Cyber Focus: prossime tappe NIS2 – Ue 2022/2555
La Direttiva NIS2 rappresenta un’importante evoluzione nel quadro normativo europeo sulla cybersicurezza, con l’obiettivo di innalzare progressivamente il livello di sicurezza delle reti e dei sistemi informativi.
In Italia, dopo lo step di definizione dei soggetti importanti ed essenziali, le misure previste dalla direttiva sono stata formalizzata attraverso la Determinazione ACN n. 164179 del 14 aprile 2025, che stabilisce un percorso graduale per le organizzazioni coinvolte.
Prossime tappe per l’attuazione della direttiva NIS2:
Entro il 31 maggio 2025: Aggiornamento delle Informazioni ( ACN HA PROROGATO LA SCADENZA AL 31 LUGLIO 2025 – notificando tramite PEC le aziende interessate )
I soggetti identificati come “essenziali” o “importanti” devono, entro questa data, trasmettere o aggiornare le seguenti informazioni tramite la piattaforma dell’ACN:
- Elenco degli indirizzi IP pubblici e dei nomi di dominio utilizzati o disponibili.
- Stati membri dell’UE in cui vengono forniti servizi rilevanti.
- Dati dei responsabili dell’organizzazione, inclusi rappresentanti legali e punti di contatto, con relativi recapiti.
Si tratta della prima fondamentale tappa per stabilire una comunicazione efficace con l’ACN e per avviare il percorso di ricezione attiva delle nuove normative.
Entro il 31 gennaio 2026: Obbligo di notifica degli incidenti
A partire da questa data, i soggetti devono essere in grado di:
- Adottare una governance della cybersicurezza adeguata, implementando politiche e procedure per la notifica degli incidenti significativi.
- Disporre di un piano di risposta agli incidenti, testato regolarmente.
- Stabilire un flusso comunicativo efficace con l’ACN per la gestione degli incidenti.
Questo passo risulta cruciale per garantire una risposta tempestiva ed efficace agli incidenti di sicurezza, e testimonia l’intento di uno sviluppo graduale che cerchi di essere il meno intrusivo, nei limiti del possibile, nei processi aziendali.
Allegati:
https://www.acn.gov.it/portale/documents/d/guest/detacn_nis_specifiche_2025_164179_allegato3
https://www.acn.gov.it/portale/documents/d/guest/detacn_nis_specifiche_2025_164179_allegato4
Entro il 30 agosto 2026: Implementazione delle misure di sicurezza
Entro questa scadenza, i soggetti coinvolti devono completare l’implementazione delle misure di sicurezza richieste, secondo gli allegati specifici presenti nella delibera.
Misure sviluppate nel contesto del Framework Nazionale per la cybersecurity e la data protection con lo scopo specifico di rafforzare la resistenza e resilienza delle organizzazioni contro le crescenti minacce informatiche.
Allegati:
https://www.acn.gov.it/portale/documents/d/guest/detacn_nis_specifiche_2025_164179_allegato1
https://www.acn.gov.it/portale/documents/d/guest/detacn_nis_specifiche_2025_164179_allegato2
Accompagnamento dei Soggetti Estremamente Critici (Direttiva 2557 CER)
Parallelamente alle tappe ed all’attuazione della Direttiva NIS2, la Direttiva (UE) 2022/2557, nota come CER (Critical Entities Resilience), introduce un quadro normativo per rafforzare la resilienza delle entità critiche.
In Italia, l’ACN sta predisponendo misure di accompagnamento specifiche per questi soggetti, tra le quali probabilmente:
- Supporto nella categorizzazione delle attività e dei servizi essenziali.
- Elaborazione di obblighi a lungo termine basati sul profilo di rischio e settore.
- Implementazione di misure di sicurezza specifiche per garantire la continuità operativa.
Un Percorso di Consapevolezza e Crescita
L’attuazione della Direttiva NIS2 in Italia rappresenta un percorso di consapevolezza e innalzamento progressivo delle misure di sicurezza.
L’obiettivo, come ribadito in più occasioni,non è punitivo, ma di accompagnamento, mettendo le organizzazioni in condizione di comunicare efficacemente e attivare progressivamente l’irrobustimento delle misure di sicurezza, limitando tra i vari fattori, la facilità di escalation lungo la catena di fornitura, attuale annoso problema e fonte di approvvigionamento per i cybercriminali.
Un approccio che vuole colmare la lacuna esistente e favorire una cultura della sicurezza a livello esecutivo e delle infrastrutture critiche del Paese.
#cybersecurity #nis2 #cybereducation
