Governance e gestione del rischio

⭐ DETERMINAZIONE PRINCIPALE — è il singolo atto regolatorio che definisce le misure tecniche di base per la massa dei soggetti essenziali e importanti. Strutturata secondo il Framework Nazionale ed. 2025 in funzioni, categorie, sottocategorie e requisiti. Gli allegati tecnici sono pubblicati con versionamento (v2 al 2026-04-12). Include un regime transitorio per gli operatori di servizi essenziali (OSE) già identificati sotto NIS1 (art. 5 della determinazione) e per gli operatori telco (art. 6) — questi mantengono le misure tecniche e organizzative precedenti finché non contrastano con il decreto NIS.

Determinazione complementare alla 379907/2025 — fissa i termini assoluti (date di calendario) per i soggetti inseriti nel 2026 in quanto questi non hanno ricevuto la prima comunicazione di inserimento entro l'inizio della finestra 18-mesi/9-mesi. Da non confondere col nome dell'URL slug (detacn_misuresicurezza-v4) che suggerirebbe una determinazione sulle misure di sicurezza in sé — è invece la determinazione sui TERMINI.

⚠ ESTENSIONE NAZIONALE — il concetto di « categoria di rilevanza » non ha equivalente diretto in NIS2. È uno strumento nazionale italiano per modulare in maniera proporzionata gli obblighi del Capo IV (art. 31 DLgs). Le attività/servizi sono raggruppati in DIECI macro-aree, ciascuna con categoria di rilevanza pre-assegnata. Il soggetto può proporre una categoria diversa motivando la valutazione di impatto, conservando documentazione. Le attività rientranti nel Perimetro di Sicurezza Cibernetica Nazionale (PSNC, DL 105/2019) sono automaticamente categorizzate « impatto alto » senza ulteriore valutazione (art. 5 della determinazione).