Cybersecurity, ad aprile 2025 i primi obblighi della Nis2. Bruno Frattasi (Acn): coinvolte decine di migliaia di operatori
Il direttore dell’Agenzia per la Cybersicurezza Nazionale alla Bocconi: arriverà un modello di riferimento per adeguarsi alla direttiva europea sulla sicurezza digitale. Compliance richiesta ai player di 18 settori critici | Cybersecurity, tre imprese italiane su quattro si aspettano attacchi informatici nel prossimo anno
La strada verso la piena applicazione della Nis2, la direttiva europea sulla sicurezza informatica – già recepita dall’Italia nel settembre 2024 – prende forma. A indicare le tappe è Bruno Frattasi, direttore generale dell’Agenzia per la Cybersicurezza Nazionale (Acn), ospite al seminario Cybersecurity e Nis2 organizzato dal centro di ricerca Baffi dell’Università Bocconi e parte di un ciclo di iniziative concentrate nel Nord Italia e dedicate alle pmi. Si parte ad aprile 2025 con i primi obblighi.
«Serve un processo culturale» che coinvolga le aziende», osserva Oreste Pollicino, professore ordinario di Diritto costituzionale e Regolazione dell’intelligenza artificiale della Bocconi. «Si tratta di creare delle best practices, non di inseguire la compliance».
Che cos'è la Nis2
La Nis2, adottata dall’Unione Europea nel 2022, rafforza la normativa sulla sicurezza delle reti e dei sistemi informativi per migliorare resilienza e capacità di risposta alle minacce informatiche. La direttiva è stata recepita da 7 Paesi, tra cui l’Italia, e impone requisiti più stringenti in termini di gestione dei rischi, sicurezza, notifiche di incidenti.
La determina dell’Acn
«Tra poco più di un mese l’Acn adotterà una determina con cui saranno stabiliti gli obblighi di base che dovranno rispettare tutti i soggetti che ricadono nella Nis2», spiega Frattasi. Tra questi ci sono gli operatori di 18 settori ritenuti critici – si spazia dalle banche fino ai trasporti, la pubblica amministrazione e l’energia – che si sono dovuti registrare sul portale dell’Acn, autorità di vigilanza sulla Nis2, entro il 28 febbraio.
In termini numerici si parla di «decine di migliaia» di player, aggiunge Frattasi. Non tutti con una struttura informatica adeguata e pronta alla compliance. Motivo per cui i cambiamenti saranno graduali. «Partiremo con gli obblighi di notifica degli incidenti a gennaio 2026», va avanti il direttore generale. «In più l’Italia ha introdotto con la legge nazionale la caratterizzazione del rischio, cioè una valutazione che ogni operatore dovrà fare in base alle sue attività, confrontandosi con un modello di riferimento che preparerà l’Acn». (riproduzione riservata)
