Misure di base ACN: il termine per i soggetti del 2025
Per i soggetti NIS 2 entrati nell'elenco ACN nel 2025 si avvicina il termine per adottare le misure di sicurezza di base. Non è una data uguale per tutti, e conviene capire da dove parte il conto.
Il riferimento è la determinazione dell'Agenzia per la Cybersicurezza Nazionale del 14 aprile 2025. La determinazione specifica gli obblighi di base previsti dal D.Lgs. 138/2024 su due fronti: le misure di sicurezza e la notifica degli incidenti significativi. Le misure sono distinte fra soggetti essenziali e soggetti importanti. Il primo passaggio, quindi, è verificare quale allegato si applica alla categoria indicata nella propria comunicazione.
Il termine per le misure, infatti, decorre dalla comunicazione con cui l'ACN ha informato il soggetto dell'inserimento nell'elenco. Per chi l'ha ricevuta nella primavera del 2025, la scadenza cade in queste settimane. La data esatta va letta sulla propria comunicazione e sulle indicazioni pubblicate sul sito dell'ACN, che restano la fonte da citare. Chi è stato inserito nel 2026 segue invece un calendario proprio, calcolato con lo stesso criterio.
C'è poi un punto che pesa più della data. "Adottare" una misura significa che la misura funziona ed è dimostrabile. Un inventario degli asset, per esempio, conta se è aggiornato e se qualcuno ne risponde. Una policy approvata e mai applicata non prova nulla.
Deve muoversi l'organizzazione nel suo insieme, a partire dagli organi di amministrazione: il D.Lgs. 138/2024 attribuisce a loro l'approvazione delle modalità con cui le misure vengono attuate. Se la scadenza arriva e la delibera manca, il problema riguarda la governance prima della tecnica.
Nella vostra organizzazione, la data di decorrenza è stata calcolata dalla comunicazione ACN o da una data letta altrove?