L’Agenzia per la cybersicurezza nazionale (ACN) ha pubblicato due determinazioni, rispettivamente sui termini per gli adempimenti dei nuovi soggetti NIS e sull’aggiornamento delle modalità di utilizzo e accesso alla piattaforma ACN, con particolare riferimento all’elenco dei fornitori rilevanti.
In particolare, la Determina 127434/2026, stabilisce i nuovi termini che i soggetti inseriti per la prima volta nel 2026 nell’elenco dei soggetti NIS devono rispettare per adempiere agli obblighi della determinazione recante le specifiche di base (379907/2025).
Pertanto, per i nuovi soggetti NIS registratisi nel 2026:
- l’obbligo di notifica degli incidenti significativi di base decorre a partire dal primo gennaio 2027
- è necessario designare il referente CSIRT entro fine 2026
- le misure di sicurezza di base devono essere adottate entro luglio 2027.
La Determinazione 127437/2026, invece, aggiornando le modalità di utilizzo e accesso alla piattaforma digitale e sostituendo la precedente determinazione n. n. 379887/2025, introduce l’art. 18, relativo all’elencazione dei fornitori rilevanti.
Ciò al fine di selezionare, tra i fornitori, coloro i quali dovranno essere individuati quali soggetti importanti o essenziali per promuovere un adeguato livello di sicurezza informatica lungo la catena di approvvigionamento dei soggetti NIS (ai sensi dell’art. 3, c. 9, lett. f) del decreto NIS).
La determina introduce anche, agli artt. 20 e 21, la regolazione degli aspetti procedurali dell’elencazione e categorizzazione delle attività e dei servizi (art. 30 del decreto NIS).
