Tutto ciò che serve sapere sulla normativa, sulle responsabilità degli Organi Direttivi e sui servizi per il percorso di adeguamento.
Introduzione alla NIS2
La Direttiva (UE) 2022/2555, nota come NIS2, ha introdotto un quadro normativo più rigoroso per garantire un elevato livello di cybersicurezza nell’Unione Europea. In Italia è stata recepita con il d.lgs. 138/2024, che affida all’Agenzia per la Cybersicurezza Nazionale (ACN) il ruolo di autorità competente e rafforza gli obblighi a carico dei soggetti essenziali e importanti.
Il nuovo impianto normativo incide direttamente sulla governance, sui processi interni, sulla gestione del rischio cyber e sulla supply chain e attribuisce agli organi di amministrazione e direttivi specifici compiti di approvazione, sovrintendenza, formazione e informazione.
Chi rientra nel perimetro NIS2
Il d.lgs. 138/2024 non si applica indistintamente a tutte le organizzazioni che operano in settori critici. L’ambito di applicazione dipende dalla tipologia di soggetto, dal settore di attività, dalle soglie dimensionali quando previste e da specifici criteri che, in alcuni casi, determinano l’inclusione indipendentemente dalle dimensioni. Per le pubbliche amministrazioni valgono inoltre le categorie e le regole specifiche previste dal decreto.
I soggetti che rientrano nell’ambito di applicazione sono classificati come essenziali o importanti secondo i criteri stabiliti dalla normativa.
Per i soggetti tenuti alla registrazione, la posizione viene dichiarata e aggiornata attraverso la piattaforma ACN. L’Autorità comunica annualmente l’inserimento, la permanenza o l’espunzione dall’elenco dei soggetti NIS.
La verifica della soggettività richiede quindi una valutazione caso per caso: settore, tipologia di soggetto, dimensioni, struttura societaria ed eventuali criteri specifici di inclusione devono essere considerati insieme.
Gli obblighi principali della NIS2
La disciplina richiede ai soggetti NIS di organizzare la gestione della cybersicurezza come un processo continuativo di governo del rischio. Gli obblighi comprendono in particolare:
- valutazione e gestione dei rischi per la sicurezza dei sistemi informativi e di rete;
- adozione delle misure di sicurezza applicabili e, nel quadro attuale, delle misure di sicurezza di base definite da ACN;
- gestione degli incidenti, continuità operativa, backup e ripristino;
- notifica degli incidenti significativi allo CSIRT Italia nei termini previsti;
- sicurezza della catena di approvvigionamento e gestione dei fornitori;
- formazione degli organi di amministrazione e direttivi e promozione periodica della formazione del personale;
- adempimenti annuali e aggiornamenti tramite la piattaforma ACN;
- elencazione e categorizzazione delle attività e dei servizi secondo il regime applicabile.
Il ruolo di ACN e del CSIRT Italia
ACN definisce gli atti di attuazione, supervisione e controllo. Il CSIRT Italia riceve le notifiche degli incidenti significativi e supporta gli operatori nella gestione degli eventi critici.
A chi ci rivolgiamo
iSimply supporta:
- enti pubblici (Comuni, partecipate, aziende sanitarie, ecc.);
- soggetti essenziali;
soggetti importanti; - imprese IT, provider, servizi digitali e operatori critici.
Vuoi capire se la tua organizzazione è soggetta alla NIS2 o come impostare il percorso di adeguamento? Siamo a disposizione.
Tel 0125 1899500
NIS2 Hub
- I nostri servizi NIS2
Per accompagnare enti e aziende nel percorso di adeguamento - Approfondimenti NIS2
Guide operative e contenuti specialistici - Ultime notizie su NIS2
Aggiornamenti, nuove determinazioni ACN e notizie utili per soggetti essenziali e importanti
