Il D.Lgs. 138/2024 ha recepito in Italia la Direttiva (UE) 2022/2555 (NIS2) sulla sicurezza delle reti e dei sistemi informativi. Rispetto alla prima NIS il perimetro è molto più ampio: oltre a energia, trasporti, sanità e infrastrutture digitali comprende molti settori manifatturieri, alimentari, chimici e della gestione dei rifiuti, con aziende medie e grandi classificate come soggetti essenziali o importanti.
Gli adempimenti ricorrenti
- registrazione o aggiornamento sulla piattaforma dell'Agenzia per la Cybersicurezza Nazionale (ACN) ogni anno tra il 1° gennaio e il 28 febbraio;
- categorizzazione delle attività e dei servizi nella finestra indicata da ACN (per il 2026, dal 1° maggio al 30 giugno);
- designazione di un punto di contatto e di un referente per il CSIRT Italia.
Misure di sicurezza e incidenti
- adozione delle misure di sicurezza di base definite dalle determinazioni ACN, entro termini che decorrono dalla comunicazione di inclusione nell'elenco (per i soggetti inseriti nel 2025, secondo le fonti di settore, entro ottobre 2026);
- notifica degli incidenti significativi al CSIRT Italia: pre-notifica entro 24 ore, notifica entro 72 ore e relazione finale;
- responsabilità diretta degli organi di amministrazione, che devono approvare le misure e seguire una formazione specifica.
Le scadenze individuali dipendono dalla data di inclusione comunicata da ACN: la prima cosa da fare è verificarle nell'area riservata del portale.
ITEC ProSafe H&S supporta le imprese nell'analisi dei rischi e nell'impostazione delle procedure di sicurezza delle informazioni, in coordinamento con la consulenza per la gestione della sicurezza dei dati.
