Décret d'application de la directive NIS : l'Italie rate une belle opportunité. Le 16 mai, le Conseil des ministres a approuvé le décret législatif transposant la directive européenne 2016/1148, dite directive NIS (Sécurité des réseaux et de l'information), qui établit des mesures pour un niveau élevé et commun de sécurité des réseaux et des systèmes d'information dans toute l'Union. La directive met l'accent sur les points clés suivants : l'amélioration des capacités de cybersécurité des États membres, le renforcement de la coopération et une gestion plus efficace des risques par les opérateurs de services essentiels et les fournisseurs de services numériques. Elle exige également de chaque État membre qu'il élabore une stratégie nationale de cybersécurité, visant à définir des politiques de sécurité adéquates et des mesures de sensibilisation. Le décret d'application suit de près le cadre de la directive et, concernant les compétences déléguées aux États membres, le choix du gouvernement italien de créer un système modérément décentralisé a suscité un vif intérêt. Les organismes directement chargés de la mise en œuvre de la directive NIS, les autorités compétentes NIS, ont été désignés, par secteur d'intérêt, au sein de cinq ministères : Développement économique, Infrastructures et Transports, Économie et Finances, et Santé et Environnement. Le Département de l'information sur la sécurité (DIS), désigné comme point de contact unique conformément à l'article 8 de ladite directive, a été centralisé afin d'assurer la coopération transfrontalière entre les autorités compétentes NIS et celles des autres États membres, ainsi qu'avec le groupe de coopération et le réseau CSIRT Teram (Réponse aux incidents de sécurité informatique), auquel les opérateurs de services essentiels doivent transmettre les notifications d'incidents cybernétiques ayant un impact significatif sur les services qu'ils fournissent. Concernant précisément l'identification des opérateurs de services essentiels et celle des obligations de sécurité, le décret d'application n'introduit aucune nouveauté, reprenant les critères énoncés dans la directive, notamment à ses articles 5 et 14, auxquels il est fait référence. Concernant les modalités de traitement des données personnelles à respecter lors de la mise en œuvre du décret, la disposition fait référence, de manière non technique, au décret législatif 196/2003 (Code de la protection des données personnelles), bien que ce dernier soit désormais considéré, au moins en partie, remplacé par le RGPD (Règlement général sur la protection des données) de l'UE, en vigueur depuis le 25 mai 2018, qui constitue la principale source réglementaire en la matière. S'agissant de la nature et du type des sanctions applicables, le gouvernement italien, exerçant son large pouvoir discrétionnaire en la matière, a jugé efficace, proportionnée et dissuasive l'application d'une sanction administrative, dont le montant maximal, pour les infractions imputables aux opérateurs de services essentiels, s'élève à 150 000 €. Enfin, la même latitude a été accordée aux États membres pour étendre le champ d'application de la directive à des secteurs autres que ceux expressément mentionnés (notamment : l'énergie, les transports, la banque, les marchés financiers, la santé, l'approvisionnement et la distribution en eau potable, l'infrastructure numérique, ainsi que les moteurs de recherche, les services cloud et les plateformes de commerce électronique). Toutefois, en ne recourant pas à cette option, le gouvernement italien a a fortiori manqué l'occasion d'étendre le champ d'application de la mesure européenne aux administrations publiques. En effet, cette option semblait jusqu'à présent la solution privilégiée, compte tenu du rôle clé que joue l'administration publique dans l'économie et la sécurité du pays, ainsi que du volume considérable de données, y compris des données sensibles, qu'elle traite. De plus, un nombre important d'organismes publics opérant dans des secteurs stratégiques couverts par le décret, tels que la santé, les transports et l'approvisionnement en eau potable, seront vraisemblablement considérés comme des fournisseurs de services essentiels et, à ce titre, soumis aux dispositions de la directive