La Direttiva NIS2 introduce importanti novità in materia di sicurezza informatica per aziende e pubbliche amministrazioni. Questa normativa europea è fondamentale per garantire la resilienza delle infrastrutture digitali, obbligando una vasta gamma di soggetti a conformarsi entro precise scadenze.
Vediamo nel dettaglio i principali obblighi e le tempistiche.
Scadenze chiave per adeguarsi alla direttiva NIS2
Entro il 31 dicembre 2024, aziende e pubbliche amministrazioni dovranno svolgere un assessment per valutare se rientrano negli obblighi della Direttiva NIS2, in conformità con gli articoli 6 e 7, e gli Allegati I, II, III e IV.
Tra il 1° gennaio e il 28 febbraio 2025, i soggetti pubblici e privati che, dopo l’assessment, si ritengono inclusi, dovranno registrarsi sulla piattaforma digitale messa a disposizione dall’Agenzia per la Cybersicurezza Nazionale (ACN), fornendo le informazioni richieste dalla normativa.
Entro il 17 gennaio 2025, dovranno registrarsi sulla piattaforma i seguenti fornitori di servizi critici:
- Sistemi di registrazione nomi di dominio e gestione DNS;
- Fornitori di cloud computing e data center;
- Fornitori di reti di distribuzione dei contenuti (CDN);
- Mercati online, motori di ricerca e piattaforme di social network.
Entro il 31 marzo 2025, l’ACN redigerà l’elenco dei “soggetti essenziali” e “soggetti importanti” in base alle registrazioni pervenute tramite la piattaforma.
Tra il 1° aprile 2025 e il 15 aprile 2025, l’ACN comunicherà ai soggetti registrati l’inclusione in uno dei due elenchi.
Entro il 15 aprile 2025, i soggetti inclusi dovranno nominare una persona responsabile per il rispetto degli obblighi della Direttiva NIS2.
Tra il 15 aprile e il 31 maggio 2025, i soggetti coinvolti dovranno fornire ulteriori informazioni richieste dalla normativa.
Prossimi passi: cosa devi fare?
Una volta completata questa fase preliminare, le aziende e le pubbliche amministrazioni incluse negli elenchi dovranno adempiere agli obblighi successivi, tra cui:
- A partire dal 1° gennaio 2026, obbligo di notifica degli incidenti di sicurezza;
- Entro il 1° ottobre 2026, rispetto degli obblighi di governance, sicurezza e mantenimento di una banca dati per i nomi di dominio.
Se vuoi approfondire queste preziose indicazioni, non esitare a contattarci.
