ACN adotta la tassonomia degli incidenti: nuovi obblighi strutturati per i soggetti della Legge 90/2024
Con la Determina del 9 febbraio 2026, pubblicata in Gazzetta Ufficiale il 17 febbraio, l’Agenzia per la Cybersicurezza Nazionale (ACN) ha definito ufficialmente la tassonomia degli incidenti oggetto di segnalazione e notifica da parte dei soggetti individuati dall’art. 1, comma 1, della Legge 28 giugno 2024 n. 90.
La misura rappresenta un passaggio operativo di grande rilievo: non introduce un nuovo obbligo di notifica, ma ne disciplina in modo puntuale la classificazione, rendendo più chiari i presupposti applicativi e uniformando i criteri di valutazione degli eventi cyber rilevanti.
Di conseguenza, la gestione degli incidenti entra in una fase più matura e formalizzata, in linea con l’impianto europeo delineato dalla Direttiva (UE) 2022/2555 (NIS2).
La finalità della tassonomia: uniformità, tracciabilità e responsabilizzazione
La tassonomia incidenti ACN nasce con un obiettivo preciso: garantire omogeneità nella classificazione degli incidenti, favorendo una lettura coerente degli eventi notificabili e riducendo margini di incertezza interpretativa.
In particolare, la tassonomia:
- definisce criteri oggettivi di inquadramento degli incidenti
- consente una più efficace raccolta e analisi delle informazioni a livello nazionale
- facilita la gestione integrata degli obblighi tra normativa nazionale e disciplina NIS
- rafforza la responsabilizzazione dei soggetti obbligati nella fase di valutazione dell’evento
Non si tratta, quindi, di un mero adempimento formale, bensì di uno strumento che incide direttamente sui processi interni di incident response, governance ICT e gestione del rischio cyber.
Le tre categorie di incidenti (IS-1, IS-2, IS-3)
La tassonomia individua tre macro-categorie, riportate nell’Allegato A della Determina.
IS-1 – Perdita di riservatezza verso l’esterno
Rientrano in questa categoria gli eventi che comportano l’esposizione non autorizzata verso l’esterno di dati digitali di proprietà dell’organizzazione o sui quali essa esercita controllo, anche parziale.
Si tratta tipicamente di:
- data breach
- esfiltrazioni di dati
- accessi non autorizzati con divulgazione di informazioni
Il focus è posto sulla compromissione della confidenzialità, elemento cardine della sicurezza delle informazioni.
IS-2 – Perdita di integrità con impatto esterno
Questa categoria riguarda l’alterazione dei dati che produca un impatto esterno, compromettendone correttezza, affidabilità o utilizzabilità.
Possono rientrare:
- manipolazioni di database
- alterazioni di dati contabili o amministrativi
- modifiche fraudolente a sistemi informativi
In questo caso, il bene giuridico tutelato è l’integrità dell’informazione, con particolare attenzione agli effetti verso terzi o verso l’ecosistema di riferimento.
IS-3 – Violazione dei livelli di servizio attesi
La terza categoria concerne i casi di mancato rispetto dei livelli di servizio (SL) definiti dal soggetto stesso.
Rientrano quindi:
- indisponibilità prolungata di servizi digitali
- interruzioni operative significative
- degrado prestazionale oltre i parametri dichiarati
Qui l’attenzione si concentra sulla continuità operativa e sulla resilienza dei servizi.
Coordinamento con la disciplina NIS: semplificazione e integrazione
Un aspetto particolarmente rilevante della Determina è il richiamo espresso alla coerenza con il sistema NIS, recepito in Italia tramite il Decreto Legislativo 138/2024.
La Determina chiarisce infatti che:
la prenotifica e la notifica effettuate ai sensi del decreto NIS assolvono anche l’obbligo previsto dalla Legge 90/2024.
Questo significa che:
- non vi è duplicazione degli adempimenti
- si favorisce una gestione integrata dei flussi informativi
- si riduce il rischio di sovrapposizioni procedurali
- si consolida un modello unitario di reporting degli incidenti
Pertanto, le organizzazioni soggette sia alla Legge 90/2024 sia alla NIS2 possono strutturare un unico processo interno di gestione e notifica degli incidenti, purché conforme ai requisiti normativi applicabili.
La tassonomia risulta inoltre coerente con l’elenco delle fattispecie di incidenti significativi di base stabiliti nella Determinazione ACN n. 379907 del 19 dicembre 2025, adottata ai sensi degli articoli 31 e 40, comma 5, del Decreto Legislativo 4 settembre 2024, n. 138 (cd. decreto NIS).
In particolare, le organizzazioni che rientrano anche nell’ambito di applicazione del decreto NIS potranno, attraverso il portale ACN, effettuare un’unica comunicazione valida sia ai fini dell’articolo 25 del decreto NIS sia ai sensi della Legge n. 90/2024, consolidando ulteriormente il modello unitario di reporting.
Impatti organizzativi: cosa devono fare i soggetti obbligati
L’entrata in vigore della tassonomia (dalla data di pubblicazione in Gazzetta Ufficiale) impone una revisione operativa dei sistemi di gestione della cybersicurezza.
In particolare, le organizzazioni dovrebbero:
- aggiornare le procedure di incident management
- integrare la classificazione IS-1, IS-2, IS-3 nei registri interni degli incidenti
- verificare la coerenza con policy e SLA formalizzati
- rafforzare i meccanismi di escalation e decisione
- formare il personale coinvolto nella gestione delle notifiche
In assenza di un sistema strutturato, il rischio non è solo sanzionatorio, ma anche reputazionale e operativo.
Procedure Adempimenti NIS2 di Winple: dalla Norma all’implementazione concreta
In questo scenario normativo sempre più strutturato, la conformità non può essere gestita in modo frammentario.
Procedure Adempimenti NIS2 di Winple è una soluzione completa e operativa progettata per supportare le organizzazioni nell’adeguamento alla Direttiva (UE) 2022/2555, recepita in Italia con il D.Lgs. 138/2024.
Il sistema è sviluppato per garantire la conformità ai requisiti obbligatori previsti per Soggetti Essenziali e Soggetti Importanti, nel rispetto delle Determinazioni del Direttore Generale ACN del 14 aprile 2025 e del 24 dicembre 2025.
KIT SOFTWARE DOCUMENTALE PROCEDURE ADEMPIMENTI NIS/2
La soluzione completa per l’adeguamento alla Direttiva Europea 2022/2555
Strumento completo e operativo, pensato per supportare le organizzazioni nell’implementazione delle misure previste dalla Direttiva (UE) 2022/2555, recepita in Italia con il D.Lgs. 138/2024.
Sviluppato per garantire conformità ai requisiti obbligatori previsti per Soggetti Essenziali e Soggetti Importanti, il software rispetta quanto stabilito dalla Determinazione del Direttore Generale dell’Agenzia per la Cybersicurezza Nazionale del 14 Aprile 2025.
Comprende: Manuale, Framework–Cybersecurity, Policy, Procedure Cybersecurity, Piani Operativi, Modulistica, Applicativi Cybersecurity, Allegati Tecnici e Normativi e Corso di formazione
Tutti i documenti sono completamente modificabili e personalizzabili.
Acquista in offerta Kit + Corso di formazione a 574€