Impianti portuali ISPS e normativa NIS 2: cosa fare

Normativa NIS2, prime fasi applicative

I temi posti dalla nuova normativa NIS2, anzi dal sistema di gestione che di fatto con essa viene introdotto, unitamente alla Determinazione del direttore generale dell’Agenzia per la Cybersicurezza nazionale del 26/11/2024, e relativa alle prime fasi applicative, consente di applicare i necessari riferimenti pratici, per l’attuazione concreta del dettato normativo, in funzione della prima scadenza generale, prevista per il 28/02/2025.

Quanto sopra si consolida anche in considerazione del fatto, che, dall’entrata in vigore del Decreto di recepimento, non risultano ancora vigenti atti giuridici settoriali di tipo integrativo, emessi dal ministero delle Infrastrutture e dei Trasporti, quale Autorità di settore NIS. E, dunque, riferibili alle autorità nazionali competenti in materia di port security, ed applicabili alle società di gestione degli impianti portuali di tipo ISPS.

Impianti portuali ISPS e normativa NIS2

Per quanto concerne l’appartenenza all’Allegato 1, gli impianti portuali ISPS, sono espressamente richiamati nel Settore 2.

Trasporti, Sottosettore c), Trasporto per vie d’acqua, del D.Lgs. n. 138/2024. Il sottosettore indicato, presenta dunque i seguenti sottosettori, considerati ad alta
criticità:

Per quanto di interesse, assumono rilievo le organizzazioni di cui al secondo capoverso, confermando così, con il richiamo al Regolamento (UE) n. 725/2004, l’inclusione di tutte le infrastrutture portuali che realizzano l’interfaccia nave/porto, per le finalità di port security, e previste dal Regolamento comunitario attuativo del Codice ISPS.

Port Facility Security Assessment

In questo senso, risulta utile ricordare come gli impianti portuali sottoposti alla disciplina ISPS, siano tenuti a dotarsi di un documento di valutazione dei rischi specifici di security (Port Facility Security Assessment), unitamente al conseguente piano operativo, contenente le specifiche misure di prevenzione e protezione dei rischi di security valutati, che devono essere implementate nell’infrastruttura di trasporto (Port Facility Security Plan), a cura del PFSO o del Security Manager, con funzione di PFSO.

La definizione di porto offerta dalla Direttiva 65

Allo stesso modo, sono richiamati gli organi di gestione dei porti, di cui alla Direttiva 2005/65/CE, come recepita con il D.Lgs. n. 203/2007. In questo caso, la definizione di porto offerta dalla Direttiva 65, inquadra l’infrastruttura come “una specifica area terrestre e marittima con confini definiti dallo Stato membro in cui il porto è situato, comprendente impianti e attrezzature intesi ad agevolare le operazioni commerciali di trasporto marittimo”.

Una definizione questa, che il D.Lgs. di recepimento declina correttamente sul piano più specifico della port security, e di qui evidenzia il legame con gli impianti portuali ISPS, definendo così il porto come, “una specifica area terrestre e marittima, comprendente impianti ed attrezzature intesi ad agevolare le operazioni commerciali di trasporto marittimo … che ha al suo interno uno o più impianti portuali dotati di un piano di sicurezza approvato a norma del Regolamento (UE) n. 725/2004”.

Il collegamento esistente tra porto ed impianto portuale

Il richiamo delle definizioni rende pertanto evidente, il collegamento che esiste tra porto (inteso come organo di gestione dei porti ed individuabile nelle ADSP o in assenza del capo di compartimento marittimo/AD) ed impianto portuale; un rapporto questo, che poggia sul piano del diritto amministrativo, non solo nei rapporti concessori di cui alla Legge n. 84/1994, come modificata dal D.Lgs. n. 169/2016, ma in particolare sul piano delle norme pubblicistiche di security portuale, di cui al D.Lgs. n. 203/2007.

Port security plan

Questo Decreto consolida, peraltro, il documento denominato Piano di security del porto o Port security plan (redatto previa esecuzione della valutazione di security del porto), quale documento che, “integra i piani di sicurezza degli impianti portuali elaborati a norma del Regolamento (CE) n. 725/2004”.

Il collegamento riconferma il nesso esistente tra impianto portuale ISPS e ADSP, anche e soprattutto rispetto alla valutazione dei rischi di security, che confluiscono nei diversi PFSA degli impianti portuali presenti nelle diverse circoscrizioni delle ADSP.

Un nesso fino ad oggi valorizzato rispetto ai rischi di security di tipo fisico, ma che oggi con la NIS2 dovranno essere formalmente valorizzati anche sul piano logico/informatico, con specifico riferimento ai Parr. B/15.3.5., B/15.7.3 e B/15.4.11. del Codice ISPS.

I criteri quantitativi e di soglia finanziaria

A questo punto, occorre volgere l’attenzione al D.Lgs. n 138/2024, ed in particolare ai suoi articoli 3 e 6, che congiuntamente consentono di definire a chi si applica la normativa e, in particolare, di distinguere fra i destinatari, i Soggetti essenziali ed i Soggetti importanti (categorie che sostituirebbero le precedenti classificazioni, di operatori di servizi essenziali e fornitori di servizi essenziali) considerati dalla nuova normativa.

Soggetti essenziali

In questo senso, l’art. 6, nei suoi commi 1 e 2, assorbe nella categoria dei Soggetti essenziali, anzitutto i soggetti di cui all’Allegato 1, che superano i massimali per le medie imprese di cui all’articolo 2, paragrafo 1, dell’allegato della raccomandazione 2003/361/CE, nonché le rimanenti categorie di cui al comma 1, lett. b) e ss., e di cui al comma 2, attraverso il richiamo all’art. 3, commi 6, 8, 9 e 10 (ivi incluso il richiamo all’art. 3, comma 5, lett. a, b, c, d).

Rilevano in questo senso i commi 8 e 9 dell’art. 3, con riferimento al comma 13 dello stesso articolo, laddove si prevede la facoltà in capo all’Autorità nazionale competente NIS, di individuare indipendentemente dalle dimensioni, soggetti specifici da ricondurre al perimetro NIS2 e fatta salva, al contrario, l’applicazione della clausola di salvaguardia (nei termini specificati dal successivo Dpcm in materia) di cui ai commi 4 e 12 dell’art. 3.

Soggetti importanti

Con criterio di residualità, il comma 3 dell’art. 6, classifica come soggetti importanti quelli di cui all’art. 3 che non sono considerati essenziali ai sensi dei commi 1 e 2 dell’art. 6, fatto salvo che non sia diversamente specificato.

In particolare, si fa riferimento all’art. 3, comma 2 del D.Lgs. n. 138/2024, per cui la normativa NIS2 si applica ai soggetti di cui alle categorie degli Allegati I e II, che superano i massimali per le piccole imprese ai sensi dell’art. 2, par. 2, dell’allegato della raccomandazione 2003/361/CE.

Da quanto sopra, ne discende che il consolidamento dei settori indicati negli Allegati, unitamente alla fissazione di criteri dimensionali e di fatturato specifici, per medie imprese, piccole imprese e microimprese (qualora appartenenti a settori critici), rappresentano i due principali criteri di riferimento, per l’applicazione della norma.

A chi si applica la direttiva NIS2

Con riferimento all’ambito specifico di esame del presente contributo, e riferito agli impianti portuali ISPS, la Direttiva NIS2 (come recepita dal D.Lgs 138/2024), si applicherebbe ai soggetti che:

• sono compresi nell’Allegato I, del D.Lgs. n. 138/2024: Allegato I, settori ad alta criticità. Settore trasporti, trasporto per vie d’acqua: “Organi di gestione dei porti quali definiti all’articolo 3, punto 1), della Direttiva 2005/65/CE, compresi i relativi impianti portuali quali definiti all’articolo 2, punto 11) del Regolamento (CE) n. 725/2004, e soggetti che gestiscono opere o attrezzature all’interno dei porti”;
• superano i massimali per le piccole imprese ai sensi dell’articolo 2, paragrafo 1 o paragrafo 2, dell’Allegato alla raccomandazione 2003/361/CE, qualora: l’impresa occupa più di 250 persone (intesi come effettivi ex art. 5) – media impresa; l’impresa occupa più di 50 persone (intesi come effettivi ex art. 5) – piccola impresa;
• e l’impresa realizza un fatturato annuo o un totale di bilancio annuo superiori a 50 milioni di euro – media impresa; l’impresa realizza un fatturato annuo o un totale di bilancio annuo superiori a 10 milioni di euro – piccola impresa.

Il criterio dimensionale

Con particolare riferimento al criterio dimensionale [1], relativo al calcolo dei dipendenti (art. 5, Raccomandazione 2003/361/CE), gli effettivi corrispondono al numero di unità lavorative-anno (ULA), ovvero al numero di persone che, durante tutto l’anno in questione, hanno lavorato nell’impresa o per conto di tale impresa a tempo pieno. Il lavoro dei dipendenti che non hanno lavorato tutto l’anno oppure che hanno lavorato a tempo parziale, a prescindere dalla durata, o come lavoratori stagionali, è contabilizzato in frazioni di ULA. Gli effettivi sono composti:

• dai dipendenti che lavorano nell’impresa;
• dalle persone che lavorano per l’impresa, ne sono dipendenti e, per la legislazione nazionale, sono considerati come gli altri dipendenti dell’impresa;
• dai proprietari gestori;
• dai soci che svolgono un’attività regolare nell’impresa e beneficiano di vantaggi finanziari da essa forniti.

Gli apprendisti con contratto di apprendistato o gli studenti con contratto di formazione non sono contabilizzati come facenti parte degli effettivi. La durata dei congedi di maternità o parentali non è contabilizzata.

Il caso delle imprese autonome, associate o collegate

Oltre a questo, si consideri che quanto sopra vale sia rispetto all’impresa autonoma, ma anche rispetto alle imprese associate o collegate (vedi art. 3, commi 1, 2, 3 della raccomandazione 2003/361/CE), rispetto alle quali “i dati inclusi quelli relativi agli effettivi, sono determinati sulla base dei conti e di altri dati dell’impresa” (art. 6 commi 1 e 2 della raccomandazione 2003/361/CE).

In questo senso, risulta chiaro l’ultimo capoverso del punto 2.3., Faq Acn, ambito di applicazione, per cui “qualora il soggetto ritenga che ciò non sia proporzionato – tenuto anche conto dell’indipendenza dello stesso dalle sue imprese associate o collegate in termini di servizi che fornisce e di sistemi informativi e di rete che utilizza nella fornitura di tali servizi – potrà richiedere una deroga ai sensi dell’articolo 3, comma 4, del decreto NIS, in presenza degli specifici criteri stabiliti dal Dpcm sull’applicazione della clausola di salvaguardia, adottato ai sensi dell’articolo 40, comma 1, lettera a), del decreto NIS”.

Coordinamento tra ADSP ed impianti portuali ISPS sottoposti a normativa NIS2

Come visto, le ADSP sono incluse ex lege nell’ambito di applicazione del D.Lgs. n. 138/2024 ex Allegato 1, settore 2, sottosettore c), e dunque sarebbero verosimilmente non valorizzabili all’interno dell’Allegato 3, che fa riferimento all’elenco delle amministrazioni pubbliche redatto dall’Istituto nazionale di statistica (come richiamato dal comma 6 dell’art. 3 del D.Lgs. n. 138/2024) alle quali, estende in ogni caso l’applicazione del perimetro NIS2.

Quanto sopra si avvalora, anche considerando l’ente di gestione dei porti, quale elemento sistemico della catena di approvvigionamento (non solo digitale) di uno o più soggetti considerati essenziali o importanti (per esempio, gli impianti portuali ISPS), e dunque valorizzandone la catena di fornitura non solo digitale.

Questa impostazione, troverebbe ulteriormente valore, qualora le ADSP (quali organi di gestione dei porti) in via diretta e/o per mezzo di società controllate, siano invece impegnate nella fornitura di servizi informativi e di rete agli impianti portuali ISPS, presenti nei porti ricompresi nelle circoscrizioni di appartenenza.

In tal senso, sarebbero incluse anche le eventuali società controllate dall’Ente e operanti per la fornitura di reti pubbliche di comunicazione elettronica, o di servizi di comunicazione elettronica dedicati a tutti gli stakeholder portuali (da intendersi qui come utenti ed operatori interni ed esterni agli impianti portuali ISPS e dunque anche le utenze riconducibili all’accesso nelle piattaforme digitali del Port Community System [2].