Direttiva NIS 2 – l’ACN notifica ufficialmente tramite PEC i soggetti coinvolti

Lo scorso sabato 12 aprile 2025, l’Agenzia per la Cybersicurezza Nazionale (ACN) ha avviato la trasmissione delle PEC alle aziende individuate come rientranti nell’ambito di applicazione della Direttiva NIS 2. Si tratta di una comunicazione formale che sancisce l’inizio degli adempimenti richiesti dalla normativa europea in materia di cybersicurezza.

Siamo giunti quindi ad un punto di svolta, non si tratta più solo di identificare i soggetti potenzialmente interessati, ma di avviare un concreto processo di adeguamento.

Ora si entra nel vivo delle responsabilità operative: la direttiva NIS 2 entra ufficialmente nella fase di attuazione.

Breve overview NIS 2

Per chi ancora non fosse al corrente dei dettagli, la Direttiva NIS 2, approvata a livello europeo nel dicembre 2022 ed entrata ufficialmente in vigore il 16 gennaio 2023, rappresenta un aggiornamento sostanziale della precedente Direttiva NIS del 2016.

Introdotta per far fronte alla crescente frequenza e gravità degli attacchi informatici che minacciano la stabilità economica e sociale dell’UE, ha l’obiettivo di innalzare il livello comune di sicurezza informatica.

Rimandiamo alla lettura dell’articolo Direttiva NIS2: indicazioni operative essenziali – INFOTEAM S.r.l. e torniamo alle ultime news.

Comunicazione formale dell’ACN

Le comunicazioni inviate dall’ACN tramite Posta Elettronica Certificata contengono la conferma ufficiale dell’inclusione o dell’esclusione del destinatario tra i soggetti tenuti al rispetto della Direttiva NIS 2.

Non si tratta soltanto di una notifica informativa: la comunicazione segna l’inizio di un processo che culminerà con l’obbligo di conformità entro le scadenze previste.

Questa fase implica un cambio di paradigma nella gestione del rischio informatico: dalla reattività alla proattività.

Scadenza imminente: ecco cosa fare entro Maggio 2025

Tutte le organizzazioni coinvolte sono chiamate a trasmettere — o, se già trasmessi, aggiornare — un insieme di dati obbligatori. Questa scadenza, fissata entro maggio 2025, rappresenta il primo step operativo tangibile della nuova normativa.

L’ACN metterà a disposizione all’interno del portale dei servizi una sezione dedicata alla raccolta di questi dati.

In particolare, ogni soggetto dovrà fornire:

• Gli indirizzi IP associati ai sistemi critici
• L’elenco degli stati membri UE in cui l’organizzazione eroga servizi digitali o infrastrutturali
• Il nominativo del responsabile della sicurezza, come previsto dall’art 38 della Direttiva
• Un referente sostituto, da poter contattare in assenza del principale responsabile

Importante sottolineare che queste informazioni non sono da trasmettere una tantum: vi è l’obbligo di mantenerle costantemente aggiornate, con una tempistica stringente di comunicazione entro 14 giorni da qualsiasi variazione.

Gennaio 2026: obbligo di notifica degli incidenti

A partire da gennaio 2026, scatterà uno degli obblighi più significativi della Direttiva NIS2: la notifica obbligatoria degli incidenti di sicurezza informatica che abbiano un impatto rilevante sulla continuità dei servizi, sulla riservatezza e integrità dei dati o sulla disponibilità delle infrastrutture.

Questo significa che non sarà più possibile ignorare o gestire internamente episodi di compromissione: la segnalazione dovrà essere formale, documentata e conforme ai protocolli stabiliti.

Questo rende i soggetti NIS non solo destinatari di obblighi, ma anche attori attivi del sistema di cyber sicurezza nazionale.

Ottobre 2026: tutte le misure minime dovranno essere operative

Entro ottobre 2026, tutte le entità soggette alla NIS 2 dovranno aver completato l’implementazione delle misure minime di sicurezza stabilite dall’ACN.

Questo rappresenta il termine ultimo per passare dalla pianificazione all’azione concreta. Non si tratta più solo di policy su carta, ma di strumenti e tecnologie effettivamente operativi, misurabili e capaci di proteggere realmente i sistemi critici.

Si entrerà quindi nella fase ciclica, dove la sicurezza non sarà più una compliance a scadenza, ma un processo continuo.

Cosa devono fare le aziende escluse

Anche le organizzazioni che hanno ricevuto comunicazione di esclusione dall’ambito di applicazione diretto della NIS 2, devono comunque mantenere alta l’attenzione, non sono infatti esclusi futuri aggiornamenti o estensioni dei criteri di applicazione.

Inoltre, non dimentichiamo che la NIS 2 pone grande attenzione all’intera Supply Chain: ciò significa che anche soggetti non direttamente regolati, ma partner o fornitori di aziende critiche, potrebbero essere chiamati a garantire determinati standard di sicurezza.

Supporto e consulenza

Il percorso verso l’adeguamento alla NIS 2 è complesso e multi-dimensionale. Per questo, è fortemente consigliato avvalersi di consulenti capaci per affrontare in modo corretto ed efficiente il percorso di adeguamento.

Un supporto professionale consente non solo di rispettare gli obblighi normativi, ma anche di trasformarli in un vantaggio competitivo e in un’opportunità per rafforzare la propria resilienza digitale.

Affidati ad Infoteam per una consulenza personalizzata, contattaci all’indirizzo info@infoteamsrl.it.