Cosa prevede la scadenza

Per i soggetti inseriti per la prima volta nel 2026 nell'elenco dei soggetti NIS, il 31 dicembre 2026 è il termine ultimo per designare il Referente CSIRT. È il primo adempimento operativo concreto del percorso di attuazione della direttiva NIS2 in Italia per questa nuova platea di organizzazioni, e da esso dipende la catena degli obblighi successivi. L'Agenzia per la Cybersicurezza Nazionale (ACN) lo ha ribadito nelle proprie FAQ e nelle determinazioni pubblicate nel corso dell'anno.

Chi non rispetta la scadenza non commette una semplice dimenticanza formale: senza un Referente CSIRT designato e senza accesso alla piattaforma dell'ACN, l'organizzazione non è tecnicamente in grado di adempiere all'obbligo di notifica degli incidenti che scatta subito dopo.

Chi è e cosa fa il Referente CSIRT

Il Referente CSIRT è la persona fisica che fa da ponte tra il soggetto NIS e il CSIRT Italia, la struttura dell'ACN che riceve e gestisce le segnalazioni di incidente. In pratica è chi, in caso di attacco o evento significativo, effettua la notifica attraverso la piattaforma dell'Agenzia entro le tempistiche previste.

Ai sensi dell'articolo 7 della Determinazione ACN 333017/2025, il ruolo può essere ricoperto da qualsiasi persona designata dal Punto di contatto per conto del soggetto, purché possieda almeno competenze di base in materia di sicurezza informatica e gestione degli incidenti, oltre a una conoscenza approfondita dei sistemi informativi e di rete dell'organizzazione. Un dettaglio rilevante per chi non ha un presidio di sicurezza interno: la determinazione non vieta l'esternalizzazione della figura. È possibile designare un referente esterno — per esempio un consulente o un fornitore di servizi gestiti — anche se l'ACN auspica che, dove possibile, il ruolo resti interno all'organizzazione.

Il calendario completo degli adempimenti

La designazione del referente è solo il primo passo. Per i soggetti entrati nel perimetro nel 2026 il calendario prosegue così: dal 1° gennaio 2027 decorre l'obbligo di notifica al CSIRT Italia degli incidenti significativi "di base"; entro il 31 luglio 2027 va completata l'adozione delle misure di sicurezza di base previste dalle determinazioni ACN (Determinazione 127434/2026 e 127437/2026). Chi è entrato nel perimetro già nel 2025 è più avanti nel percorso e ha, in genere, obblighi di notifica già attivi dall'inizio del 2026.

Cosa significa per le PMI e i nuovi soggetti nel perimetro

La NIS2 ha allargato in modo netto la platea rispetto alla vecchia NIS: molte imprese di media dimensione e molti fornitori che prima ne erano fuori si trovano oggi qualificati come soggetti "importanti" o "essenziali", spesso senza una struttura di sicurezza strutturata. Per queste realtà la scadenza di fine anno è il momento in cui la NIS2 smette di essere un tema astratto e diventa un compito con una data precisa.

Il rischio più comune è trattare la nomina del referente come un mero adempimento burocratico — indicare un nome e chiudere la pratica. Ma designare qualcuno senza le competenze richieste, o senza un processo interno che gli permetta di accorgersi di un incidente e di notificarlo entro le scadenze, significa essere formalmente in regola e sostanzialmente scoperti. La notifica NIS2 ha tempi stretti — una prima segnalazione entro 24 ore dalla consapevolezza dell'incidente significativo — e improvvisare al momento dell'attacco non è un'opzione. Vale la pena ricordare che la NIS2 introduce responsabilità anche in capo agli organi di amministrazione, con sanzioni economiche significative per le inadempienze.

Cosa fare subito

  • Verificare se la propria organizzazione è tra i soggetti inseriti nell'elenco NIS nel 2026: la comunicazione avviene tramite il Punto di contatto e la piattaforma dell'ACN.
  • Designare il Referente CSIRT entro il 31 dicembre 2026, scegliendo una persona con competenze reali di sicurezza e gestione incidenti, non solo un nominativo di facciata.
  • Se non si dispone di competenze interne, valutare l'esternalizzazione del ruolo a un consulente o a un fornitore qualificato, formalizzando responsabilità e canali di comunicazione.
  • Assicurarsi che il referente abbia accesso operativo alla piattaforma dell'ACN e conosca la procedura di notifica.
  • Predisporre fin da ora un processo interno di rilevazione e classificazione degli incidenti, in vista dell'obbligo di notifica che scatta dal 1° gennaio 2027.
  • Pianificare il percorso verso le misure di sicurezza di base, da adottare entro il 31 luglio 2027, senza aspettare l'ultimo trimestre.