La Direttiva NIS 2 introduce nuovi obblighi per la sicurezza delle reti e dei sistemi informativi. Uno degli aspetti fondamentali è la registrazione obbligatoria per le organizzazioni coinvolte. In Italia, la scadenza per completare la registrazione è fissata al 28 febbraio 2025, ma per evitare ritardi è necessario iniziare per tempo.
In questo articolo, vedremo in modo pratico e schematico chi deve registrarsi, quali sono i passaggi da seguire e come ottenere le credenziali necessarie.
Molte, ma non tutte le aziende sono soggette all’obbligo. La Direttiva si applica a quelle che superano i 50 dipendenti e hanno un fatturato o bilancio annuo superiore ai 10 milioni di euro. Ma attenzione: le organizzazioni che non rientrano direttamente negli allegati I e II della Direttiva potrebbero comunque essere notificate dall’Autorità competente e diventare soggette all’obbligo.
Un passaggio chiave della registrazione è la designazione del Punto di Contatto, la figura che gestirà l’attuazione del decreto NIS 2 e manterrà i rapporti con l’Agenzia per la Cybersicurezza Nazionale (ACN).
Chi può essere Punto di Contatto?
Se si opta per un dipendente delegato, sarà necessario caricare un documento giuridico di delega, che può essere una delega specifica o un mandato più ampio.
Le pubbliche amministrazioni possono scegliere come Punto di Contatto un dipendente di un'altra PA rientrante nel decreto. Anche i gruppi di imprese possono designare un dipendente di un’altra azienda del gruppo.
Per completare la registrazione, bisogna seguire tre fasi:
Per accedere al Portale dei Servizi ACN, il Punto di Contatto deve autenticarsi con:
SPID personale (Sistema Pubblico di Identità Digitale) o con credenziali personali (se non si dispone di SPID).
Scadenza importante: Se servono credenziali personali, è necessario richiederle entro il 20 febbraio 2025 inviando una PEC al portale ACN.
L’ACN verificherà la richiesta e invierà le credenziali o notificherà eventuali problemi.
Prima di registrarsi, le organizzazioni private devono eseguire un’autovalutazione per verificare se rientrano negli obblighi del decreto.
Tre passaggi per l’autovalutazione:
Se ci sono dubbi, l'approccio prudenziale è consigliabile: suggeriamo di registrarsi comunque per evitare problemi futuri.
Una volta registrati, l’Agenzia per la Cybersicurezza Nazionale (ACN) analizzerà i dati forniti e, entro il 31 marzo 2025, notificherà l’esito. Possibili esiti:
Ad aprile 2025, i soggetti registrati riceveranno una notifica ufficiale con la classificazione assegnata.
Per garantire una registrazione senza intoppi, è fondamentale iniziare la procedura il prima possibile. Ecco cosa fare subito:
Hai bisogno di supporto per la registrazione? Scarica la nostra guida gratuita che trovi qui sotto e segui passo passo la procedura. Se la trovi complicata o hai altri tipi di dubbi da risolvere, prenota qui una Call con Cristiano per avere supporto.