NIS2: ACN definisce le misure di base per la sicurezza delle infrastrutture critiche

L'Agenzia per la Cybersicurezza Nazionale (ACN) ha recentemente pubblicato le specifiche tecniche minime richieste per adempiere agli obblighi di sicurezza informatica e di notifica degli incidenti significativi previsti dagli articoli 23, 24, 25, 29 e 32 del Decreto NIS. Questa mossa è un passo fondamentale per l'attuazione della direttiva NIS2 in Italia, che mira a rafforzare la resilienza informatica delle organizzazioni che operano in settori critici.

Punti chiave:

• Soggetti interessati: La direttiva si applica a organizzazioni considerate "essenziali" o "importanti" che operano in settori critici.

• Misure di sicurezza: Gli allegati 1 e 2 definiscono le misure minime di sicurezza obbligatorie rispettivamente per i soggetti importanti (37 misure, 87 requisiti) e per quelli essenziali (43 misure, 116 requisiti). Queste misure riguardano la gestione del rischio per la sicurezza informatica.

• Notifica degli incidenti: Gli allegati 3 e 4 descrivono le tipologie di incidenti significativi che devono essere notificati all'ACN. I soggetti importanti devono notificare tre categorie di incidenti, mentre i soggetti essenziali devono monitorare e notificare quattro tipologie distinte.

• Obblighi generali: Le aziende devono adottare sistemi di sicurezza informatica aggiornati, formare il personale e attuare procedure di controllo periodico. Eventuali violazioni o attacchi significativi devono essere segnalati tempestivamente all'ACN.

• Scadenze:

  • Entro il maggio 2025, i soggetti coinvolti dovranno fornire all'ACN gli indirizzi IP associati ai sistemi critici, l'elenco degli stati membri UE in cui erogano servizi e il nominativo del responsabile della sicurezza.

  • Entro ottobre 2026, tutte le misure minime dovranno essere operative.

  • Entro il 31 maggio 2026, i soggetti NIS devono notificare gli accordi già attivi e stipulati prima dell'entrata in vigore del Decreto NIS.

• Sanzioni: Chi non si adegua rischia sanzioni amministrative pecuniarie che possono arrivare fino al 2% del fatturato annuo globale. La gravità delle sanzioni dipende dalla violazione e dalla tipologia di soggetto (essenziale o importante).

L'ACN ha messo a disposizione una piattaforma digitale per la registrazione dei soggetti interessati. La direttiva NIS2 rappresenta un passo importante per rafforzare la sicurezza informatica in Italia e proteggere le infrastrutture critiche da attacchi sempre più sofisticati.