Con la determinazione n. 164179 del 14 aprile 2025, l’Agenzia per la Cybersicurezza Nazionale (ACN) ha dato ufficialmente il via al cronoprogramma di attuazione degli obblighi previsti dal decreto legislativo 138/2024, che recepisce in Italia la direttiva europea Nis 2 sulla sicurezza delle reti e dei sistemi informativi. Il provvedimento coinvolge sia enti pubblici che soggetti privati operanti in settori considerati strategici — come energia, trasporti, sanità, finanza, alimentare e digitale — obbligandoli a rivedere processi, policy e misure di sicurezza informatica.
Chi è obbligato e cosa deve fare Il decreto distingue tra soggetti essenziali e soggetti importanti, classificazione che influisce su quantità e tipo di adempimenti e sull’entità delle sanzioni in caso di violazione. Gli enti coinvolti sono tenuti a registrarsi sulla piattaforma ACN, ricevere la notifica di inclusione nell’elenco ufficiale e rispettare una serie di obblighi tecnici e organizzativi, che spaziano dalla predisposizione di policy di sicurezza informatica all’adozione di sistemi di autenticazione multifattore, fino alla redazione di inventari di asset e piani di gestione del rischio.
Tempi stretti e sanzioni pesanti Le scadenze sono differenziate: entro 9 mesi dalla notifica dell’inserimento negli elenchi ACN, i soggetti dovranno adempiere agli obblighi di notifica degli incidenti informatici; entro 18 mesi, completare tutte le misure di sicurezza di base previste. Il rischio, per chi non si adegua, è quello di sanzioni amministrative fino a 10 milioni di euro o al 2% del fatturato per i soggetti essenziali e fino a 7 milioni o al 4% del fatturato per quelli importanti. Le pubbliche amministrazioni rischiano fino a 125.000 euro.
Formazione obbligatoria e controllo sui fornitori Particolare attenzione è riservata alla formazione: tutte le organizzazioni dovranno adottare e mantenere un piano formativo aggiornato in materia di cybersicurezza per tutto il personale, compresi vertici e dirigenti. Inoltre, i contratti di fornitura di prodotti e servizi dovranno contenere clausole specifiche sulla sicurezza informatica, e i fornitori dovranno garantire standard di protezione adeguati.
Un sistema articolato e complesso La mole documentale da gestire è significativa: policy, registri, elenchi di asset e personale, report di formazione e inventari di fornitori dovranno essere predisposti e aggiornati periodicamente, mentre le valutazioni del rischio dovranno essere effettuate almeno ogni due anni o in caso di variazioni rilevanti dell’organizzazione o del contesto di minaccia.
Il 2026 si preannuncia dunque come un anno cruciale per la cybersicurezza in Italia: aziende e pubbliche amministrazioni dovranno correre per mettersi in regola, sotto la spinta di una normativa europea sempre più stringente e di un quadro sanzionatorio severo.
Iscriviti al canale Telegram di Servicematica
Notizie, aggiornamenti ed interruzioni. Tutto in tempo reale.
LEGGI ANCHE
G7 Giustizia, Venice justice group. A novembre la prima riunione tecnica
Nasce il “Venice Justice Group”: i ministri della Giustizia del G7 accolgono con entusiasmo il debutto del nuovo gruppo di lavoro, voluto e presieduta dall’Italia.…
Violazione della privacy e danno non patrimoniale. Il risarcimento non è scontato
Come funziona il risarcimento dei danni derivante dalla violazione della privacy? Una sentenza della Cassazione ci offre qualche informazione in più. Con l’ordinanza n. 16402…
Contributi minimi avvocati: modalità di riscossione
Modalità di riscossione dei contributi per gli iscritti a Cassa Forense Un paio di giorni fa Cassa Forense pubblica sul proprio sito web un’informativa sulle nuove modalità di…
