Dal 12 aprile 2025 è partita la seconda fase della NIS2, con notifiche e registrazioni per oltre 20.000 organizzazioni: ecco cosa prevede la normativa e come adeguarsi con il supporto di Gendata.
Chi è coinvolto
Le organizzazioni vengono classificate come «soggetti essenziali» o «soggetti importanti» in base al criterio dimensionale e settoriale («size-cap rule»).
Le specifiche di base della Determina ACN n. 164179
La Determina ACN n. 164179 del 14 aprile 2025 definisce le «specifiche di base» per i soggetti NIS in fase di prima applicazione:
- Notifiche di incidente: da attuare entro 9 mesi dalla data di consolidamento dell’elenco NIS (presumibilmente fine marzo 2025).
- Misure di sicurezza informatica: da completare entro 18 mesi dalla stessa data.
Le misure di base per i soggetti importanti sono contenute nell’allegato 1; quelle per i soggetti essenziali nell’allegato 2 della stessa determina.
Tra gli obblighi previsti rientrano:
- gestione del rischio (art. 24),
- notifiche di incidente (art. 25),
- responsabilità degli organi direttivi (art. 23),
- sicurezza, stabilità e resilienza per domini (art. 29).
(Fonte: determina ACN n. 164179 del 14 aprile 2025)
Scadenze e sanzioni: perché non si può rimandare
La NIS2 non è solo burocrazia: il mancato rispetto delle scadenze può avere conseguenze pesanti.
Il mancato adempimento della registrazione (art. 7) può comportare sanzioni fino allo 0,1% del fatturato annuo mondiale.
- L’approccio graduale e proporzionato permette un adeguamento sostenibile, per evitare impatti operativi rilevanti.
- Il rafforzamento della cybersicurezza nazionale passa anche attraverso la cooperazione intra-settoriale ed europea (EU-CyCLONe, Gruppo Cooperazione NIS…).
Cosa fare ora
- Completa l’aggiornamento annuale entro il 31 maggio (o, eventualmente, entro il 31 luglio se supportato).
- Designa e documenta il punto di contatto e il suo sostituto, includi i nominativi degli organi direttivi, IP pubblici e domini.
- Pianifica l’implementazione delle notifiche entro 9 mesi dal consolidamento (entro fine 2025) e delle misure entro 18 mesi (entro ottobre 2026).
- Categorizza i sistemi IT nel 2026 per adeguare i livelli di sicurezza sulla base del rischio reale (art. 30).
Le Linee guida ACN
L’ACN ha pubblicato le Linee guida – Specifiche di base, che dettagliano obblighi, misure di sicurezza e modalità applicative per soggetti essenziali e importanti. Si tratta del documento di riferimento ufficiale per interpretare correttamente la NIS2 nella fase attuale.
Come ti supporta Gendata: Evolve NIS2
La seconda fase della NIS2 è un passaggio cruciale: organizzazioni pubbliche e private devono registrarsi, aggiornare i dati e programmare interventi concreti.
Per aiutarti in questo percorso, Gendata ha creato Evolve NIS2, il servizio pensato per supportare le aziende nell’applicazione delle misure previste per i soggetti importanti ed essenziali. Con Evolve NIS2 ti offriamo:
- Un’analisi sistematica del livello di implementazione delle misure richieste.
- Una roadmap personalizzata per adeguarti progressivamente alle scadenze, comprese quelle legate alle notifiche di incidenti significativi.
- Supporto nella produzione della documentazione chiave e nella gestione del progetto, con un team multidisciplinare dedicato e riunioni SAL mensili per monitorare i progressi.
Conclusione
La NIS2 non è più un orizzonte lontano: le prime scadenze sono già realtà. Il tempo stringe: sei sicuro che la tua organizzazione sia davvero in regola?
Vuoi capire se sei coinvolto e cosa ti manca per la piena conformità? Compila il form «Entra in contatto» per ricevere maggiori informazioni a riguardo.
Fonti principali: acn.gov.it
- ACN, «NIS, avviata la seconda fase» (comunicazione ACN 12 aprile 2025)
- ACN, «Normativa – decreto legislativo 138/2024»
- ACN, «Modalità e specifiche di base» e «Obblighi di base»