

• precisato che la documentazione sottoposta all’approvazione definisce gli indirizzi e la pianificazione strategica delle misure di sicurezza;

• ritenuto necessario assicurare l’applicazione delle misure di sicurezza informatica secondo criteri di proporzionalità, gradualità e adeguatezza;

• ritenuto di approvare il modello organizzativo, le politiche e gli indirizzi strategici predisposti in attuazione della normativa NIS;

• ritenuto di demandare al Comitato di Direzione il piano di adeguamento comprensivo delle procedure tecniche, delle istruzioni operative, dei manuali, dei registri e degli ulteriori atti attuativi previsti, valorizzando le prassi e la documentazione già in essere;

• dato atto che le risorse finanziarie necessarie all’attuazione degli interventi saranno definite nell’ambito degli strumenti di programmazione finanziaria e gestionale del Consiglio regionale;

• acquisiti i pareri e i visti previsti dalla normativa e dai regolamenti interni;

• a voti unanimi e palesi;

1) di approvare quale parte integrante e sostanziale del presente atto quanto riportato in premessa;

2) di approvare i seguenti allegati, da intendersi quale parte integrante e sostanziale del presente atto:

allegato A - Organizzazione per la sicurezza informatica;

allegato B - Politiche di sicurezza informatica;

3) di demandare al Comitato di Direzione l’approvazione dei seguenti documenti nel rigoroso rispetto di quanto previsto dai documenti di indirizzo ovvero “Organizzazione per la sicurezza informatica” (allegato A) e “Politiche di sicurezza informatica” (allegato B), in coerenza con il “Sistema integrato di gestione” e con il supporto delle strutture amministrative competenti:

• Valutazione del rischio posto alla sicurezza dei sistemi informativi e di rete;

• Piano di trattamento del rischio;

• Piano di gestione delle vulnerabilità;

• Piano di adeguamento;

• Piano di continuità operativa;

• Piano di ripristino in caso di disastro;

• Piano di gestione delle crisi;

• Piano di formazione;

• Piano per la gestione degli incidenti di sicurezza informatica;

4) di pubblicare nel BURVET la presente deliberazione in forma integrale, ad esclusione degli allegati, a cura della Segreteria generale.