NIS2: obblighi e scadenze per il 2026

Siamo ormai entrati a pieno regime nell’applicazione della normativa NIS2, e molte aziende hanno già superato la fase iniziale di incertezza, trovandosi a dover rispondere a una domanda cruciale: “la nostra organizzazione rientra nel campo di applicazione della NIS2?”

Tutti coloro che realmente saranno soggetti alla normativa, hanno ricevuto la PEC da parte dell’ACN, Autorità Nazionale Competente NIS, con la conferma o meno della tipologia di soggetto indicata nella registrazione.

Nella stessa PEC si invita anche a: “Per completezza di informazione, si evidenzia che, entro il 31 maggio 2025, il punto di contatto deve procedere all’inserimento e all’aggiornamento, per conto di codesta organizzazione, delle informazioni di cui all’articolo 7, commi 4 e 5, tramite il Portale dei Servizi raggiungibile all’indirizzo portale.acn.gov.it.”

Quali saranno i prossimi step? Cosa prevede in concreto la NIS2? Vediamoli insieme.

ADEMPIMENTI RICHIESTI DALLA NIS2

Con l’obiettivo di migliorare la resilienza e la cybersecurity, la NIS2 evidenzia dei punti cardine sul quale sarà necessario intervenire. In particolare:

Art. 24 comma 2

1. Politiche di analisi dei rischi e di sicurezza dei sistemi informativi e di rete;
2. Gestione degli incidenti, ivi incluse le procedure e gli strumenti per eseguire le notifiche di cui agli articoli 25 e 26;
3. Resilienza e continuità operativa, ivi inclusa la gestione di backup, il ripristino in caso di disastro, ove applicabile, e gestione delle crisi;
4. Sicurezza della catena di approvvigionamento, ivi compresi gli aspetti relativi alla sicurezza riguardanti i rapporti tra ciascun soggetto e i suoi diretti fornitori o fornitori di servizi;
5. Sicurezza dell’acquisizione, dello sviluppo e della manutenzione dei sistemi informativi e di rete, ivi comprese la gestione e la divulgazione delle vulnerabilità;
6. Politiche e procedure per valutare l’efficacia delle misure di gestione dei rischi per la sicurezza informatica;
7. Pratiche di igiene di base e di formazione in materia di sicurezza informatica;
8. Politiche e procedure relative all’uso della crittografia e, ove opportuno, della cifratura;
9. Sicurezza e affidabilità del personale, politiche di controllo dell’accesso e gestione dei beni e degli assetti;
10. Uso di soluzioni di autenticazione a più fattori o di autenticazione continua, di comunicazioni vocali, video e testuali protette, e di sistemi di comunicazione di emergenza protetti da parte del soggetto al proprio interno, ove opportuno.

Quanto sopra prevede misure che vadano a rafforzare il livello generale di cibersicurezza nell’UE attraverso una gestione approfondita del rischio, la capacità di garantire la continuità operativa, di proteggere reti e sistemi informativi nonché modalità di gestione degli incidenti, come vedremo nei prossimi paragrafi, e la loro corretta segnalazione.

Ciò in un’ottica di cooperazione e condivisione delle informazioni per creare un fronte comune omogeneo e solido inserendo 18 settori critici in tutta l’UE.

Il prossimo fondamentale capitolo, invece, si focalizza sulla gestione degli incidenti, elemento cruciale della normativa.

Art. 25 comma 1-2-3

1. I soggetti essenziali e i soggetti importanti notificano, senza ingiustificato ritardo, al CSIRT Italia ogni incidente che, ai sensi del comma 4, ha un impatto significativo sulla fornitura dei loro servizi, secondo le modalità e i termini di cui agli articoli 30, 31 e 32;
2. Le notifiche includono le informazioni che consentono al CSIRT Italia di determinare un eventuale impatto transfrontaliero dell’incidente;
3. La notifica non espone il soggetto che la effettua a una maggiore responsabilità rispetto a quella derivante dall’incidente.

Art. 25 comma 4

4. Un incidente è considerato significativo se:
5. a) ha causato o è in grado di causare una grave perturbazione operativa dei servizi o perdite finanziarie per il soggetto interessato;
6. b) ha avuto ripercussioni o è idoneo a provocare ripercussioni su altre persone fisiche o giuridiche causando perdite materiali o immateriali considerevoli.

La gestione degli incidenti, come anticipato, è un aspetto molto importante; viene, infatti, evidenziato in maniera scrupolosa cosa è necessario fare ed entro quanto tempo.

Al comma 3 dell’art. 25 viene inoltre specificato che notificare gli incidenti non espone chi notifica a ulteriori responsabilità…anzi, è fondamentale farlo.

DELIBERA 136117 e PROSSIME SCADENZE

La delibera 13117 stabilisce i termini, le modalità e i procedimenti di utilizzo e accesso al Portale ACN e ai Servizi NIS. Su quali punti leva la presente determina?

1. Punto di contatto
   • Il punto di contatto è una persona fisica designata dal soggetto NIS con il compito di curare l’attuazione delle disposizioni del decreto NIS per conto del soggetto stesso. In particolare, il punto di contatto
     1. accede al Portale ACN e ai Servizi NIS,
     2. effettua, per conto del soggetto, la registrazione di cui all’articolo 7 del decreto NIS, e
     3. interloquisce, per conto del soggetto NIS, con l’Autorità nazionale competente NIS.
   • Le funzioni di punto di contatto possono essere svolte dal rappresentante legale, un procuratore generale o un dipendente delegato.
   • Qualora il soggetto sia parte di un gruppo di imprese, le funzioni di punto di contatto possono essere svolte da un dipendente di un’altra impresa del gruppo che rientra nell’ambito di applicazione del decreto NIS.
   • Qualora il soggetto NIS sia una pubblica amministrazione, il punto di contatto può essere un dipendente di un’altra pubblica amministrazione.
   • Il punto di contatto riferisce direttamente al vertice gerarchico del soggetto NIS nonché agli organi di amministrazione e direttivi del soggetto medesimo ai fini di quanto previsto dal decreto NIS.
   • Resta ferma, in ogni caso, la responsabilità degli organi di amministrazione e direttivi del soggetto NIS ai sensi dell’articolo 23 del decreto NIS e delle persone fisiche ai sensi dell’articolo 38 del medesimo decreto
   • Designazione del nuovo punto di contatto in caso di avvicendamento.
2. Designazione del Sostituto del Punto di Contatto
   • Il sostituto punto di contatto è una persona fisica, distinta dal punto di contatto, designato con le medesime modalità di quest’ultimo ai sensi dell’articolo 4 a cui si applicano le previsioni del citato articolo.
   • Il sostituto supporta il punto di contatto nelle sue funzioni e può interloquire con l’Autorità nazionale competente NIS.
   • Il sostituto è designato entro il 31 maggio dell’anno in cui il soggetto NIS ha ricevuto comunicazione di inserimento nell’elenco dei soggetti NIS.
3. Fornire e aggiornare le informazioni previste dall’art. 7, comma 4 e 5 del decreto NIS
   • Dal 15 aprile al 31 maggio 2025, gli utenti aggiornano le informazioni tramite il Servizio NIS/Aggiornamento annuale.
   • Per tutti i soggetti NIS:
4. Verifica e aggiornamento dei dati anagrafici e di contatto del soggetto NIS e dei suoi rappresentanti.
5. Conferma delle informazioni fornite e trasmissione telematica all’Autorità nazionale competente NIS.
6. Definizione degli organi di amministrazione e direttivi
   • Gli utenti devono elencare i codici fiscali e gli indirizzi di posta elettronica certificata delle persone fisiche che compongono gli organi di amministrazione e direttivi tramite il Servizio NIS/Aggiornamento annuale.
   • Queste informazioni devono essere confermate dal punto di contatto.
   • Le persone fisiche appartenenti agli organi di amministrazione e direttivi devono accettare tale indicazione accedendo al Portale ACN, seguendo la procedura telematica indicata nella richiesta inviata al loro indirizzo di posta elettronica certificata.

DELIBERA 164179

In data 14 aprile, l’ACN ha rilasciato un’altra delibera molto importante, la 164179 “… stabilisce le modalità e le specifiche di base per l’adempimento agli obblighi di cui agli articoli 23,24,25,29 e 32” ovvero una serie di misure e requisiti sviluppati nel contesto del Framework Nazionale per la Cybersecurity e la Data Protection versione 2025 basato sul Framework NIST v. 2.0.

Nello specifico:

1. I soggetti “importanti” dovranno adottare 37 misure, declinate in 87 requisiti
2. I soggetti “essenziali” dovranno adottare ulteriori 6 misure e 29 requisiti (per un totale di 43 misure e 116 requisiti).

Termini per l’adozione delle specifiche di base:

• 18 mesi dalla ricezione della comunicazione di conferma da parte dell’ACN, per assolvere le misure di sicurezza base agli allegati 1 e 2;
• 9 mesi, invece, per l’adempimento dell’obbligo di notifica degli incidenti di base definiti agli allegati 3 e 4.

NIS2: PROSSIME SCADENZE per il 2026

Ricapitolando le prossime scadenze…

1. a) A partire da gennaio 2026: obbligo di notifica di base;
2. b) Entro aprile 2026: elaborazione e adozione del modello di categorizzazione delle attività e dei servizi;
3. c) Entro aprile 2026: elaborazione e adozione degli obblighi a lungo termine;
4. d) Entro settembre 2026: completa implementazione delle misure di sicurezza di base.

Per quanto stringenti, le scadenze sono da rispettare in maniera accurata apponendo realmente cambiamenti alle realtà aziendali, senza incappare nel rischio di vedere la NIS2 come un mero adempimento burocratico, bensì reputarlo come un ottimo esercizio di gestione informatica aziendale.

Parliamo sicuramente di un’importante sfida che molte aziende non erano pronte a dover affrontare, ma avvalendosi delle giuste risorse, si possono ottenere ottimi risultati giungendo all’obiettivo comune di innalzare il livello di sicurezza informatica, cosa di cui necessitavamo già da tempo.

In conclusione, se la tua azienda rientra nel campo di applicazione NIS2 e non sai da dove partire per adempierle, contattaci: Contatti – Mondo 27001.

Fonti:

• ACN
• Cybersecurity360

Leggi anche: NIS2: piattaforma per la registrazione dei soggetti sul sito di ACN – Mondo 27001