Lo scorso 10 aprile si è riunito il Tavolo per l’attuazione della normativa NIS, con l’obiettivo di discutere alcune delle principali specifiche operative legate agli obblighi previsti dalla nuova regolamentazione. Tutte queste specifiche sono in seguito state regolate dalla determina ACN n. 164179 del 14 aprile 2025.

Specifiche di base analizzate

ACN, nell’articolo 23, ha specificato gli obblighi per gli organi di amministrazione e direzione delle imprese coinvolte. Infatti sono stati individuati i compiti e le responsabilità a carico degli organi amministrativi e direttivi delle organizzazioni soggette alla normativa NIS.

Per quanto riguarda l’articolo 24, dovranno essere adottate entro ottobre 2026 diverse misure di sicurezza informatica:

• 37 misure suddivise in 87 requisiti per i soggetti importanti;
• Ulteriori 6 misure e 29 requisiti per i soggetti essenziali;

Le aziende coinvolte dovranno dunque implementare complessivamente 43 misure e 116 requisiti.
Queste misure sono state sviluppate all’interno del Framework Nazionale per la Cybersecurity e la Data Protection.

Notifica degli incidenti significativi

Secondo quanto previsto dall’articolo 25, sono state definite le categorie di incidenti che dovranno essere segnalati a partire da gennaio 2026. Le indicazioni sono più stringenti per i soggetti essenziali, tenuti a monitorare quattro tipologie di incidenti, rispetto alle tre previste per i soggetti importanti.

Ai sensi dell’articolo 29, che riguarda la sicurezza dei nomi a dominio, sono state stabilite modalità specifiche per garantire la sicurezza, la stabilità e la resilienza dei sistemi DNS, tenendo conto delle peculiarità di alcune categorie di soggetti.

Le prossime scadenze NIS

L’incontro del 10 aprile ha anche segnato il passaggio dalla prima alla seconda fase di attuazione della normativa NIS, che proseguirà lungo tutto l’anno in corso e fino al prossimo.

Dal 15 aprile al 31 maggio 2025, i soggetti NIS dovranno:

• Nominare il sostituto del punto di contatto;
• Aggiornare e comunicare le informazioni richieste dall’articolo 7, commi 4 e 5, del decreto NIS, come previsto dalla Determina ACN n. 136117/2025, compresi: componenti degli organi di amministrazione e direzione; gli indirizzi IP pubblici e statici; infine, i nomi di dominio utilizzati o nella disponibilità del soggetto.

Infine, come indicato nella Determina, i soggetti dovranno notificare eventuali accordi volontari di condivisione di informazioni sulla sicurezza informatica, stipulati a partire dall’entrata in vigore del decreto NIS.