Il 28 febbraio 2025 segna una svolta per tutte le aziende soggette alla Direttiva NIS2. Questa data non è solo un semplice termine per la registrazione sulla piattaforma dell’Agenzia per la Cybersicurezza Nazionale (ACN), ma rappresenta l’avvio formale della fase operativa di adeguamento alla nuova normativa.
Per molte aziende, fino a questo momento, la NIS2 è stata poco più di un concetto astratto, una normativa da studiare e comprendere. Ma con la chiusura della fase di censimento e registrazione, si entra nel vivo della conformità: le aziende devono passare dalla teoria alla pratica, adottando misure concrete per soddisfare i nuovi requisiti di sicurezza informatica.
Indice degli argomenti
NIS2, quando è possibile registrarsi entro il 10 marzo 2025
In realtà, l’ACN offre una possibilità a chi non si è ancora registrato ma ha già completato il censimento sulla piattaforma digitale dedicata alla registrazione alla NIS2: è, infatti, possibile terminare la registrazione anche oltre il 28 febbraio. Avrà ancora dieci giorni per farlo, questa volta in maniera inderogabile, fino al prossimo 10 marzo 2025.
Correttivo Codice Appalti, cosa cambia per il 2025: tutti le novità in questo White Paper
Come la stessa ACN specifica, però, non si tratta di una proroga. È stato, infatti, applicato lo stesso principio che vale per esprimere il voto ai seggi: se l’elettore fa accesso al seggio prima dell’orario di chiusura delle operazioni di voto, può sempre esercitare il suo diritto civico.
Ma, è utile ribadirlo, è possibile registrarsi sulla piattaforma dell’ACN solo se si è completata la procedura di censimento entro e non oltre il 28 febbraio 2025.
Ma quali saranno i prossimi passi? Quali scadenze dovranno rispettare le imprese e come dovranno strutturare il loro percorso di adeguamento per evitare sanzioni? La scaletta temporale ufficiale fornita dall’ACN ci aiuta a comprendere le tre fasi principali dell’attuazione della NIS2 e gli obblighi che ciascuna di esse comporta.
NIS2: nuovo scenario per la cyber security aziendale
La Direttiva NIS2, formalizzata in Italia con il Decreto Legislativo di attuazione della Direttiva (UE) 2022/2555, nasce con l’obiettivo di rafforzare la sicurezza informatica a livello europeo e creare un quadro normativo uniforme per proteggere le infrastrutture critiche e i servizi essenziali.
Rispetto alla precedente Direttiva NIS1 del 2018, la NIS2 introduce maggiori responsabilità per le aziende e una struttura di controllo più severa. Il nuovo quadro normativo impone ai soggetti obbligati di:
- Registrarsi presso l’ACN e fornire informazioni dettagliate sulla propria organizzazione.
- Adottare misure strutturate per la gestione del rischio informatico, come richiesto dall’Articolo 24 della normativa.
- Garantire la sicurezza della supply chain, verificando il livello di protezione dei propri fornitori.
- Segnalare tempestivamente gli incidenti informatici, secondo le tempistiche definite dall’Articolo 25.
- Sottoporsi a controlli e verifiche periodiche, con il rischio di sanzioni fino a 10 milioni di euro o al 2% del fatturato mondiale annuo in caso di inadempienza (Art. 38).
- Evitare sanzioni accessorie per i dirigenti responsabili della sicurezza, che possono includere la temporanea incapacità di ricoprire ruoli dirigenziali in caso di negligenza.
Per garantire un’implementazione graduale ed efficace, l’ACN ha suddiviso il percorso di adeguamento in tre fasi principali, con scadenze precise e obblighi progressivi.
Le fasi dell’attuazione della NIS2
L’attuazione della normativa non avverrà in un unico momento, ma sarà strutturata in tre fasi successive, che consentiranno alle aziende di adattarsi gradualmente ai nuovi obblighi.
Fase di recepimento (febbraio 2023 – metà ottobre 2024)
Questa prima fase ha rappresentato il processo legislativo e regolatorio necessario per portare la Direttiva NIS2 nell’ordinamento italiano.
Questa fase è stata fondamentale per stabilire il quadro di riferimento della normativa e per consentire alle aziende di familiarizzare con i nuovi requisiti.
Prima fase attuativa (metà ottobre 2024 – metà aprile 2025)
A partire dall’ottobre 2024, la Direttiva NIS2 ha iniziato a prendere forma con la prima fase di attuazione pratica.
Ecco gli obblighi e le scadenze principali:
- Avvio formale di tutti i tavoli settoriali, con la partecipazione delle aziende per delineare le specifiche implementative della normativa.
- Entro febbraio 2025:
- Censimento e registrazione obbligatoria dei soggetti rientranti nel perimetro NIS2.
- Entro marzo 2025:
- L’ACN pubblicherà l’elenco ufficiale dei soggetti NIS, identificando le aziende che dovranno rispettare gli obblighi di sicurezza.
- Entro aprile 2025:
- Notifica alle aziende della loro inclusione nell’elenco.
- Pubblicazione degli obblighi di base da parte dell’ACN.
In questa fase, le aziende devono assicurarsi di essere regolarmente registrate e prepararsi per l’adozione delle prime misure di sicurezza.
Seconda fase attuativa (metà aprile 2025 – metà aprile 2026)
Dopo la definizione delle aziende soggette alla normativa, inizia la fase di monitoraggio e implementazione progressiva degli obblighi.
Le tappe fondamentali:
- A partire da gennaio 2026:
- Scatta l’obbligo di notifica degli incidenti informatici. Le aziende dovranno segnalare ogni attacco significativo al CSIRT Italia.
- Entro aprile 2026:
- Definizione del modello di categorizzazione delle attività e dei servizi.
- Pubblicazione degli obblighi a lungo termine, che stabiliranno gli standard operativi per i prossimi anni.
- Entro settembre 2026:
- Tutte le aziende dovranno aver completato l’implementazione delle misure di sicurezza di base.
Questo periodo sarà caratterizzato da controlli e verifiche per valutare il grado di conformità delle aziende.
Terza fase attuativa (da metà aprile 2026 in poi)
Questa fase segnerà l’inizio della piena operatività della NIS2, con un’attenzione particolare alla categorizzazione delle attività e alla definizione di obblighi avanzati:
- Applicazione integrale del modello di categorizzazione delle attività e dei servizi.
- Piena attuazione degli obblighi a lungo termine, con un rafforzamento continuo delle misure di sicurezza.
A questo punto, tutte le aziende dovranno dimostrare di aver raggiunto un livello di cybersecurity adeguato e conforme alle direttive europee.
La NIS2 non ammette ritardi
L’adeguamento alla NIS2 non è più un’opzione, ma un obbligo chiaro e definito. Le scadenze sono serrate e le sanzioni per il mancato rispetto degli obblighi sono elevate.
Chi non ha ancora avviato il processo di conformità deve farlo immediatamente, adottando un approccio strategico e affidandosi a esperti di cyber security per evitare rischi e sanzioni.
Con la NIS2, la sicurezza informatica diventa un asset strategico per le aziende.
L’unica scelta possibile è adeguarsi e proteggere il proprio business.
Costruire una PA più moderna ed efficiente: novità 2025 nel report del Politecnico di Milano
