Aggiornamento NIS2: proroga al 31 luglio per i soggetti che hanno chiesto assistenza

L’Agenzia per la Cybersicurezza Nazionale (ACN) ha ufficializzato (qui la comunicazione ufficiale) una proroga al 31 luglio 2025 per la conclusione dell’aggiornamento annuale delle informazioni da parte dei soggetti NIS che hanno richiesto supporto tecnico o operativo. La decisione si inserisce nel percorso graduale di accompagnamento tracciato a partire da ottobre 2024, volto a facilitare l’adeguamento progressivo agli obblighi introdotti dal decreto legislativo 138/2024, che recepisce la Direttiva (UE) 2022/2555, nota come NIS 2. Per approfondire il tema, abbiamo pubblicato il volume Investigazioni e prove digitali – Blockchain e Crypto Asset, disponibile su Shop Maggioli e su Amazon

1. I numeri dell’adeguamento: metà dei soggetti NIS ha già avviato l’iter

Secondo quanto comunicato dall’ACN, circa la metà dei soggetti obbligati ha già inserito parte delle informazioni richieste sulla piattaforma digitale e oltre un migliaio ha completato con successo la trasmissione dei dati. La proroga al 31 luglio è riservata esclusivamente ai soggetti che, avendo richiesto assistenza, necessitano di ulteriori approfondimenti tecnici per completare la procedura.
Il termine supplementare consentirà anche una più efficace pianificazione delle sessioni di formazione e informazione rivolte ai membri degli organi di amministrazione e ai direttivi delle entità interessate, come previsto dalla Determinazione ACN n. 136117 del 10 aprile 2025. Per approfondire il tema, abbiamo pubblicato il volume Investigazioni e prove digitali – Blockchain e Crypto Asset, disponibile su Shop Maggioli e su Amazon

2. Il contesto normativo: cosa prevede il decreto NIS

Il decreto legislativo 138/2024 ha ampliato significativamente il perimetro di applicazione della disciplina NIS, introducendo obblighi di sicurezza per un ampio ventaglio di soggetti sia pubblici che privati, classificati in “essenziali” e “importanti” in base al ruolo strategico e all’impatto potenziale dei loro servizi. Rientrano tra i soggetti obbligati ospedali, banche, operatori energetici, piattaforme digitali, gestori di reti idriche e infrastrutture di telecomunicazione.
Tra gli adempimenti previsti:

• l’adozione di misure di sicurezza proporzionate al rischio;
• la nomina di referenti per la cybersecurity;
• l’aggiornamento annuale delle informazioni trasmesse all’ACN;
• la notifica degli incidenti significativi entro 24 ore.

Proprio quest’ultimo punto rappresenta uno degli obblighi cardine del nuovo assetto normativo: in caso di eventi che impattino significativamente sulla fornitura dei servizi, i soggetti NIS devono informare tempestivamente il CSIRT Italia, con una pre-notifica e successiva relazione dettagliata entro 72 ore.

3. La piattaforma ACN e la Determinazione 136117/2025

La Determinazione ACN n. 136117 delinea i procedimenti di utilizzo e accesso alla piattaforma digitale NIS. In essa sono specificati i passaggi relativi alla designazione dei rappresentanti, al censimento degli utenti e alle modalità con cui devono essere trasmesse e aggiornate annualmente le informazioni. La presa d’atto telematica da parte degli organi direttivi – un adempimento che attesta la consapevolezza e responsabilità rispetto alle attività in corso – potrà essere effettuata anche dopo il termine del 31 luglio.
Il processo di aggiornamento annuale è dunque un tassello chiave della strategia nazionale di cybersicurezza, che intende assicurare un monitoraggio costante della conformità e un dialogo continuo tra autorità competenti e soggetti vigilati.

4. Istruzioni operative per interpretare la decisione dell’ACN

La proroga al 31 luglio 2025 per la conclusione dell’aggiornamento annuale dei dati riguarda esclusivamente i soggetti NIS che hanno formalmente richiesto supporto all’Agenzia per la Cybersicurezza Nazionale. Non si tratta dunque di un’estensione automatica per tutti: chi non ha attivato una richiesta di assistenza è tenuto a rispettare le tempistiche precedentemente comunicate tramite il Portale ACN.
L’indicazione si inserisce nel quadro delineato dalla Determinazione del 10 aprile 2025, che disciplina modalità di accesso, aggiornamento e gestione dei dati attraverso la piattaforma digitale NIS. È fondamentale verificare che la propria posizione sia correttamente censita e che eventuali richieste di supporto siano state tracciate in modo formale all’interno del sistema.
Un altro aspetto importante riguarda la formazione e l’informazione rivolta ai componenti degli organi di amministrazione e direttivi. La comunicazione dell’ACN fa riferimento alla possibilità di pianificare specifiche sessioni informative, ma al momento non è specificato se queste saranno a carico degli enti o direttamente organizzate dall’Agenzia. È dunque consigliabile mantenersi aggiornati sulle istruzioni operative che potrebbero seguire nei prossimi mesi.
Resta infine invariata la scadenza generale di gennaio 2026, legata agli ulteriori adempimenti previsti dal d.lgs. 138/2024. La proroga concessa rappresenta un’opportunità per finalizzare con maggiore accuratezza le attività già avviate, ma non deve essere interpretata come un rinvio generalizzato. È quindi essenziale sfruttare questo tempo aggiuntivo per consolidare i processi, completare la trasmissione delle informazioni e preparare adeguatamente i referenti interni.

Potrebbero interessarti anche:

• Direttiva NIS 2: ACN pubblica gli adempimenti in materia di gestione del rischio
• La Direttiva europea NIS2 per punti essenziali
• Direttiva NIS2 e recepimento in italia: come adeguarsi (e perché)

5. Verso una nuova cultura della sicurezza digitale

La proroga concessa testimonia l’approccio collaborativo dell’ACN, volto a rafforzare la compliance senza compromettere la qualità del processo di adeguamento. Si conferma così la centralità della Direttiva NIS 2 come leva per trasformare la cybersicurezza da obbligo normativo a elemento strategico e integrato nella governance delle organizzazioni.
Nel nuovo quadro delineato, la sicurezza delle reti e dei sistemi informativi non è più un tema riservato agli specialisti IT, ma diventa responsabilità trasversale che coinvolge dirigenti, amministratori e tutti i livelli aziendali. Investire nella sicurezza significa oggi proteggere non solo i dati e le infrastrutture, ma anche la reputazione, la continuità operativa e la fiducia del pubblico. Il tempo supplementare concesso fino al 31 luglio deve quindi essere letto come un’opportunità: per completare l’adeguamento con maggiore consapevolezza, ma anche per sviluppare una resilienza digitale duratura.

Vuoi ricevere aggiornamenti costanti?

Salva questa pagina nella tua Area riservata di Diritto.it e riceverai le notifiche per tutte le pubblicazioni in materia. Inoltre, con le nostre Newsletter riceverai settimanalmente tutte le novità normative e giurisprudenziali!
Iscriviti!