Aggiornamento
NIS2: cosa cambia per le aziende italiane dal recepimento del D.Lgs 138/2024
Il decreto 138/2024 recepisce la direttiva NIS2: obblighi nuovi su governance cyber, notifica incidenti, supply chain. Guida pratica per capire se siete soggetti essenziali, importanti o fuori scope.
Il nuovo perimetro
Il D.Lgs 138/2024 amplia drasticamente i soggetti tenuti a misure di cybersecurity, includendo manifattura, alimentare, gestione rifiuti e fornitori critici della pubblica amministrazione. La soglia minima scende a 50 dipendenti o 10 M€ di fatturato per molti settori.
Tre categorie
- Soggetti essenziali: energia, trasporti, banche, sanità, infrastrutture digitali. Vigilanza ex-ante.
- Soggetti importanti: postali, alimenti, manifattura, ricerca, fornitori cloud non critici. Vigilanza ex-post.
- Esclusi: micro-imprese sotto soglia (salvo eccezioni).
Cosa fare ora
- Censimento perimetro: verifica codici ATECO + dimensione organizzativa.
- Registrazione ACN: entro 17 gennaio 2026 (essenziali) / 17 aprile 2026 (importanti).
- Risk assessment documentato secondo art. 24 D.Lgs 138/2024.
- Piano notifica incidenti: pre-allerta entro 24h, notifica entro 72h.
- Formazione organi amministrativi: la NIS2 prevede responsabilità personale.
Come Forgest può supportarti
Affianchiamo la classificazione, il gap assessment e l’implementazione delle misure tecniche e organizzative. La piattaforma ACSIA CRA copre detection, response e reporting in modo automatizzato.
Formazione NIS2 obbligatoria per gli organi amministrativi: La direttiva NIS2 prevede responsabilità personale degli amministratori. Il percorso formativo raccomandato comprende il corso privacy e GDPR per tutto il personale che tratta dati e la formazione dirigenti per integrare la gestione del rischio cyber nelle responsabilità di vertice.
Tag