Il 28 febbraio scorso si è concluso il termine entro cui i soggetti cui si applica la normativa NIS2 dovevano registrarsi nel portale ACN e la NEWTEC ha ottemperato entro i tempi.

Quali saranno i prossimi passi? Entro marzo 2025 è prevista l’adozione dell’elenco dei soggetti NIS.

Una volta ricevuta la notifica di inserimento nell’elenco nazionale, i soggetti NIS saranno tenuti ad avviare il processo di aggiornamento delle informazioni ai sensi dell’articolo 7, commi 4, 5 e 7, del decreto NIS, da completare entro fine maggio.

Entro aprile 2025 l’ACN dovrebbe pubblicare in Gazzetta delle Determine riguardanti gli obblighi di base relativi alle misure di sicurezza (di cui all’art. 24 decreto NIS) e alla tassonomia degli incidenti (di cui all’art. 25). Una versione di tale documento è già stata resa disponibile in bozza, dalle autorità, e condivisa nei vari tavoli settoriali.

Ma di quali obblighi trattasi? In sintesi:

• Obbligo di registrazione (art. 7), già effettuato entro febbraio 2025.
• Responsabilità dei vertici: l’art. 23 del decreto NIS pone in carico agli organi di amministrazione e agli organi direttivi dei soggetti l’approvazione delle misure di gestione dei rischi per la sicurezza informatica, richiede loro di sovraintendere agli obblighi previsti dalla norma e, da ultimo recita “sono responsabili delle violazioni di cui al presente decreto”. La cybersecurity non è più “affare per tecnici”.
• Misure di sicurezza: l’art. 24 recita “I soggetti essenziali e i soggetti importanti adottano misure tecniche, operative e organizzative adeguate e proporzionate, secondo le modalità e i termini di cui agli articoli 30, 31 e 32, alla gestione dei rischi posti alla sicurezza dei sistemi informativi e di rete che tali soggetti utilizzano nelle loro attività o nella fornitura dei loro servizi, nonché per prevenire o ridurre al minimo l’impatto degli incidenti per i destinatari dei loro servizi e per altri servizi.”  Il decreto attuativo di questo articolo è previsto nei prossimi mesi, l’attuazione per gli obblighi di base da ottobre 2026.
• Notifiche incidenti: l’art. 25 recita “I soggetti essenziali e i soggetti importanti notificano, senza ingiustificato ritardo, al CSIRT Italia ogni incidente che, ai sensi del comma 4, ha un impatto significativo sulla fornitura dei loro servizi, secondo le modalità e i termini di cui agli articoli 30, 31 e 32…”. La notifica degli incidenti è già possibile, su base volontaria, sul sito ACN, sarà obbligatoria da gennaio 2026.

La NEWTEC s.r.l. è il partener a 360° per il mondo informatico. Siamo specializzata nella gestione del Sistema Informativo e siamo pronti a identificare eventuali criticità e offrirti soluzioni su misura, frutto della nostra esperienza ventennale. Una team di professionisti certificati: oltre alle certificazioni dei singoli tecnici la Newtec s.r.l. è azienda certificata ISO/IEC 27001 (sicurezza e protezione dati), con estensione alle ISO/IEC 27017 e 27018.

Con noi avrai un partner fidato al tuo fianco, pronto a sostenerti in ogni passo, e tu potrai concentrarti su ciò che conta di più: far crescere il tuo business.