Nel mese di ottobre 2026 scade il termine, diverso da soggetto a soggetto, per l'adempimento degli obblighi in materia di misure di gestione dei rischi per la sicurezza informatica previsti dagli articoli 23, 24 e 29 D.Lgs. 138/2024.

È quanto stabilito dall’art. 42 del citato decreto legislativo a proposito della prima fase di attuazione delle prescrizioni impartite dal pacchetto normativo noto brevemente con la sigla “NIS2”.

In base a tale disposizione, il termine per la messa a regime delle necessarie precauzioni tecniche e organizzative è fissato in diciotto mesi dalla comunicazione, con la quale l’ACN (Agenzia per la cybersicurezza nazionale), tramite la propria piattaforma digitale, ha dato notizia alle organizzazioni registrate sulla medesima piattaforma dell'inserimento nell'elenco dei soggetti essenziali o importanti.

La data iniziale del computo del termine di diciotto mesi, pertanto, non è uguale per tutti, ma dipende dalla data di comunicazione di ACN.

I chiarimenti dell’ACN

Tale termine di diciotto mesi è anche precisato dall’art. 3 della determinazione del direttore generale dell’ACN n. 379907/2025.

Sempre sul punto, si deve riferire che l’art. 1 c. 3 della...