Agenzia nazionale per la Cybersicurezza (ACN): adottata la tassonomia degli incidenti che fanno scattare l'obbligo di notifica previsti dalla Legge 90/2024 sulla cybersicurezza nazionale.

Quando si parla di cybersicurezza, una delle cose più importanti è sapere riconoscere un incidente informatico e comunicarlo in modo corretto e tempestivo. Per questo l’Agenzia per la cybersicurezza nazionale, così come previsto dall'articolo 1, comma 1, della legge n. 90 del 2024 (recante “Disposizioni in materia di rafforzamento della cybersicurezza nazionale e di reati informatici”), ha adottato la determinazione che definisce la tassonomia di riferimento per assolvere all’obbligo di segnalazione e notifica.

Il provvedimento, pubblicato in Gazzetta Ufficiale n. 39 del 17 febbraio 2026, organizza e distingue gli incidenti che i soggetti di cui all’articolo 1, comma 1, della legge 90/2024 sono tenuti a segnalare e notificare entro, rispettivamente, 24 e 72 ore dal momento in cui ne sono venuti a conoscenza.

L’obiettivo è reagire rapidamente agli attacchi informatici e proteggere meglio servizi, dati e infrastrutture digitali del Paese. In un’ottica di armonizzazione degli obblighi in capo ai soggetti la tassonomia è coerente con l’elenco delle fattispecie di incidenti significativi di base stabiliti nella determinazione ACN n. 379907 del 19 dicembre 2025, adottata ai sensi degli articoli 31 e 40, comma 5, del decreto legislativo 4 settembre 2024, n. 138 (cd. decreto NIS).

Pertanto, al fine di promuovere una semplificazione degli oneri amministrativi in capo ai soggetti interessati, che rientrano anche nell’ambito di applicazione del decreto NIS, attraverso il portale di notifica degli incidenti (link: https://segnalazioni.acn.gov.it/) sarà possibile, in caso di pre-notifica e notifica effettuata ai sensi dell’articolo 25 del decreto NIS, assolvere allo stesso tempo anche all’obbligo di segnalazione e notifica ai sensi dell’articolo 1, comma 1, della legge n. 90 del 2024.