Cosa cambierà

In breve. Le misure di base non sono il punto di arrivo. ACN sta preparando misure rafforzate, mentre a livello europeo sono in discussione modifiche alla direttiva. Questa pagina va ricontrollata spesso.

Misure di sicurezza rafforzate

Il 18 settembre 2026 ACN ha avviato la consultazione delle misure rafforzate con i tavoli settoriali. Il loro scopo è integrare e sostituire le misure di base, secondo proporzionalità e gradualità. Saranno collegate alla categorizzazione delle attività e dei servizi (art. 31). Alla data di aggiornamento non risultano pubblicati testo definitivo e termini.

Cosa conviene fare: tenere aggiornata la categorizzazione, costruire processi riusabili e non progettare la sicurezza soltanto per superare il minimo di oggi.

Verifiche sulla categorizzazione

Secondo fonti di settore, il 14 ottobre 2026 ACN ha presentato al Tavolo NIS gli esiti della prima categorizzazione, annunciando contatti con circa il 10% dei soggetti per affinarla. Da verificare su fonte ACN prima della pubblicazione.

Divulgazione coordinata delle vulnerabilità

Con la determinazione 301868 del 6 ottobre 2026 è stata adottata la politica nazionale. Il CSIRT Italia è coordinatore (art. 16).

Verso l'Europa: il pacchetto del 20 gennaio 2026

La Commissione europea ha proposto la revisione del Cybersecurity Act, COM(2026) 11, e modifiche mirate alla NIS2, COM(2026) 13. I temi riportati dagli analisti comprendono la semplificazione della conformità, la categoria delle small mid-cap, l'uso della certificazione per dimostrare la conformità e una maggiore supervisione coordinata.

Il Digital Omnibus del novembre 2025 prevede tra l'altro un punto unico per la segnalazione degli incidenti.

Sono proposte, non legge. Finché non saranno approvate restano validi gli obblighi attuali. Lo stato dell'iter non è stato verificato su fonti europee ufficiali: va controllato prima della pubblicazione.

Come tenere aggiornato il portale

Vedere specifiche/02_aggiornamento-contenuti.md.