Il D.lgs. n. 138 del 04/09/2024 si applica esclusivamente ai soggetti, pubblici o privati, che operano nei settori elencati negli Allegati I (c.d. soggetti essenziali, purché superino i massimali per le medie imprese di cui all’articolo 2, paragrafo 1, dell’allegato della raccomandazione 2003/361/CE) e di cui all’Allegato II (soggetti importanti) della direttiva stessa, tra cui: enti che operano in settori ad alta criticità come energia, banche, sanità e infrastrutture digitali, nonché coloro che sono definiti come soggetti critici dal D.lgs. n. 138 del 2024.
Ai sensi dell’art. 30 del D.lgs. 04/09/2024, n. 138 “Ai fini di cui all’articolo 24, comma 1, dal 1° maggio al 30 giugno di ogni anno a partire dalla ricezione della prima comunicazione di cui all’articolo 7, comma 3, lettera a), i soggetti essenziali e i soggetti importanti comunicano e aggiornano, tramite la piattaforma digitale di cui all’articolo 7, comma 1, un elenco delle proprie attività e dei propri servizi, comprensivo di tutti gli elementi necessari alla loro caratterizzazione e della relativa attribuzione di una categoria di rilevanza”.
Lo scopo è difatti la messa in sicurezza delle reti informatiche delle società che operano nei settori critici di cui sopra.
Durante il corso del mese di aprile 2026, l’Agenzia per la cybersicurezza nazionale (ACN) si è espressa con alcuni chiarimenti in merito al dettato normativo.
Con la Determinazione n. 127434/2026 l’ACN ha definito i termini entro cui i soggetti destinatari della direttiva NIS2 devono adempiere agli obblighi previsti dalla disciplina, tra cui l’adozione di politiche di analisi dei rischi e di sicurezza dei sistemi informativi e di rete, nonché politiche di gestione degli incidenti, per eseguire le notifiche di incidenti che abbiano un impatto significativo sulla fornitura dei loro servizi.
In particolare, secondo la Determinazione di cui sopra, l’obbligo di notifica degli incidenti significativi decorre dal 1° gennaio 2027, prevedendo così un periodo di tempo utile ai nuovi soggetti per dotarsi degli adeguati assetti organizzativi e tecnici.
È inoltre fissato a luglio 2027 il termine entro cui devono essere adottate le misure di sicurezza da parte dei soggetti destinatari della NIS2, quali l’adozione di pratiche di igiene di base e di formazione in materia di sicurezza informatica e politiche e procedure relative all’uso della crittografia e della cifratura.
Con la Determinazione n. 155238 del 20 aprile 2026, adottata ai sensi dell’articolo 30 del decreto NIS, l’ACN ha invece definito il quadro operativo per il processo di elencazione e categorizzazione delle attività, da indicare appositamente in piattaforma. Infatti, Il provvedimento richiede che, tramite la piattaforma digitale, i soggetti NIS debbano provvedere all’elencazione e alla categorizzazione di tutte le attività svolte e dei servizi erogati, indicando, per ciascuna attività o servizio, le seguenti informazioni: la macroarea, la denominazione e la descrizione e categoria di rilevanza.
Il provvedimento disciplina, inoltre, gli aspetti finanziari e gli obblighi di pubblicità, stabilendo che le nuove disposizioni si applicano a decorrere dal 1° maggio 2026 nell’ambito del quadro generale del decreto NIS. La responsabilità del processo è attribuita ai punti di contatto NIS, cui spetta il compito di validare le informazioni e trasmetterle ad ACN. Una volta effettuata la trasmissione, l’art. 21 del D.lgs. 4 settembre 2024, n. 138 prevede che l’Autorità nazionale competente NIS svolga controlli a campione per verificare la coerenza delle informazioni rispetto al modello adottato.