La direttiva NIS2 estende gli obblighi di cybersicurezza a un numero molto più ampio di aziende italiane, i cosiddetti Soggetti Importanti. Con la determina ACN 164179/2025 di aprile sono stati fissati obblighi e tempistiche: 37 misure di sicurezza articolate in 87 requisiti, da adottare entro ottobre 2026 in coerenza con il Framework Nazionale per la Cybersecurity.
Ti affianchiamo nell’implementazione delle misure organizzative, procedurali e di gestione richieste, e nel rapporto con il portale ACN per gli adempimenti periodici.
Il decreto NIS individua sei ambiti di obbligo per i soggetti importanti, dalla registrazione sulla piattaforma digitale alla gestione del rischio informatico.
Il calendario degli adempimenti per i soggetti importanti è scandito da quattro tappe nel corso dell’anno.
L’articolo 24 comma 2 individua dodici aree su cui i soggetti importanti devono intervenire con politiche, procedure e strumenti adeguati e proporzionati.
I soggetti importanti adottano misure tecniche, operative e organizzative adeguate e proporzionate alla gestione dei rischi posti alla sicurezza dei sistemi informativi e di rete, nonché per prevenire o ridurre l’impatto degli incidenti. Ti supportiamo nella redazione e nell’approvazione dei documenti richiesti:
| Documento | Riferimento requisito |
|---|---|
| Organizzazione per la sicurezza informatica | GV.RR-02 punto 1 |
| Politiche di sicurezza informatica | GV.PO-01 punto 1 |
| Valutazione del rischio posto alla sicurezza dei sistemi informativi e di rete | ID.RA-05 punto 3 |
| Piano di trattamento del rischio | ID.RA-06 punto 3 |
| Piano di gestione delle vulnerabilità | ID.RA-08 punto 4 |
| Piano di adeguamento | ID.IM-01 punto 1 |
| Piano di continuità operativa | ID.IM-04 punto 1 |
| Piano di ripristino in caso di disastro | ID.IM-04 punto 1 |
| Piano di gestione delle crisi | ID.IM-04 punto 1 |
| Piano di formazione | PR.AT-01 punto 1 |
| Piano per la gestione degli incidenti di sicurezza informatica | RS.MA-01 punto 2 |
Gli incidenti significativi — che riguardano riservatezza, integrità o disponibilità dei servizi — vanno notificati al CSIRT Italia secondo una sequenza obbligatoria di tre tappe.
La NIS2 richiede di occuparsi della sicurezza della catena di approvvigionamento, compresi i rischi legati ai fornitori rilevanti: quei soggetti che forniscono servizi o prodotti riconducibili alla fornitura ICT, oppure la cui interruzione avrebbe un impatto significativo sulla capacità di erogare le attività soggette al decreto NIS. Ti supportiamo nella loro identificazione e nella dichiarazione ad ACN entro il 31 maggio.