TÜV Italia supporta le aziende nel garantire la conformità alle nuove direttive europee per proteggere le infrastrutture critiche. Gli operatori coinvolti devono comunicare le informazioni richieste all'ACN entro il 31 luglio 2025, termine prorogato rispetto alla scadenza iniziale del 31 maggio 2025.
La proroga serve a garantire che tutti possano adempiere agli obblighi previsti senza difficoltà, permettendo anche di approfondire meglio alcuni aspetti e di organizzare sessioni informative dedicate ai membri degli organi di amministrazione e direzione delle organizzazioni interessate .
Milano: La crescente digitalizzazione dei processi e l'espansione delle superfici di attacco informatico (5G, intelligenza artificiale, IoT, ecc.) rendono la cybersecurity una priorità strategica per tutte le aziende. In risposta a queste minacce sempre più sofisticate, l'Unione Europea ha introdotto la Direttiva NIS2 (Direttiva 2022/2555), che aggiorna la precedente Direttiva NIS (2016/1148), ponendo nuovi obblighi per rafforzare la sicurezza delle reti e dei sistemi informativi.
Cosa cambia con NIS2?
La Direttiva NIS2, entrata in vigore a gennaio 2023 e recepita in Italia dal 17 ottobre 2024, amplia il campo di applicazione a 18 settori strategici, imponendo obblighi più stringenti per gli operatori considerati essenziali o importanti per il funzionamento dell'economia e della società.
Obblighi principali per le aziende
Gli operatori devono adottare misure preventive e proattive di cybersecurity, con particolare attenzione a:
Prevenzione: identificazione e valutazione delle minacce.
Protezione: adozione di misure di sicurezza adeguate.
Rilevazione: monitoraggio continuo degli incidenti.
Ripristino: garantire la continuità operativa in caso di attacco.
Inoltre, gli operatori devono segnalare gli incidenti informatici che possono avere un impatto significativo entro 24 ore dalla scoperta e gestire con rigore la catena di fornitura.
Chi è coinvolto nel NIS2?
La Direttiva si applica a due categorie di operatori
Soggetti Essenziali: operanti in settori come energia, trasporti, finanza, sanità e infrastrutture digitali.
Soggetti Importanti: fornitori di servizi IT, ricerca, grande distribuzione, ecc.
Per rientrare nell'ambito della NIS2, gli operatori devono soddisfare tre criteri: operare all'interno dell'UE, appartenere a uno dei settori identificati dalla direttiva e avere più di 50 dipendenti con fatturato o bilancio superiore a 50 milioni di euro o 43 milioni di euro, rispettivamente.
NIS2 e ISO/IEC 27001: rafforzare la sicurezza informatica
La certificazione ISO/IEC 27001 è uno standard internazionale per la gestione della sicurezza delle informazioni. Le aziende già certificate ISO/IEC 27001 sono in una posizione vantaggiosa per adottare i requisiti della NIS2, ma dovranno implementare misure aggiuntive come:
Adeguare la procedura di segnalazione degli incidenti.
Potenziare la resilienza operativa.
Espandere la copertura ai settori critici indicati dalla NIS2.
Il ruolo di TÜV Italia
TÜV Italia è un attore chiave nell'assicurare che le aziende possano adeguarsi alla NIS2 e migliorare la loro sicurezza informatica. “ Grazie all'esperienza consolidata nella certificazione dei sistemi di gestione della sicurezza delle informazioni ,” – afferma Raffaele Ricca, Auditor Schemi ICT e Cybersecurity di TÜV Italia – “ offre supporto alle aziende nel percorso di conformità alla direttiva. Con soluzioni di assistenza tecnica, audit e certificazioni, TÜV Italia affianca le organizzazioni nel rafforzare le misure di sicurezza, nell'integrazione delle soluzioni e nella gestione dei rischi informatici, assicurando che tutte le normative rispettano in modo tempestivo, completo e coerente con il contesto aziendale .”
Tempistiche e adempimenti in Italia
In Italia, la Direttiva NIS2 è stata recepita tramite il Decreto Legislativo 138/2024. Dal 1° dicembre 2024 è iniziata la registrazione delle aziende partecipanti, con un elenco ufficiale ad aprile 2025. Le aziende avranno tempo fino al 31 luglio 2025 per comunicare le informazioni richieste all'Agenzia per la Cybersicurezza Nazionale (ACN).
Gli operatori che hanno ricevuto notifica PEC dall'ACN, sono inclusi nel Registro NIS2 e devono adempiere agli obblighi previsti dall'art. 7, comma 4 del D.lgs. 138/2024 entro il 31 luglio 2025. Ecco cosa devono comunicare: Indirizzamenti IP
Stati membri UE in cui prestiti servizi
Nominativo del responsabile della sicurezza (art. 38)
Sostituto di contatto
La mancata o incompleta comunicazione entro il termine indicato è soggetta a sanzioni amministrative pecuniarie, come previsto dall'art. 38 del D.lgs. 138/2024
Conclusioni
Adeguarsi alla NIS2 non è solo un obbligo normativo, ma un'opportunità per le aziende di rafforzare la sicurezza informatica e la resilienza operativa, garantendo maggiore protezione dei dati e delle infrastrutture critiche. Con le giuste strategie e il supporto di esperti, le organizzazioni possono trarre valore dall'adeguamento, migliorando la loro competitività e la fiducia dei clienti.
Per maggiori informazioni sul percorso di adeguamento, le aziende possono consultare le linee guida dell'ACN e contattare esperti di cybersecurity, come TÜV Italia, per un supporto completo nel raggiungimento della conformità.