Implementazione della NIS2: gli step tra aprile e maggio 2025

La Direttiva NIS2 (Network and Information Security), recepita in Italia con il Decreto Legislativo n. 138/2024, rappresenta un passo significativo verso il rafforzamento della sicurezza informatica nel Paese. Dopo l'entrata in vigore del decreto il 16 ottobre 2024, il processo di implementazione prevede una serie di tappe fondamentali nei mesi di aprile e maggio 2025.​ In altre parole, dopo la Registrazione, ora inizia il vero campionato che entrerà nel clou con la fase di adeguamento.

Comunicazione dell'Inclusione nell'Elenco NIS2

Nel corso del mese di aprile 2025, l'Agenzia per la Cybersicurezza Nazionale (ACN) contatterà le imprese in merito alla loro eventuale inclusione nell'elenco dei soggetti NIS2, classificandoli come "essenziali" o "importanti" in base alla criticità dei servizi offerti. Questa comunicazione determinerà gli obblighi specifici a cui le aziende dovranno attenersi

Azioni Previste per Aprile 2025

Nel mese di aprile 2025, l'ACN procederà con le seguenti attività:​

• Costituzione dell'Elenco Ufficiale dei Soggetti NIS2
  L'ACN formalizzerà l'elenco dei soggetti identificati come essenziali o importanti, notificando ufficialmente alle aziende la loro inclusione.​
• Definizione delle Modalità per l'Adozione delle Misure di Sicurezza e Notifica degli Incidenti
  L'ACN stabilirà le linee guida per l'implementazione delle misure di sicurezza informatica e per la procedura di notifica degli incidenti. Questa fase richiede un'analisi approfondita delle nuove disposizioni, affinché le aziende possano adeguare le proprie infrastrutture e procedure di sicurezza in conformità con la normativa. L'implementazione delle misure richieste potrebbe comportare investimenti significativi in nuove tecnologie, formazione del personale e revisione dei processi aziendali.

In questa fase, l’Agenzia per la Cybersicurezza Nazionale (ACN) assume il ruolo di arbitro e "organizzatore del torneo", definendo chi deve scendere in campo – ovvero quali imprese rientrano tra i soggetti essenziali o importanti – e quali regole seguire per giocare secondo le nuove normative europee. Le aziende dovranno allenarsi duramente, rivedere le proprie tattiche (infrastrutture e processi IT), formare la squadra (il personale) e adottare nuove strategie di difesa (misure di sicurezza) per non farsi cogliere impreparate dagli attacchi informatici.​

Obblighi delle Imprese tra Aprile e Maggio 2025

A seguito della notifica di inclusione nell'elenco NIS2, le imprese dovranno intraprendere le seguenti azioni:​

• Nomina del Responsabile per la Sicurezza Informatica
  Entro il 15 aprile 2025, le aziende dovranno designare un responsabile incaricato di garantire l'adempimento degli obblighi previsti dalla normativa.
• Eventuali informazioni Aggiuntive
  Tra il 15 aprile e il 31 maggio 2025, le imprese dovranno aggiornare i propri dati sulla piattaforma dell'ACN, completando la registrazione con le informazioni richieste. È importante notare che la registrazione al portale si riaprirà annualmente tra gennaio e febbraio, permettendo alle aziende di aggiornare i propri dati in vista dell'aggiornamento annuale dell'elenco dei soggetti coinvolti da parte dell'ACN.​

Implicazioni per le Imprese

L'inclusione nell'elenco NIS2 comporta per le aziende una serie di obblighi stringenti:​

• Implementazione di Misure di Sicurezza
  Le imprese dovranno adottare misure tecniche e organizzative adeguate per gestire i rischi legati alla sicurezza delle reti e dei sistemi informativi. Questo include la protezione contro incidenti, la continuità operativa e la gestione delle vulnerabilità.​
• Notifica degli Incidenti
  In caso di incidenti significativi che impattano sulla fornitura dei servizi, le aziende sono tenute a notificare tempestivamente l'ACN, seguendo le procedure stabilite.​
• Formazione e Sensibilizzazione
  È fondamentale che il personale sia adeguatamente formato sulle nuove misure di sicurezza e sulle procedure di risposta agli incidenti, al fine di garantire una cultura aziendale orientata alla cybersicurezza.​

Il periodo tra aprile e maggio 2025 rappresenta una fase di avvio dell'implementazione della Direttiva NIS2 in Italia. Le aziende coinvolte devono prestare particolare attenzione alle comunicazioni dell'ACN e adempiere tempestivamente agli obblighi previsti.

Un approccio proattivo nell'adozione delle misure di sicurezza non solo garantirà la conformità alla normativa, ma contribuirà anche a rafforzare la resilienza dell'intero sistema economico nazionale di fronte alle crescenti minacce informatiche.​Se ti serve supporto immediato, prenota qui una Call con Cristiano per avere supporto.