Il 10 aprile 2025 ha segnato un momento cruciale per la cybersecurity in Italia con l'avvio della seconda fase del Network Information Security (NIS). Questo passaggio, orchestrato dall'Agenzia per la Cybersicurezza Nazionale (ACN), mira a rafforzare le misure di sicurezza informatica per oltre 20.000 organizzazioni, di cui più di 5.000 sono considerate essenziali.
Obiettivi e Misure della Seconda Fase
La seconda fase del NIS si concentra su diverse aree chiave:
- Misure di Sicurezza Informatica: Le organizzazioni devono implementare 37 misure di sicurezza, suddivise in 87 requisiti, entro ottobre 2026. I soggetti essenziali devono adottare ulteriori 6 misure e 29 requisiti, portando il totale a 43 misure e 116 requisiti.
- Notifica degli Incidenti Significativi: A partire da gennaio 2026, le organizzazioni devono notificare gli incidenti significativi. I soggetti essenziali devono monitorare quattro tipi di incidenti, mentre i soggetti importanti ne devono monitorare tre.
- Sicurezza dei Sistemi di Nomi di Dominio: Sono state definite modalità specifiche per garantire la sicurezza, stabilità e resilienza dei sistemi di nomi di dominio, adattate alle caratteristiche peculiari di alcune tipologie di soggetti.
Implementazione e Scadenze
La seconda fase prevede anche una serie di scadenze importanti. Dal 15 aprile al 31 maggio 2025, le organizzazioni devono designare il sostituto punto di contatto e aggiornare le informazioni previste dall'articolo 7 del decreto NIS. Questo include la segnalazione dei componenti degli organi di amministrazione e direttivi, gli indirizzi IP e i nomi di dominio in uso.
Il Contesto Europeo: La Direttiva NIS2
La seconda fase del NIS in Italia si inserisce nel contesto più ampio della Direttiva NIS2 dell'Unione Europea, recepita con il Decreto Legislativo n. 138/2024. Questa direttiva introduce un sistema di obblighi e responsabilità più articolato, ampliando l'ambito di applicazione e includendo settori critici come energia, trasporti, sanità e infrastrutture digitali.
Sfide e Opportunità
L'implementazione della seconda fase del NIS rappresenta una sfida significativa per le organizzazioni italiane, che devono adattarsi a nuovi requisiti di sicurezza e gestione degli incidenti. Tuttavia, offre anche l'opportunità di migliorare la resilienza e la protezione delle infrastrutture critiche, contribuendo a un livello di sicurezza cibernetica più elevato a livello nazionale ed europeo.
Autore: Alessandro Gigliotti Team Leader Auditor ISO 9001, ISO 27001, ISO 22301 e ISO 42001