La scadenza di ottobre 2026 segna il passaggio dalla fase amministrativa alla prova concreta delle misure di sicurezza di base per la NIS2. Le organizzazioni che hanno ricevuto la PEC di conferma dall’Agenzia per la Cybersicurezza Nazionale devono completare queste misure entro il 31 ottobre.

Dopo un anno di adempimenti prevalentemente amministrativi, la conformità alla NIS2 diventa un sistema operativo che deve funzionare e essere dimostrabile. Questo principio è simile a quello del GDPR, che richiede un approccio pratico alla protezione dei dati.

Le misure di sicurezza di base

Il Decreto Legislativo 138/2024, che recepisce la Direttiva NIS2, prevede un percorso a tappe. Dopo la registrazione sul portale ACN e la nomina del punto di contatto, ora è il momento di implementare il livello minimo di protezione.

La determinazione ACN n. 379907 del 19 dicembre 2025 stabilisce 37 misure e 87 requisiti per i soggetti importanti e 43 misure e 116 requisiti per i soggetti essenziali. Queste misure servono a prevenire incidenti significativi, che devono essere notificati al CSIRT Italia.

Il ruolo del DPO e dei vertici aziendali

Il DPO ha un ruolo cruciale nel coordinare le misure di sicurezza. Molte delle misure richieste dalla NIS2 sono già previste dal GDPR, come l’adozione di misure tecniche e organizzative adeguate al rischio e la stipula di contratti con i fornitori.

Tuttavia, è importante non confondere i fornitori rilevanti per la NIS2 con i responsabili del trattamento del GDPR. Il lavoro fatto per il GDPR è una buona base, ma non può essere considerato un sostituto completo.

I vertici aziendali devono essere coinvolti attivamente, poiché l’articolo 23 del decreto attribuisce loro responsabilità dirette. Devono approvare le modalità di attuazione delle misure, sovrintendere alla loro applicazione e formarsi adeguatamente.

Il Punto di contatto, la persona che cura l’attuazione del decreto e dialoga con l’ACN, ha un ruolo centrale. Deve essere sostenuto con tempo, deleghe e un sostituto pronto a subentrare. Il Punto di contatto e il DPO devono lavorare a stretto contatto, ma mantenere le loro funzioni distinte per evitare conflitti di interesse.

Infine, le informazioni sul portale ACN devono essere tenute aggiornate. Qualsiasi cambiamento, come un nuovo referente o un fornitore rilevante, deve essere comunicato entro 14 giorni dalla modifica.