Le aziende devono prepararsi ai controlli ACN
Sicurezza informatica, gestione dei rischi, continuità operativa e responsabilità degli amministratori: per le aziende soggette alla NIS2 è arrivato il momento di dimostrare l’effettiva attuazione delle misure di sicurezza previste dalla normativa.
Ottobre 2026: una scadenza importante per le aziende soggette alla NIS2
Il mese di ottobre 2026 rappresenta una fase particolarmente importante nell’attuazione della Direttiva (UE) 2022/2555, conosciuta come NIS2, recepita in Italia mediante il D.Lgs. 4 settembre 2024, n. 138.
Per molte organizzazioni inserite nel 2025 nell’elenco nazionale dei soggetti NIS, giunge infatti a scadenza il termine per adottare le misure di sicurezza informatica di base definite dall’Agenzia per la Cybersicurezza Nazionale (ACN).
La normativa prevede un termine di 18 mesi dalla ricezione della comunicazione di inserimento nell’elenco NIS. Ciascuna azienda deve pertanto verificare la propria data di scadenza, che non coincide necessariamente con il 31 ottobre 2026.
Per le organizzazioni inserite per la prima volta nell’elenco nel 2026, il calendario ACN prevede invece il termine di luglio 2027.
L’adeguamento non deve limitarsi alla predisposizione di documenti e procedure, ma deve tradursi nell’effettiva applicazione delle misure organizzative e tecniche previste.
Quali adempimenti devono essere verificati?
Le aziende interessate devono prestare particolare attenzione a tre ambiti fondamentali.
- Valutazione dei rischi informatici e organizzazione della sicurezza
Le organizzazioni devono disporre di un sistema strutturato di gestione dei rischi informatici, che comprenda:
- identificazione degli asset informatici, delle infrastrutture e dei processi aziendali critici;
- valutazione dei rischi associati ai sistemi informativi e alle tecnologie utilizzate;
- definizione di politiche e procedure per la sicurezza delle informazioni;
- gestione e controllo degli accessi ai sistemi;
- adozione di misure di autenticazione e protezione delle informazioni, secondo i requisiti applicabili;
- definizione delle responsabilità aziendali nella gestione della cybersicurezza;
- formazione e sensibilizzazione del personale.
- Gestione degli incidenti informatici e continuità operativa
Le aziende devono essere preparate a gestire eventuali attacchi informatici, guasti o altri eventi capaci di compromettere i sistemi e la continuità dei servizi.
Occorre pertanto verificare:
- la presenza di procedure per rilevare, gestire e contenere gli incidenti informatici;
- la definizione delle responsabilità e delle modalità operative per la risposta agli incidenti;
- la predisposizione di adeguati sistemi di backup e ripristino;
- la disponibilità di piani di continuità operativa e Disaster Recovery;
- la verifica periodica dell’efficacia delle misure adottate;
- la disponibilità di procedure per notificare gli incidenti significativi al CSIRT Italia.
Per gli incidenti significativi soggetti a notifica, il D.Lgs. 138/2024 prevede, in particolare, una pre-notifica entro 24 ore e una successiva notifica entro 72 ore dalla conoscenza dell’incidente, oltre agli ulteriori adempimenti previsti dalla normativa.
- Sicurezza informatica dei fornitori
Un ulteriore aspetto riguarda la sicurezza della catena di approvvigionamento.
Le organizzazioni soggette alla NIS2 devono valutare i rischi informatici connessi ai rapporti con i propri fornitori, in particolare quelli che forniscono servizi informatici, software, infrastrutture digitali e tecnologie rilevanti per i processi aziendali.
È quindi necessario verificare:
- l’identificazione dei fornitori critici;
- la valutazione dei rischi associati ai servizi e alle tecnologie acquistate;
- l’adozione di adeguati requisiti di sicurezza nei rapporti contrattuali;
- le modalità di comunicazione e gestione degli incidenti che possono coinvolgere la catena di fornitura.
Anche le aziende non direttamente soggette alla NIS2 possono quindi essere coinvolte indirettamente, qualora siano fornitori di organizzazioni soggette alla normativa.
Controlli ACN: non sarà sufficiente avere la documentazione
Con l’avvicinarsi delle scadenze di adeguamento, assume crescente importanza la capacità delle aziende di dimostrare l’effettiva applicazione delle misure previste.
Nell’ambito delle proprie attività di vigilanza, l’Agenzia per la Cybersicurezza Nazionale può verificare:
- la presenza e l’effettiva applicazione delle procedure di sicurezza informatica;
- la completezza delle valutazioni dei rischi;
- l’adeguatezza delle misure di protezione dei sistemi e delle informazioni;
- l’efficacia delle procedure di gestione degli incidenti;
- la disponibilità di evidenze relative ai controlli e alle verifiche effettuate;
- la formazione e la consapevolezza del personale e degli organi direttivi.
La mancata osservanza degli obblighi può comportare prescrizioni e sanzioni amministrative, secondo quanto previsto dal D.Lgs. 138/2024.
NIS2 e sicurezza sul lavoro: attenzione agli impianti industriali interconnessi
Un aspetto particolarmente importante riguarda il rapporto tra cybersicurezza e salute e sicurezza sul lavoro.
Nelle aziende che utilizzano macchine, impianti automatizzati, sistemi SCADA e tecnologie interconnesse, un incidente informatico potrebbe determinare conseguenze non soltanto sulla produzione, ma anche sulla sicurezza degli operatori.
Un attacco informatico o un malfunzionamento dei sistemi di controllo potrebbe, ad esempio, compromettere il corretto funzionamento di dispositivi di allarme, sistemi di supervisione e funzioni di sicurezza.
Diventa quindi opportuno:
- valutare le possibili conseguenze sulla salute e sicurezza dei lavoratori derivanti da incidenti informatici che interessano macchine e impianti;
- verificare, quando pertinente, la necessità di integrare tali rischi nel Documento di Valutazione dei Rischi (DVR);
- coordinare le procedure di gestione delle emergenze con quelle di risposta agli incidenti informatici;
- favorire la collaborazione tra responsabili IT, RSPP, responsabili della manutenzione e direzione aziendale;
- sensibilizzare il personale operativo sulla segnalazione di anomalie nei sistemi automatizzati.
La sicurezza informatica deve pertanto essere considerata anche nell’ambito della gestione complessiva dei rischi aziendali.
Cosa devono fare le aziende?
MIZAR raccomanda alle organizzazioni interessate di effettuare una verifica del proprio livello di adeguamento, prestando particolare attenzione alla classificazione NIS, alle scadenze applicabili e alla disponibilità di evidenze documentate delle misure effettivamente implementate.
È inoltre importante verificare che le procedure aziendali siano aggiornate alle determinazioni ACN applicabili e che le responsabilità assegnate siano chiaramente definite.
La cybersicurezza non è più soltanto una questione informatica, ma rappresenta un elemento essenziale della gestione dei rischi, della continuità aziendale e della responsabilità degli organi di amministrazione e direzione.
MIZAR SRL invita le aziende clienti a valutare attentamente questi aspetti, anche nell’ottica di una gestione integrata dei rischi aziendali, della sicurezza sul lavoro e dei sistemi di gestione.
