NIS2 in Italia: i prossimi step obbligatori tra 2025 e 2026

Obiettivo della Direttiva NIS2

La Direttiva NIS2 (Network and Information Security 2) rappresenta un importante aggiornamento del quadro normativo europeo in materia di sicurezza informatica che ha l’obiettivo di migliorare il livello complessivo di resilienza dei sistemi informativi nei settori considerati critici e strategici.
La finalità è chiara: rafforzare le capacità di prevenzione, risposta e ripristino nei confronti degli incidenti informatici, in un contesto in cui le minacce cyber sono sempre più sofisticate e persistenti.

Recepimento della NIS2 in Italia

Con il Decreto Legislativo n. 138 del 4 settembre 2024, l’Italia ha ufficializzato il recepimento della Direttiva NIS2. Il provvedimento definisce obblighi chiari per le organizzazioni pubbliche e private che operano nei settori definiti come “essenziali” o “importanti”, includendo energia, trasporti, sanità, finanza, pubblica amministrazione e infrastrutture digitali. Le aziende hanno dovuto avviare una serie di misure preliminari come l’analisi dei rischi, la nomina del referente per la sicurezza (CISO), l’avvio dei percorsi formativi interni e l’adeguamento delle policy di gestione degli incidenti.

Scadenze passate e future da conoscere

16 ottobre 2024: Entrata in vigore del Decreto Legislativo n. 138/2024, che recepisce la Direttiva NIS2 nell’ordinamento italiano.

1 dicembre 2024 – 28 febbraio 2025: Finestra temporale per la registrazione obbligatoria dei soggetti identificati come “essenziali” o “importanti” sulla piattaforma digitale gestita dall’ACN. Durante questo periodo, le organizzazioni devono designare un punto di contatto e fornire informazioni dettagliate sull’infrastruttura e sulla governance della sicurezza informatica.

31 marzo 2025: Scadenza per l’ACN per predisporre e comunicare l’elenco dei soggetti a cui si applica la normativa NIS2.

15 aprile – 31 maggio 2025: Periodo durante il quale i soggetti “essenziali” e “importanti” devono trasmettere o aggiornare le informazioni previste dall’articolo 7 del Decreto NIS, tra cui:

• Dati anagrafici e di contatto dei rappresentanti legali e dei membri degli organi amministrativi e direttivi.
• Informazioni tecniche relative all’infrastruttura IT, come indirizzi IP pubblici e nomi di dominio.
• Elenco degli Stati membri in cui l’organizzazione opera.

31 maggio 2025: Scadenza per l’aggiornamento annuale delle informazioni sulla piattaforma ACN. Le organizzazioni devono assicurarsi che tutti i dati forniti siano corretti e aggiornati.

L’ACN ha previsto una proroga di 60 giorni, fino al 31 luglio 2025, esclusivamente per le aziende che:

• Hanno riscontrato difficoltà tecniche o organizzative
• Hanno richiesto supporto formale all’ACN, ad esempio tramite sportello o interlocuzione dedicata

Questa proroga non è automatica: va motivata e autorizzata. Non è quindi una semplice estensione per tutti, ma una deroga su richiesta.

2° semestre 2025: come devono agire le aziende?

1. Entro maggio 2025: Audit e verifica della conformità NIS2

Tutte le aziende soggette alla Direttiva NIS2 sono chiamate a completare, entro maggio 2025, un audit interno rigoroso e dettagliato sulla sicurezza informatica. Tale audit dovrà essere condotto in conformità alle linee guida ufficiali emesse dall’ACN, che definiscono criteri precisi per l’analisi e la valutazione dei sistemi di sicurezza aziendali.

L’obiettivo principale dell’audit è triplice:

• Valutare la governance e la gestione del rischio informatico: si esamina la struttura organizzativa dedicata alla cybersecurity, i processi decisionali, la responsabilizzazione dei ruoli chiave (come il CISO), e l’efficacia delle politiche di gestione del rischio.
• Misurare la maturità delle policy e dei controlli attuati: si verifica la completezza, l’adeguatezza e l’effettiva implementazione delle policy di sicurezza, dei controlli tecnici (es. firewall, sistemi di autenticazione avanzata, monitoraggio continuo) e delle procedure operative.
• Individuare gap e vulnerabilità: si identificano le lacune rispetto agli standard di conformità, definendo piani di remediation chiari e prioritizzati, con tempistiche e responsabilità definite.

È fondamentale sottolineare che molte organizzazioni tendono a sottovalutare la complessità e le risorse necessarie per questo processo, che richiede personale qualificato, competenze specifiche in ambito normativo e tecnico, oltre a un investimento significativo in termini di tempo.

Ritardi o esecuzioni superficiali possono esporre l’azienda a sanzioni amministrative, inefficienze operative e rischi reputazionali elevati.

---

2. Da luglio 2025: Registro Nazionale e nuovi obblighi di registrazione

A partire da luglio 2025, diventa obbligatoria per tutte le aziende classificate come “essenziali” o “importanti” la registrazione nel Registro Nazionale istituito e gestito dal CSIRT Italia (Computer Security Incident Response Team). Questo registro rappresenta uno strumento centrale per il coordinamento e il monitoraggio della sicurezza informatica a livello nazionale.

Le organizzazioni dovranno fornire informazioni precise e aggiornate, tra cui:

• Dati anagrafici completi dell’organizzazione, con riferimenti legali e amministrativi.
• Elenco dettagliato degli asset critici e delle infrastrutture digitali, che includa hardware, software, reti, e dati essenziali per la continuità operativa.
• Nomina e contatti del referente per la sicurezza informatica (CISO o equivalente).
• Report sull’ultimo audit interno eseguito, con evidenza delle misure correttive implementate.

La mancata o ritardata registrazione nel Registro Nazionale comporterà pesanti sanzioni amministrative e potrà tradursi nell’esclusione automatica da procedure di gara pubblica o da bandi finanziati dal PNRR, limitando fortemente le opportunità di business. Per questo motivo, è fondamentale preparare per tempo tutta la documentazione richiesta e mantenere aggiornate le informazioni.

---

3. Entro gennaio 2026: Integrazione dei piani di sicurezza con la continuità operativa

Entro gennaio 2026, le aziende soggette alla NIS2 dovranno compiere un significativo passo in avanti, dimostrando di aver integrato in modo efficace i propri piani di sicurezza informatica con le strategie di business continuity e disaster recovery.

Gli elementi chiave di questa integrazione includono:

• Procedure consolidate per il ripristino e la continuità dei servizi essenziali, assicurando che in caso di incidenti o attacchi informatici i processi critici possano proseguire senza interruzioni significative.
• Analisi d’impatto sul business, finalizzata a identificare le funzioni aziendali più strategiche, le dipendenze tra processi e risorse, e le potenziali conseguenze di eventuali interruzioni.
• Simulazioni periodiche di scenari di crisi, con l’attivazione reale dei team operativi e la verifica delle procedure di risposta, per testare l’efficacia dei piani e migliorare continuamente la capacità di reazione.

Raccomandazioni strategiche
per il secondo semestre 2025

In vista delle nuove scadenze, le aziende devono adottare un approccio sistemico.
Di seguito alcuni interventi prioritari:

• Aggiornare la mappa degli asset critici in modo coerente con le minacce emergenti e la supply chain digitale.
• Sfruttare tecnologie di automazione, come SIEM, SOAR, EDR/XDR per ridurre il tempo di reazione agli incidenti.
• Rivedere le politiche di gestione delle vulnerabilità alla luce delle nuove linee guida europee.
• Programmare simulazioni di incidenti con coinvolgimento del top management e validazione dei piani di risposta.
• Prepararsi alla rendicontazione pubblica, considerando la trasparenza come fattore competitivo e reputazionale.
• Affidarsi a partner strategici, come HRC e CyberBrain.

Come HRC e CyberBrain possono supportarti nella conformità alla NIS2

La conformità alla Direttiva NIS2 non si raggiunge con una soluzione unica, ma con un approccio strutturato che integra tecnologia, competenze e visione strategica. HRC, insieme al suo team specializzato in cybersecurity CyberBrain, affianca le aziende in questo percorso attraverso strumenti concreti e servizi di consulenza avanzata, già impiegati con successo in contesti enterprise.

🔎 Analisi preventiva e identificazione delle vulnerabilità
Attraverso strumenti di Vulnerability Assessment, test di penetrazione e attività di ricognizione digitale, aiutiamo le organizzazioni a comprendere la propria esposizione e a costruire un piano d’azione basato su dati oggettivi.

🧠 Cyber Check-Up completo
Un servizio pensato per fornire una fotografia chiara del livello di sicurezza attuale, con una valutazione delle criticità rispetto ai requisiti NIS2: governance, gestione del rischio, misure tecniche e organizzative.

🔐 MDR e difesa proattiva
Le soluzioni MDR (Managed Detection & Response) implementate da CyberBrain garantiscono un monitoraggio continuo degli endpoint, rilevamento precoce delle minacce e capacità di risposta in tempo reale. Un alleato prezioso per rafforzare il presidio continuo richiesto dalla normativa.

☁️ CyberDrive: il cloud che protegge i dati critici
CyberDrive è la piattaforma cloud progettata per la condivisione sicura dei dati aziendali, con funzioni di cifratura, controllo degli accessi e tracciabilità completa. Uno strumento utile per soddisfare i requisiti di riservatezza e integrità richiesti dalla direttiva.

📚 Formazione e cultura della sicurezza
Grazie alle nostre partnership, offriamo percorsi di formazione specifici per aumentare la consapevolezza e le competenze interne in tema di cybersecurity: dai CISO ai dipendenti operativi. Una componente fondamentale per rispondere agli obblighi formativi previsti dalla NIS2.

Da oltre vent’anni, supportiamo le aziende nel loro percorso di evoluzione digitale e tecnologica, fornendo soluzioni avanzate per ottimizzare processi e migliorare la produttività. Il nostro obiettivo non è solo offrire strumenti all’avanguardia, ma farlo mettendo sempre al centro il fattore umano.

Non a caso ci chiamiamo Human Resource Consulting: crediamo fermamente che, anche nell’era della trasformazione digitale, le persone restino l’elemento più prezioso. La tecnologia è un mezzo, non il fine. È l’uomo a guidarla, ed è per questo che ogni nostra soluzione è pensata per essere intuitiva, accessibile e realmente utile a chi la utilizza ogni giorno.

Lavoriamo al fianco delle aziende per aiutarle a semplificare la gestione dei processi, migliorando la sicurezza, l’efficienza e la conformità normativa. Dal software alla cybersecurity, sviluppiamo strumenti che non solo rispondono alle esigenze attuali, ma che preparano le imprese alle sfide future, garantendo continuità e innovazione.

Siamo nati con la missione di colmare il divario tra tecnologia e persone, e continuiamo a farlo con passione, offrendo consulenza, supporto e soluzioni su misura. Perché, in un mondo sempre più digitale, il valore umano è e resterà il vero motore del progresso.