Hardware Ready Ready to Bench?
Le aziende incluse per la prima volta nell’elenco dei soggetti NIS nel corso del 2025 hanno diciotto mesi dalla comunicazione di inserimento per attuare le misure di sicurezza di base previste dal decreto legislativo 138/2024, che recepisce la direttiva NIS2. Per la maggior parte di queste aziende, tale termine scade nel corso di ottobre 2026.
Lo ricorda il Vademecum NIS pubblicato dall’Agenzia per la Cybersicurezza Nazionale (ACN), che riunisce in un unico documento gli adempimenti, le scadenze e i passaggi previsti dalla normativa. L’Agenzia sottolinea come questo documento debba essere interpretato non come una sequenza di comunicazioni indipendenti, ma come un processo continuo di gestione del rischio.
Nis2: perché è importante
Le misure, definite dalla Determinazione ACN 379907/2025 e differenziate tra soggetti “importanti” e “essenziali”, non si limitano alla redazione di policy scritte. Esse richiedono infatti la dimostrazione dell’effettiva implementazione di una solida governance della sicurezza, un’efficace gestione del rischio, l’accurato inventario degli asset, la gestione delle vulnerabilità e degli incidenti, la continuità operativa, la sicurezza della catena di fornitura e la formazione adeguata del personale.
Ogni organizzazione deve verificare con precisione la data esatta della propria comunicazione di inserimento nell’elenco, poiché da tale data decorrono i diciotto mesi. Solo dopo averla verificata potrà considerarsi in regola. È importante sottolineare che ottobre rappresenta un termine calcolato individualmente per ciascuna azienda e non una scadenza unica.
I soggetti “importanti” devono seguire le misure contenute nell’Allegato 1 alla Determinazione ACN, mentre quelli “essenziali” sono tenuti a rispettare l’Allegato 2. Entrambi gli elenchi traducono in obblighi tecnici il quadro pubblicato dall’ACN nel 2025 per la cybersecurity e la protezione dei dati, andando oltre una generica lista di buone pratiche.
È fondamentale distinguere correttamente le due categorie di soggetti. Applicare un livello di misure inadeguato potrebbe portare a non conformità nonostante l’impegno profuso. Gli organi di amministrazione sono coinvolti tanto quanto la funzione IT: l’articolo 23 del decreto 138/2024 richiede loro di approvare le misure di gestione del rischio e sovrintendere alla loro attuazione, con specifici obblighi formativi per i membri del consiglio.
La scadenza di ottobre non chiude il processo di adeguamento alla NIS2, ma lo apre a nuove fasi. Dal 1° gennaio al 28 febbraio 2027 si apre infatti la finestra annuale di registrazione prevista dall’articolo 7 del decreto. Inoltre, la categorizzazione delle attività svolte deve essere aggiornata ogni volta che cambiano servizi, sistemi o fornitori.
Cosa cambia e quali sono gli effetti
Un fornitore vulnerabile ha lo stesso impatto di un’azienda vulnerabile, poiché la NIS2 valuta l’esposizione dell’intera catena di fornitura e non solo quella del singolo soggetto. Chi rimanda pensando che l’unico rischio sia una sanzione sottovaluta le conseguenze reali: le imprese non conformi rischiano di essere escluse dagli appalti prima ancora di ricevere una multa, come evidenziato da un’analisi già pubblicata.
Il Cyber Resilience Act procede in parallelo con obblighi propri. Dal 11 settembre, le aziende devono segnalare entro 24 ore le vulnerabilità sfruttate nei propri prodotti, un obbligo distinto che si somma a quello previsto dalla NIS2 e non lo sostituisce.
Chi non è ancora certo di essere un soggetto NIS, o ha dimenticato la data della propria comunicazione di inserimento, può consultare il registro e le domande frequenti pubblicate dall’ACN. Questo vale anche per chi opera in ambito OT, dove il rischio resta elevato anche su impianti datati.
La differenza, a ottobre, sta tra chi ha già una risposta pronta e chi la cerca dopo la scadenza.
Fonte e approfondimento su nis2: articolo originale.
* Contenuto realizzato con l'ausilio di sistemi di intelligenza artificiale.