Systema Srl

PEC dell’ACN e NIS2: scattano gli obblighi per le imprese italiane

Con l’invio delle prime PEC, prende ufficialmente il via la seconda fase di attuazione della direttiva europea NIS2 in Italia. L’Agenzia per la Cybersicurezza Nazionale (ACN) ha iniziato a comunicare formalmente ai soggetti coinvolti la loro inclusione nell’elenco previsto dal Decreto Legislativo 123/2023. È un passaggio chiave che segna l’inizio di una nuova stagione di adempimenti per le imprese.

UN NUOVO SCENARIO OPERATIVO: SI ENTRA NELLA FASE DI ATTUAZIONE CONCRETA

La ricezione della PEC rappresenta più di una semplice formalità: identifica ufficialmente l’impresa come “soggetto NIS2” e ne attiva gli obblighi operativi. Dopo mesi di preparazione e chiarimenti normativi, ora si passa all’azione concreta.

Chi ha completato la registrazione entro la scadenza del 29 marzo 2025 vedrà in queste settimane l’evolversi di tre attività principali da parte dell’ACN:

  • pubblicazione dell’elenco ufficiale dei soggetti regolati;
  • invio delle notifiche via PEC;
  • definizione delle prime misure obbligatorie minime in tema di sicurezza e gestione degli incidenti.

Queste disposizioni costituiranno il quadro tecnico di riferimento per l’adeguamento di ciascun soggetto.

Nel dettaglio, le misure attese definiranno:

  • i requisiti minimi di sicurezza organizzativa, tecnica e procedurale;
  • l’elenco degli incidenti da considerare “significativi”;
  • le modalità e i tempi per effettuare le notifiche obbligatorie in caso di attacco.

MAGGIO 2025: AGGIORNAMENTO OBBLIGATORIO DEI DATI

Entro la fine di maggio, i soggetti NIS2 saranno tenuti a trasmettere o aggiornare una serie di informazioni fondamentali, come previsto dal decreto:

  • indirizzi IP utilizzati;
  • stati UE in cui si offrono servizi digitali o infrastrutturali;
  • nome del responsabile della sicurezza (art. 38);
  • nominativo del referente sostitutivo.

Questi dati dovranno essere sempre aggiornati e comunicati entro 14 giorni da eventuali variazioni, tramite una nuova piattaforma online predisposta dall’ACN.

GENNAIO 2026: SCATTA L’OBBLIGO DI NOTIFICA DEGLI INCIDENTI

Dal 1° gennaio 2026 entrerà in vigore l’obbligo per i soggetti regolati di segnalare gli incidenti significativi secondo quanto previsto dai documenti tecnici. Gli eventi che minacciano la continuità operativa o l’integrità dei servizi non potranno più essere gestiti internamente, ma dovranno essere notificati come previsto dalla legge.

VERSO APRILE 2026: NUOVI OBBLIGHI A LUNGO TERMINE

L’ACN avrà il compito di elaborare un sistema di classificazione delle attività e dei servizi erogati dai soggetti NIS2, con l’obiettivo di associare specifici livelli di rischio e calibrare gli obblighi conseguenti.

Contestualmente, sarà approvato anche un nuovo set di obblighi “strutturali”, destinati a rafforzare la governance interna, le attività di controllo e la gestione del rischio, tra cui:

  • audit di sicurezza periodici;
  • piani di miglioramento continuo;
  • misure adattive contro minacce emergenti.

OTTOBRE 2026: MISURE MINIME PIENAMENTE OPERATIVE

Entro ottobre 2026, ogni soggetto dovrà aver completato l’implementazione delle misure minime previste. Non si tratterà solo di linee guida su carta, ma di soluzioni tecniche attive, verificate e documentabili, in grado di difendere concretamente i sistemi informativi da attacchi informatici.

Da quel momento in poi, la sicurezza diventerà un processo ciclico e continuo, e non più una semplice risposta a scadenze normative.

CONCLUSIONI: DALLA COMPLIANCE ALLA RESPONSABILITÀ CONDIVISA

Il percorso tracciato dalla direttiva NIS2 rappresenta una svolta epocale per il sistema digitale italiano. Per la prima volta, la cybersicurezza diventa un tema trasversale che coinvolge non solo le grandi infrastrutture pubbliche, ma anche aziende private, PMI e operatori digitali.

Essere inclusi nell’elenco NIS2 non è solo un obbligo: è un passo verso una maggiore consapevolezza e responsabilità collettiva. La PEC ricevuta dall’ACN è molto più di una comunicazione formale: è una chiamata all’azione.

Hai dubbi e vuoi parlarcene?

I nostri articoli

PARLA CON UN’ESPERTO

Prenota una consulenza con
un nostro esperto


    Dichiaro di avere preso attenta visione dell’informativa sulla privacy e presto il consenso al trattamento dei miei dati personali per richiedere informazioni sui servizi e/o prodotti, ex. art. 6, par. 1 lett. A) del Regolamento (UE) 2016/679

    Conferma presa visione

    Vi informiamo inoltre che i Vostri dati anagrafici saranno trattati solo ed esclusivamente da Systema Srl o da soggetti espressamene incaricati per l’esecuzione di alcuni dei servizi richiesti e non verranno ceduti a terzi senza un Vostro previo consenso in osservanza del Regolamento (UE) 2016/679