News GMT Consulting
Analisi degli obblighi di resilienza cyber, gestione del rischio, sicurezza della supply chain e avvio dell'attività ispettiva da novembre
Il quadro regolatorio per la cybersicurezza e la resilienza operativa delle imprese italiane giunge a uno snodo decisivo. Il 31 ottobre 2026 scade infatti il termine perentorio entro il quale le organizzazioni rientranti nel perimetro del Decreto Legislativo 4 settembre 2024, n. 138 (di recepimento della Direttiva UE 2022/2555, nota come NIS 2) devono aver completato l'attuazione delle misure di sicurezza informatica fissate dalle determinazioni dell'Agenzia per la Cybersicurezza Nazionale (ACN).
A partire dal mese di novembre 2026, l'ACN avvierà la fase di vigilanza diretta attraverso controlli e ispezioni formali per verificare l'effettiva conformità dei sistemi e la tenuta della governance digitale.
Il quadro normativo: la responsabilità direzionale e il D.Lgs. 138/2024
Con il recepimento della Direttiva NIS 2, il legislatore italiano ha esteso in maniera sostanziale la platea dei soggetti pubblici e privati classificati come soggetti essenziali e soggetti importanti. La normativa impone il passaggio da una logica emergenziale e reattiva ad un modello strutturato di gestione del rischio informatico.
In particolare, il D.Lgs. 138/2024 stabilisce la responsabilità diretta degli organi di amministrazione e direzione aziendale, i quali sono tenuti ad approvare e verificare regolarmente le misure di sicurezza adottate, rispondendo direttamente in caso di non conformità.
I tre pilastri operativi dell'adeguamento entro il 31 ottobre
Entro il termine prescrittivo del 31 ottobre 2026, le strutture aziendali obbligate devono aver reso operativi tre presidi fondamentali per garantire la continuità aziendale:
-
1. Governance e analisi dei rischi: mappatura analitica di tutti gli asset informatici e adozione di politiche formali per la gestione dei rischi, in linea con gli standard riconosciuti (tra cui lo standard ISO/IEC 27001). È richiesta la rigorosa applicazione di sistemi di autenticazione a più fattori (Multi-Factor Authentication - MFA), crittografia dei dati e controllo granulare degli accessi.
-
2. Gestione degli incidenti e resilienza (Incident Response): definizione e test periodico del piano di risposta agli incidenti informatici (Incident Response Plan). La procedura deve garantire l'interoperabilità con il CSIRT Italia (Computer Security Incident Response Team), rispettando l'obbligo di pre-allarme entro 24 ore dall'evento critico e la notifica completa entro 72 ore, affiancati da piani di Disaster Recovery per il ripristino dei dati.
-
3. Sicurezza della catena di approvvigionamento (Supply Chain Security): estensione della valutazione del rischio a tutti i fornitori diretti di tecnologie e servizi ICT. Le aziende devono mappare le vulnerabilità esterne e integrare specifiche clausole contrattuali che impongano agli erogatori di servizi il rispetto dei requisiti minimi di sicurezza.
Al via i controlli e le ispezioni dell'ACN da novembre
Dal mese di novembre 2026, l'ACN darà avvio alle attività ispettive formali sui soggetti identificati. I controlli dell'Autorità si focalizzeranno sulla verifica della documentazione probatoria di gestione del rischio, sull'efficacia tecnica dei presidi di rete e sul grado di formazione e consapevolezza del personale, inclusi gli apici direttivi.
Il quadro sanzionatorio introdotto dal D.Lgs. 138/2024 prevede sanzioni amministrative pecuniarie che, per i soggetti essenziali, possono raggiungere fino a 10 milioni di euro o il 2% del fatturato annuo globale, oltre all'adozione di prescrizioni vincolanti per il ripristino delle condizioni di sicurezza.
La convergenza tra Cybersicurezza e Sicurezza sul Lavoro (D.Lgs. 81/2008)
L'applicazione della Direttiva NIS 2 evidenzia un punto di intersezione sempre più stretto con la salute e sicurezza nei luoghi di lavoro regolata dal D.Lgs. 81/2008. Nei contesti industriali, la compromissione cibernetica dei sistemi di controllo operativo (Operational Technology - OT) o dei sistemi SCADA può provocare il blocco improprio di dispositivi di arresto di emergenza o la disattivazione di presidi fisici di protezione, esponendo il personale a rischi diretti di infortunio.
In quest'ottica, i responsabili dei sistemi informatici, gli RSPP e gli HSE Manager sono chiamati a collaborare per:
-
Analizzare le interdipendenze OT/IT: mappando l'impatto di un potenziale attacco informatico sull'operatività di impianti, linee automatizzate e dispositivi di sicurezza.
-
Aggiornare le procedure di emergenza: integrando la gestione del rischio cyber nei piani di continuità operativa e nella valutazione dei rischi aziendali.
-
Progettare percorsi formativi integrati: sensibilizzare i lavoratori sulle minacce di phishing e ingegneria sociale che possono fungere da porta d'ingresso per attacchi alle infrastrutture fisiche dell'azienda.
Per consultare il testo normativo e le direttive ufficiali dell'Autorità nazionale, è possibile accedere direttamente al portale dell'Agenzia per la Cybersicurezza Nazionale (ACN) e alle risorse del CSIRT Italia.
Noi di GMT Consulting affianchiamo le aziende con soluzioni su misura per la consulenza organizzativa, l'adeguamento normativo e la gestione della compliance aziendale.
Per formare il personale ed essere sempre conformi ai nuovi standard digitali, scopri la nostra offerta di
Tutte le news
Contatta ora GMT per informazioni o preventivi!
Ti rispondiamo entro 24 ore lavorative