Scadenze direttiva NIS2: Guida su obblighi, soggetti coinvolti e come adeguarsi

La Direttiva NIS2 impone a molte organizzazioni pubbliche e private nuovi obblighi in materia di cybersecurity. Di seguito, una panoramica completa e chiara di chi è coinvolto, quali sono le principali scadenze, e cosa deve fare in pratica un’azienda per essere conforme.

Quali sono i soggetti coinvolti: “essenziali” e “importanti”

La NIS2 classifica le organizzazioni obbligate in due macro-categorie:

• Soggetti essenziali: generalmente grandi imprese che operano in settori considerati altamente critici (energia, trasporti, sanità, infrastrutture digitali, ecc.).
• Soggetti importanti: generalmente medie imprese che operano negli ambiti essenziali di cui sopra o comunque almeno medie imprese che operano in ambiti comunque rilevanti per la sicurezza e la continuità operativa (fabbricazione e distribuzione di sostanze chimiche, produzione trasformazione e distribuzione di alimenti, gestione dei rifiuti, ecc.).

1. Scadenza maggio 2025: Trasmissione e aggiornamento delle informazioni

Entro fine maggio 2025, i soggetti essenziali e importanti devono:

• inserire nel portale ACN i dati relativi a indirizzi IP a dispozione e nomi dominio;
• Individuare un sostituto del punto di contatto
• Inserire nel portale ACN ulteriori informazioni sui servizi erogati e sull’organo direttivo

2. Scadenza ottobre 2026: Adozione delle misure di sicurezza

Entro 18 mesi dalla ricezione della comunicazione ufficiale di iscrizione nell’elenco NIS 2, i soggetti:

• Importanti devono attuare le misure contenute nell’Allegato 1 della Determina ACN n. 164179 del 14 aprile 2025.
• Essenziali devono adottare le misure descritte nell’Allegato 2.

Le misure sono basate sul Framework Nazionale per la Cybersecurity 2025 e si articolano in:

• Funzioni (es. protezione, rilevamento, risposta)
• Categorie e sottocategorie (es. controllo accessi, gestione delle vulnerabilità)
• Requisiti pratici da soddisfare

Esempio: Una società di servizi finanziari (soggetto essenziale) dovrà implementare un piano documentato per il trattamento dei rischi informatici, assicurarsi di avere una politica aggiornata di gestione delle credenziali e di backup, e mantenere un registro delle attività di formazione del personale in ambito cybersecurity.

Come prodedere:

• Pianificare un assesment di conformità rispetto agli allegati di riferimento.
• Avviare l’implementazione delle misure con priorità sui sistemi critici.
• Predisporre e approvare internamente i piani di continuità operativa e gestione incidenti.

3. Scadenza gennaio 2026: Notifica degli incidenti significativi

A partire da 9 mesi dalla comunicazione di iscrizione all’elenco NIS 2, le organizzazioni devono:

• Notificare al CSIRT Italia gli incidenti significativi secondo:
  • Allegato 3 per i soggetti importanti (della Determina ACN n. 164179 del 14 aprile 2025)
  • Allegato 4 per i soggetti essenziali

Esempio:
Un attacco ransomware che blocca l’operatività di un ospedale, o una violazione di dati in una società di telecomunicazioni, deve essere notificato senza ingiustificato ritardo secondo le procedure del piano incidenti.

Come procedere

• Redigere un piano per la gestione degli incidenti informatici.
• Nominare un punto di contatto per la notifica al CSIRT Italia.
• Simulare esercitazioni di gestione incidenti per testare la prontezza operativa.

Le scadenze della NIS2 non sono semplici formalità, ma scadenze tecniche e organizzative vincolanti, con potenziali sanzioni in caso di inadempienza.

Le aziende coinvolte devono:

• Verificare il proprio status NIS 2 (essenziale o importante).
• Raccogliere e aggiornare le informazioni richieste da ACN.
• Pianificare l’adozione delle misure tecniche previste dagli allegati della Determinazione.
• Predisporre piani, registri e procedure operative
• Formare il proprio personale

Hai bisogno di un supporto operativo per adeguarti alla NIS2? La nostra società offre audit, formazione, consulenza tecnica e legale per garantire la piena conformità. Contattaci per un primo incontro conoscitivo.