Il 7 agosto 2024, il Consiglio dei Ministri italiano ha approvato il decreto legislativo n. 138 del 4 settembre, ora pubblicato sulla Gazzetta Ufficiale n. 230 del 1° ottobre 2024. Questa normativa recepisce la direttiva (UE) 2022/2555, nota come Direttiva NIS2, che mira a stabilire misure per garantire un elevato livello di sicurezza informatica nell’Unione Europea, modificando normative precedenti e abrogando la direttiva 2016/1148.
Dal 18 ottobre 2024 entreranno in vigore gli obblighi previsti dal decreto, ma è fondamentale sottolineare che, sebbene non ci sia urgenza immediata di conformarsi, è essenziale che le aziende inizino a prepararsi per l’adeguamento. La Direttiva NIS2 coinvolgerà circa 50.000 nuovi soggetti, a cui si aggiungeranno quelli già sotto la normativa precedente. La preparazione è cruciale, poiché il processo di auto-registrazione, previsto per i soggetti interessati, potrebbe generare confusione.
Registrazione alla piattaforma ACN
La piattaforma gestita dall’Agenzia per la Cybersicurezza Nazionale (ACN), che sarà operativa dal 18 ottobre, richiederà ai soggetti di registrarsi indicando le loro attività e servizi. Tuttavia, per le entità che devono auto registrarsi potrebbe non essere chiaro se effettivamente soggette alla direttiva.
Questa ambiguità potrebbe portare a omissioni per le aziende che non comprendono appieno le proprie responsabilità, rischiando di trovarsi inadempienti senza saperlo.
Il periodo di registrazione si estenderà dal 1° gennaio al 28 febbraio 2025, con scadenze anticipate per alcune categorie. Entro il 31 marzo 2025, l’ACN fornirà risposte ai soggetti registrati riguardo alla loro conformità. Da quel momento, le aziende avranno nove mesi per adeguarsi agli obblighi legati agli incidenti e diciotto mesi per gli obblighi relativi a misure di sicurezza e organi amministrativi.
La Direttiva NIS2 introduce un livello di complessità nella sua applicazione, richiedendo misure tecniche, operative e organizzative adeguate. Queste includono la formazione obbligatoria del personale, in particolare per gli organi di amministrazione e direzione, che dovranno acquisire competenze specifiche in materia di cyber security. Inoltre, sarà necessario notificare tempestivamente all’ACN eventuali incidenti significativi.
Sebbene ci sia tempo prima dell’applicazione effettiva della NIS2, è fondamentale che le aziende inizino a prepararsi per affrontare le nuove sfide normative. La chiarezza sull’obbligo di registrazione e sulle proprie responsabilità è cruciale per evitare confusione e sanzioni.
La sicurezza informatica non è solo una questione di conformità, ma una necessità strategica per il futuro delle imprese italiane nel contesto europeo, inizia con il Test di Cerbeyra il tuo percorso verso una maggiore consapevolezza e protezione digitale, scopri come misurare il livello di cyber security della tua impresa e prepararti al meglio per la direttiva NIS2.
Articolo di Francesco Arruzzoli – Responsabile Centro Studi Cyber Defense di Cerbeyra
