La scadenza del 28 febbraio 2025 ha rappresentato un primo termine cruciale per la registrazione delle aziende NIS2 presso l’Agenzia per la Cybersicurezza Nazionale (ACN). La mancata registrazione entro la menzionata data infatti potrà comportare sanzioni pecuniarie fino ad un massimo del 0,1% del fatturato.

Le aziende non ancora registrate, ma che hanno già completato il primo step di censimento, potranno terminare la registrazione anche oltre il 28 febbraio ed avranno tempo fino al prossimo 10 marzo.

Questa data tuttavia è solo l’inizio di un percorso: la compliance alla NIS2 continuerà a presentare diverse sfide e richiederà un impegno costante da parte delle aziende coinvolte.

I prossimi step per la conformità normativa

Secondo il programma ipotizzato da ACN, queste saranno le prossime date strategiche nelle agende delle organizzazioni che hanno avviato il percorso di compliance alla NIS2.

• Entro il 31 marzo 2025 (data indicativa), l’Agenzia comunicherà alle imprese l’eventuale inserimento nell’elenco dei soggetti NIS2, compresa la collocazione tra soggetti essenziali o importanti.
• Entro aprile 2025 l’ACN provvederà a:
  • Costituire l’elenco dei soggetti NIS e notificherà agli stessi la loro inclusione;
  • Definire modalità adozione degli obblighi di base in materia di misure di sicurezza informatica e notifica di incidenti – In questa fase le aziende dovranno implementare concretamente le misure di sicurezza richieste dalla NIS2. Ciò potrebbe comportare investimenti significativi in nuove tecnologie, formazione del personale e adeguamento dei processi aziendali.
• Entro maggio 2025, le imprese interessate dovranno aggiornare i loro dati sulla piattaforma per perfezionare la registrazione. La registrazione al portale si riaprirà ogni anno tra gennaio e febbraio e, sempre a cadenza annuale, l’ACN aggiornerà l’elenco dei soggetti coinvolti.
• Da gennaio 2026 vi sarà l’obbligo di notifica degli incidenti secondo le nuove misure indicate da ACN. Pertanto, le aziende dovranno sviluppare piani di risposta agli incidenti efficaci e testarli regolarmente per garantire una gestione rapida e adeguata in caso di attacchi.
• Entro aprile 2026, ACN effettuerà l’elaborazione e definizione del modello di categorizzazione delle attività e dei servizi oltre che degli obblighi a lungo termine.
• Entro settembre 2026 le organizzazioni dovranno garantire la completa implementazione delle misure di sicurezza di base. Questa fase segnerà una sfida importante nella governance aziendale in termini di adeguamento degli organi di amministrazione e direttivi alle nuove responsabilità.

NIS2 e altre normative: punti d’intersezione e metodi di gestione

La compliance alla NIS2 si interseca con alcune importanti normative europee, ad esempio: DORA (Digital Operational Resilience Act), Cyber Resilience Act (CRA) e Artificial Intelligence (AI Act). Sebbene ognuna abbia un focus specifico, tutte condividono l’obiettivo di rafforzare la resilienza e la sicurezza nel mondo digitale.

Perciò le aziende dovranno approcciarsi a queste normative in modo olistico, comprendendone i punti d’intersezione.

Per gestire le sfide che queste normative impongono, le organizzazioni dovranno essere in grado di:

• Identificare quali tra queste normative si applicano alla propria azienda (NIS2, DORA, CRA, AI Act) e analizzare i requisiti specifici di ciascuna.
• Effettuare una valutazione che preveda un approccio integrato alla valutazione dei rischi, considerando tutte le normative applicabili e le loro interazioni.
• Garantire un’implementazione coordinata delle misure di sicurezza evitando duplicazioni e ottimizzando le risorse.
• Monitorare costantemente l’evoluzione delle normative e adeguare di conseguenza le proprie misure di sicurezza.
• Collaborazione: è fondamentale implementare la collaborazione con esperti legali e tecnici per garantire la conformità a tutte le normative applicabili.

Conclusioni

La nuova normativa NIS2 ha impostato un drastico cambiamento nella Governance aziendale: non è più sufficiente rispondere agli incidenti a posteriori. Occorre gestire il rischio in maniera proattiva. Perciò, diventerà sempre più importante per le organizzazioni la capacità di identificare i problemi e impedire che si trasformino in situazioni più gravi.

Infine, la compliance a NIS2, DORA, CRA e AI Act rappresenta una ulteriore ma fondamentale sfida per garantire la resilienza e la sicurezza delle aziende nel mondo digitale.