NIS 2 - Designazione Referente CSIRT entro il 31.12.2025
L’Agenzia per la Cybersicurezza Nazionale (ACN) ha pubblicato la Determinazione n. 333017 del 19.09.2025, con la quale viene ufficialmente istituito il Referente CSIRT, una nuova figura interna che ogni soggetto NIS dovrà designare e registrare entro il 31 dicembre 2025.
Il referente CSIRT è una persona fisica, designata dal Punto di Contatto NIS dell’organizzazione, con il compito di interfacciarsi direttamente con lo CSIRT Italia e di gestire le notifiche di incidenti significativi ai sensi dell’articolo 25 e le notifiche dell’articolo 26 del D.Lgs. 138/2024.
Le principali responsabilità includono:
- Coordinare la gestione degli incidenti e delle violazioni di sicurezza informatica;
- Garantire la tempestiva comunicazione con lo CSIRT Italia e l’Agenzia per la Cybersicurezza Nazionale (ACN).
Il riferente CSIRT e i suoi eventuali sostituti devono possedere competenze di base in sicurezza informativa e gestione degli incidenti, nonché una conoscenza approfondita dei sistemi informativi e di rete della propria organizzazione.
La designazione del Referente CSIRT dovrà essere effettuata tra il 20 novembre e il 31 dicembre 2025, esclusivamente tramite procedura telematica sul Portale ACN, autenticandosi come Punto di Contatto NIS.
Le organizzazioni soggette alla direttiva NIS 2 dovranno quindi:
- Verificare di essere incluse tra i soggetti essenziali o importanti ai sensi dell’art. 4 del D.Lgs. 138/2024;
- Identificare la figura più idonea a ricoprire il ruolo di Referente CSIRT;
- Completare la registrazione online sul portale ACN entro il 31 dicembre 2025.
Al fine di assicurare il tempestivo svolgimento dei compiti del referente CSIRT, con particolare riferimento alla notifica degli incidenti significativi di cui all’art. 25 del decreto NIS, le aziende possono designare uno o più sostituti referente CSIRT.
Le aziende soggette al D.Lgs. 138/2024 sono invitate a verificare tempestivamente la propria classificazione NIS e ad avviare le procedure interne per la nomina del Referente CSIRT, in modo da rispettare la scadenza del 31 dicembre 2025.
La mancata designazione del Referente CSIRT entro la scadenza fissata può comportare sanzioni amministrative previste dall’articolo 38 del D.Lgs. 138/2024.