Circolare - 20/02/2025

Sicurezza informatica (Nis-2) - Scadenza del 28 febbraio 2025 per la registrazione

L'adempimento coinvolge le aziende con almeno 50 addetti dei settori industriali come meglio specificati nel paragrafo "i soggetti" oltre ad alcune imprese minori di particolari settori.

La Direttiva NIS2, recepita in Italia con il D. Lgs. n. 138 del 4 settembre 2024 (decreto NIS, vedi allegato), è entrata in vigore il 16 ottobre 2024. Il decreto ha recepito la Direttiva (UE) 2022/2555, recante misure per un livello comune elevato di cybersicurezza nell’Unione europea (c.d. "Direttiva NIS2").

L'autorità designata è l’Agenzia per la Cybersicurezza Nazionale (ACN). ACN è designata come punto di contatto unico. 

La nuova normativa in pillole

1. Registrazione obbligatoria: Dal 1° dicembre 2024 al 28 febbraio 2025, le imprese obbligate devono registrarsi sul portale servizi dell'ACN. 

2. Designazione del punto di contatto: le imprese obbligate devono nominare una persona fisica come punto di contatto, responsabile dell'attuazione delle disposizioni del decreto NIS e interlocutore diretto con l'ACN. 

3. Implementazione di misure di sicurezza: le imprese obbligate devono adottare misure tecniche e organizzative adeguate per gestire i rischi relativi alla sicurezza delle reti e dei sistemi informativi.

4. Notifica degli incidenti: È obbligatorio segnalare tempestivamente all'ACN gli incidenti che hanno un impatto significativo sulla continuità dei servizi essenziali.

5. Monitoraggio e audit: le imprese obbligate devono sottoporsi a verifiche periodiche e consentire all'ACN di effettuare audit per valutare l'efficacia delle misure di sicurezza adottate.

6. Sanzioni per inadempienze: il regime sanzionatorio è previsto dall'articolo 38 del decreto NIS.

La scadenza

Il 28 febbraio scade il termine per la registrazione al portale dell’Agenzia per Cybersicurezza Nazionale (ACN) e per la designazione del punto di contatto.

Il punto di contatto è il referente dell’organizzazione che la rappresenterà nelle interlocuzioni con ACN. Può essere il rappresentante legale o un dipendente delegato dal rappresentante legale del soggetto, che potrà farsi assistere da personale esterno. Il punto di contatto accede alla piattaforma, con l’identità digitale SPID, dove è disponibile una guida alla registrazione che spiega, passo dopo passo, le informazioni da inserire.

Il punto di contatto deve, in prima istanza, associarsi all’organizzazione inserendo il codice fiscale o il codice IPA (per le pubbliche amministrazioni). L’organizzazione riceverà dall’ACN una PEC al proprio domicilio digitale, per convalidare il censimento.

I soggetti

Ricadono nell’ambito di applicazione del D.Lgs. n. 138/2024, ai sensi dell’art. 3, le imprese medio-grandi, ovvero quelle che occupano almeno 50 dipendenti e un fatturato di almeno 10 milioni di euro (oppure hanno un totale attivo di bilancio di almeno 10 milioni di euro) e appartengono alle tipologie di cui agli allegati I (settori ad altra criticità) e II (altri settori critici) dettagliati al seguente link; i settori industriali impattati sono

• Produzione e trasformazione di alimenti

• i fabbricanti di prodotti farmaceutici di base e preparati farmaceutici (sezione C, divisione 21, della NACE Rev. 2)

• le imprese che rientrano nel settore “Fabbricazione”

• di computer e prodotti di elettronica e ottica (sezione C, divisione 26, della NACE Rev. 2),

• di apparecchiature elettriche (sezione C, divisione 27, della NACE Rev. 2),

• di macchinari e apparecchiature n.c.a. (sezione C, divisione 28, della NACE Rev. 2),

di autoveicoli, rimorchi e semirimorchi (sezione C, divisione 29, della NACE Rev. 2),

di altri mezzi di trasporto (sezione C, divisione 30, della NACE Rev. 2).

Tra le medie imprese obbligate segnaliamo anche le imprese che si occupano della distribuzione all'ingrosso di alimenti e prodotti alimentari.

Le micro e piccole imprese soggette all’obbligo sono i

• i fornitori di servizi di sistema dei nomi di dominio (domain name system – DNS), esclusi gli operatori dei server dei nomi radice

• i gestori di registri dei nomi di dominio di primo livello (top level domain – TLD).

Seguiti

A seguito della registrazione, entro aprile 2025, ACN comunicherà al domicilio digitale di tutti i soggetti registrati se rientrano, o meno, nell’elenco dei soggetti NIS2.

Di seguito, si indicano alcuni link utili per acquisire informazioni sui soggetti coinvolti dalla normativa e sulle fasi della eventuale registrazione:

https://www.acn.gov.it/portale/faq/nis;

https://www.acn.gov.it/portale/nis/registrazione

Per ogni eventuale dubbio o richiesta di chiarimento potete contattare Stefano Turco (0131-201568 / mail: s.turco@confindustria.al.it)