Cosa devi fare
per conformarti.

Le entità NIS2 devono implementare misure di sicurezza nei seguenti 10 domini:

1. Politiche di sicurezza — documentazione e governance
2. Ruoli e responsabilità — assegnazione figure di riferimento
3. Gestione del rischio — identificazione, valutazione e trattamento
4. Gestione degli incidenti — procedure di rilevazione, analisi e risposta
5. Continuità operativa — backup, disaster recovery, piani B
6. Sicurezza della supply chain — valutazione fornitori e partner
7. Sicurezza in acquisizione e sviluppo — security by design
8. Igiene informatica e formazione — awareness e best practices
9. Crittografia — protezione dati in transito e a riposo
10. Sicurezza delle risorse umane — controllo accessi e privilegi

In caso di incidente significativo, le entità devono notificare l'ACN secondo questa timeline:

Le entità devono valutare e gestire i rischi della supply chain ICT:

• Valutazione sicurezza fornitori e partner
• Requisiti di sicurezza nei contratti
• Monitoraggio continuo della supply chain
• Piani di contingenza per interruzioni

Le entità devono registrarsi presso l'ACN entro i termini stabiliti dal D.Lgs. 138/2024. La registrazione include:

• Dati identificativi dell'entità
• Settore di appartenenza
• Classificazione (EE o EI)
• Punto di contatto per incidenti

In caso di recidività, le sanzioni possono essere aumentate. L'ACN ha inoltre la facoltà di diffondere pubblicamente le violazioni.

• D.Lgs. 138/2024 — Decreto legislativo attuativo della Direttiva NIS2 in Italia
• Direttiva (UE) 2022/2555 — NIS2 Directive del Parlamento Europeo e del Consiglio
• Regolamento (UE) 2024/2690 — Implementing Regulation per la registrazione delle entità
• ACN — Agenzia per la Cybersicurezza Nazionale (www.acn.gov.it)