NIS2 – La cybersicurezza entra nel vivo con il modello di incident management

Con la pubblicazione delle Linee Guida NIS – Specifiche di base – per la definizione del processo di gestione degli incidenti di sicurezza informatica, l’Agenzia per la Cybersicurezza Nazionale (ACN) compie un passaggio decisivo: dal quadro normativo astratto, infatti, si passa alla prassi operativa.

Le Linee Guida si innestano nel solco del D.Lgs. 138/2024 (c.d. decreto NIS) e della Determinazione ACN n. 379907/2025, che ha fissato le misure di sicurezza di base e gli incidenti significativi di base per i soggetti essenziali e importanti. Le Linee Guida assumono un ruolo centrale nel sistema NIS2 in quanto descrivono in maniera dettagliata come adempiere correttamente agli obblighi previsti dalla norma e che sono prossimi alla loro piena operatività.

In particolare, il documento sulla gestione degli incidenti svolge una funzione prevalentemente ermeneutica e metodologica, descrivendo un modello strutturato di incident handling (preparazione, rilevamento, contenimento, risposta, ripristino e miglioramento continuo) e raccordandolo alle misure di sicurezza previste dagli Allegati tecnici alla Determinazione ACN.

Il risultato è un vero e proprio ponte logico tra norma, requisiti tecnici e processi aziendali, pensato per supportare le funzioni di compliance e gli organi apicali nell’implementazione di procedure coerenti con il Framework Nazionale per la Cybersecurity e la Data Protection.

Il nuovo quadro delineato dal decreto NIS e dalle Linee Guida ACN richiede ai soggetti interessati un ripensamento strutturato della governance della sicurezza informatica, con un forte coinvolgimento degli organi apicali, una robusta produzione documentale e l’adozione di processi formalizzati di gestione del rischio e degli incidenti. Questo adeguamento non si limita a un semplice obbligo normativo, ma costituisce un passaggio strategico fondamentale per garantire la continuità operativa, la resilienza dei servizi e la tutela della reputazione organizzativa. In questo contesto, gli investimenti in compliance privacy e data protection assumono un valore strategico, diventando strumenti concreti per prevenire rischi legali, consolidare la fiducia di utenti, clienti e partner e rafforzare l’immagine aziendale.

2026 anno chiave di attuazione del decreto NIS

Le nuove indicazioni dell’ACN confermano il nucleo di obblighi operativi inderogabili e le scadenze progressive già stabilite dalle Determinazioni ACN per i soggetti essenziali e importanti.

• Il primo adempimento critico nel 2026 riguarda la registrazione o l’aggiornamento annuale sulla piattaforma dell’Agenzia, da effettuarsi tra il 1° gennaio e il 28 febbraio.
• Da gennaio 2026 entrano in vigore le misure di sicurezza di base aggiornate e diventano vincolanti le modalità di gestione e notifica degli incidenti: le organizzazioni devono essere tecnicamente pronte a segnalare immediatamente gli “incidenti significativi” al CSIRT Italia, seguendo le nuove tassonomie e i canali definiti dall’ACN, con una pre-notifica entro 24 ore, una notifica completa entro 72 ore e una relazione finale entro 30 giorni, come già stabilito dal decreto NIS.
• Entro il 30 settembre 2026 – termine fissato a 18 mesi dalla comunicazione di inclusione nell’elenco NIS -, i soggetti NIS (importanti ed essenziali) devono dimostrare la piena implementazione di tutte le misure di sicurezza previste, riportate rispettivamente negli Allegati 1 e 2 della Determinazione ACN 379907/2025.

Le nuove Linee Guida si inseriscono esattamente in questo contesto temporale: il loro obiettivo è fornire un modello operativo di riferimento per allineare le fasi di gestione degli incidenti con le misure di sicurezza obbligatorie che dovranno essere pienamente operative entro ottobre 2026.

Il nuovo modello di incident management: fasi e governance

Come anticipato, le Linee Guida ACN delineano un processo strutturato di gestione degli incidenti informatici, articolato in cinque fasi sequenziali e interconnesse – preparazione, rilevamento, risposta, ripristino e miglioramento – volto a garantire un approccio preventivo, efficace e orientato alla resilienza operativa. Il fulcro del modello risiede nella fase di preparazione, che richiede una governance chiara e formalizzata, con politiche di sicurezza informatica approvate dagli organi apicali, ruoli e responsabilità definiti lungo l’intero ciclo di gestione degli incidenti e un piano di incident management coerente con gli obblighi di notifica al CSIRT Italia previsti dal decreto NIS. Centrale, in tale ottica, è il ruolo del Referente CSIRT, quale punto di raccordo operativo con le autorità, ferma restando la responsabilità finale in capo agli organi direttivi.

Le Linee Guida valorizzano inoltre la conoscenza del contesto operativo e la protezione dei sistemi attraverso misure organizzative e tecnologiche proporzionate al rischio (“approccio multi-rischio” di cui all’articolo 2, comma 1, lettera dd) del decreto NIS), nonché la formazione continua del personale, inclusi i vertici aziendali. Le fasi di rilevamento e risposta enfatizzano la necessità di una capacità di individuazione tempestiva degli eventi e di una gestione strutturata dell’incidente, con l’attivazione delle procedure di pre-notifica al CSIRT Italia entro 24 ore e di notifica completa entro 72 ore dalla scoperta dell’incidente. Il ripristino e il miglioramento continuo completano il ciclo, rafforzando nel tempo la capacità dell’organizzazione di prevenire e gestire efficacemente futuri incidenti, in un’ottica di potenziamento continuo.

Rischio sanzionatorio e responsabilità degli organi apicali

Il rafforzamento del quadro operativo va letto alla luce di un apparato sanzionatorio particolarmente incisivo. Il mancato rispetto degli obblighi in materia di misure di sicurezza, gestione e notifica degli incidenti espone i soggetti NIS a sanzioni amministrative di forte impatto, che per i soggetti essenziali possono arrivare fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, ai sensi dell’art. 38 del D.Lgs. 138/2024.

A ciò si aggiunge la possibilità di misure correttive e accessorie – tra cui prescrizioni immediate di adeguamento, limitazioni temporanee delle attività e, nei casi più gravi, conseguenze dirette per gli amministratori e i vertici aziendali – che rendono evidente come la cybersicurezza sia ormai un tema di governance strategica.

In questo contesto, l’adozione di processi strutturati e documentati di gestione degli incidenti non rappresenta solo un presidio di compliance, ma uno strumento essenziale per mitigare il rischio sanzionatorio, tutelare la continuità operativa e proteggere la reputazione dell’impresa.