Obbligo Cybersecurity per le imprese: cosa cambia con il nuovo Decreto 2026
Con la Direttiva NIS2, acronimo di Network and Information Security, è scattato l’obbligo Cybersecurity per numerose imprese, comprese le PMI, che appartengono a settori considerati critici a livello di sicurezza informatica.
Dopo la prima fase di registrazione conclusasi il 28 febbraio 2025, nel corso del 2026 la normativa è entrata nella sua fase pienamente operativa: sono ora attivi l'obbligo di notifica degli incidenti, la categorizzazione delle attività e, soprattutto, il termine per l'adozione delle misure di sicurezza di base. Per le imprese coinvolte, il 2026 è quindi l'anno in cui la NIS 2 smette di essere un adempimento sulla carta e diventa un obbligo verificabile.
In questo clima di cambiamenti a favore di una maggiore sicurezza per i dati che circolano in rete, ricevere un’adeguata istruzione sui pericoli a cui possono andare incontro i sistemi informatici diventa essenziale.
A tal proposito, Dirextra Alta Formazione offre due percorsi completi e aggiornati in collaborazione con EIPASS, completamente fruibili online: Certificazione Cybercrime di livello intermedio e IT Security di livello avanzato.
Nuovo Decreto Cybersecurity per le Imprese
La Direttiva NIS è la prima normativa europea che si è posta l’obiettivo di migliorare la sicurezza informatica all’interno dell’Unione Europea. È stata adottata nel 2016 come Direttiva NIS 1 e successivamente aggiornata con la NIS 2, entrata in vigore nel gennaio 2023 (in Italia è stata recepita dal D.Lgs. 138/2024). L’obiettivo principale è quello di rafforzare la resilienza dei sistemi digitali e delle reti di comunicazione, garantendo un livello di protezione omogeneo e più elevato contro gli attacchi informatici.
Questo perché le infrastrutture digitali sono diventate essenziali per il funzionamento della società e dell’economia. Un attacco ad un sistema informatico, anche di un’impresa privata, può avere ripercussioni a catena molto gravi. Quindi, è necessario che tutti, soprattutto chi ha un ruolo chiave nei servizi essenziali, adottino standard minimi di sicurezza.
Per raggiungere gli obiettivi previsti dal Decreto, le imprese devono seguire più step di adeguamento:
- Obbligo di registrazione e aggiornamento dei dati: dal 1° gennaio al 28 febbraio di ogni anno successivo all’entrata in vigore del suddetto Decreto, le imprese rientranti nella normativa (che vedremo meglio in seguito) dovranno registrarsi sulla piattaforma ACN (Agenzia per la Cybersicurezza Nazionale). Inoltre, i soggetti considerati essenziali o importanti dovranno aggiornare le informazioni di cui all’art. 7, comma 4 del Decreto.
- Notifica degli incidenti: da gennaio 2026 è pienamente operativo l'obbligo di notifica al CSIRT Italia. In caso di incidente significativo l'impresa deve inviare una prima segnalazione (early warning) entro 24 ore, una notifica completa entro 72 ore e una relazione finale entro un mese.
- Categorizzazione di attività e servizi: entro il 30 giugno 2026, i soggetti già in elenco dal 2025 devono comunicare all'ACN, tramite l'apposita piattaforma, l'elenco delle proprie attività e servizi con la relativa classificazione di rilevanza. È il passaggio che consentirà all'ACN di calibrare, in futuro, misure proporzionate al livello di rischio di ciascuna attività.
- Misure di sicurezza informatica: Misure di sicurezza informatica: entro il 31 ottobre 2026, le aziende devono avere operative e documentabili le misure di sicurezza di base — sistemi di gestione del rischio con valutazione regolare delle vulnerabilità, misure preventive e reattive (firewall, crittografia, segmentazione delle reti), gestione degli accessi e delle identità e piani di continuità operativa. Dopo tale data l'ACN può avviare le attività ispettive.
- Monitoraggio, audit e formazione: le imprese devono documentare le misure adottate e tenere traccia degli incidenti di sicurezza, ricevendo ispezioni a audit da enti preposti per verificare la conformità. Inoltre, la Direttiva NIS 2 spinge le imprese a formare regolarmente il personale in materia di cybersecurity, affinché anche gli errori umani vengano ridotti al minimo.
Quali sono le imprese coinvolte?
Le imprese che rientrano nell’obbligo Cubersecurity previsto dal Decreto NIS 2 si possono dividere in due macro categorie. Nella prima vengono definiti i soggetti essenziali, che presentano i seguenti requisiti:
- Le entità elencate nell'Allegato I del Decreto che superano i parametri delle medie imprese, ovvero più di 250 dipendenti e un fatturato annuo superiore a 50 milioni di euro o un bilancio annuo totale superiore a 43 milioni di euro.
- Indipendentemente dalle dimensioni, i soggetti identificati come critici ai sensi del decreto legislativo che recepisce la Direttiva (UE) 2022/2557.
- Fornitori di reti pubbliche di comunicazione elettronica e fornitori di servizi di comunicazione elettronica accessibili al pubblico che si considerano medie imprese.
- Indipendentemente dalle dimensioni, i prestatori di servizi fiduciari qualificati e i gestori di registri dei nomi di dominio di primo livello, nonché i prestatori di servizi di sistema dei nomi di dominio.
- Indipendentemente dalle dimensioni, le pubbliche amministrazioni centrali elencate nell'Allegato III.
La seconda categoria definisce i soggetti importanti, ovvero quelli che non rientrano nella categoria precedente, ma operano in settori critici elencati nell’Allegato II, ovvero:
- Servizi postali e di corriere
- Gestione dei rifiuti
- Produzione, trasformazione e distribuzione di prodotti alimentari
- Produzione e distribuzione di sostanze chimiche
- Fornitura di servizi digitali come motori di ricerca, piattaforme di social networking e servizi di cloud computing
- Ricerca e sviluppo in ambito tecnologico.
Obbligo Cybersecurity per le Imprese: formazione online con Dirextra
Come abbiamo potuto notare, la formazione è uno strumento essenziale per le imprese che desiderano uniformarsi a quanto previsto dalla normativa, evitando di andare incontro a sanzioni salate, con sanzioni che, per i soggetti essenziali, arrivano fino a 10 milioni di euro o al 2% del fatturato annuo mondiale e, per i soggetti importanti, fino a 7 milioni di euro o all'1,4%, a seconda dell'importo più elevato. La responsabilità ricade direttamente sugli organi di amministrazione e direzione dell'impresa.
Dirextra Alta Formazione, in collaborazione con EIPASS, offre due percorsi formativi incentrati sulla sicurezza informatica e sulla protezione di sistemi digitali, che prevedono lezioni online e un esame finale certificativo, valido a livello internazionale.
In particolare, il corso Cybercrimes introduce ai reati informatici, che si caratterizzano per l’abuso della tecnologia digitale sia hardware che software, per la commissione di uno o più crimini. L’obiettivo, infatti, è quello di fornire competenze basilari in materia di diritto penale presentando i reati in internet, con approfondimento sugli aspetti più significativi.
Il corso IT Security invece, offre una certificazione informatica di livello avanzato, che attesta le conoscenze di sicurezza informatica, per l’appunto, sia attiva che passiva. Certifica altresì le competenze di utilizzo degli strumenti per proteggere il sistema ICT e la rete, l’abilità di creare strategie di prevenzione dagli attacchi e la capacità di recupero dei dati. Anche in questo caso, le lezioni sono fruibili totalmente online a qualsiasi giorno e ora, offrendo maggiore flessibilità soprattutto a coloro che sono già impegnati a tempo pieno per lo studio o per il lavoro.
L’esame finale per entrambi i percorsi formativi prevede un test di 30 domande a risposta vero/falso o associazioni di immagini a cui rispondere entro 30 minuti.
Per maggiori informazioni invitiamo a consultare le schede dei relativi corsi online.
Approfondimenti:
Lascia un commento