IL DIRETTORE GENERALE 
 
  Vista la legge 28 giugno 2024,  n.  90,  recante  «Disposizioni  in
materia di rafforzamento della cybersicurezza nazionale  e  di  reati
informatici» e, in particolare, l'art. 1, comma 1, che ha previsto in
capo ai soggetti ivi indicati un obbligo di  segnalazione  di  alcune
tipologie di  incidenti,  indicati  in  apposita  tassonomia,  aventi
impatto su reti, sistemi informativi e servizi informatici; 
  Vista la legge 23 settembre 2025, n. 132, recante  «Disposizioni  e
deleghe al Governo in materia  di  intelligenza  artificiale»  e,  in
particolare, l'art. 28, comma 2, lettera a), che ha modificato l'art.
1, comma 1, della legge n. 90 del 2024, al fine di prevedere  che  la
tassonomia degli incidenti di cui al citato comma  e'  «adottata  con
determinazione tecnica del direttore  generale  dell'Agenzia  per  la
cybersicurezza nazionale»; 
  Visto il decreto-legge 14 giugno 2021, n. 82, come convertito,  con
modificazioni,  nella  legge  4  agosto   2021,   n.   109,   recante
«Disposizioni  urgenti  in  materia  di  cybersicurezza,  definizione
dell'architettura   nazionale   di   cybersicurezza   e   istituzione
dell'Agenzia per la cybersicurezza nazionale»; 
  Visto il decreto legislativo 4  settembre  2024,  n.  138,  recante
«Recepimento della direttiva (UE) 2022/2555, relativa a misure per un
livello  comune  elevato  di  cibersicurezza   nell'Unione,   recante
modifica del regolamento (UE) n.  910/2014  e  della  direttiva  (UE)
2018/1972 e che abroga la direttiva (UE) 2016/1148», cd. decreto NIS,
ed in particolare l'art. 31, commi 1 e 2, che prevede che, ai fini di
cui agli articoli 23, 24, 25, 27,  28  e  29,  l'Autorita'  nazionale
competente NIS stabilisce obblighi proporzionati  tenuto  debitamente
conto, tra l'altro, del grado di esposizione dei soggetti ai  rischi,
delle dimensioni dei soggetti e della probabilita' che si verifichino
incidenti, nonche' della loro  gravita',  compreso  il  loro  impatto
sociale ed economico; 
  Vista la  determinazione  ACN  n.  379907  del  19  dicembre  2025,
unitamente ai relativi allegati tecnici, che stabilisce le  modalita'
e le specifiche di base per l'adempimento agli obblighi di  cui  agli
articoli 23, 24, 25, 29 e 32  del  decreto  NIS  e,  in  particolare,
l'allegato 3 che individua la tassonomia di  incidenti  significativi
di base per i soggetti importanti; 
  Ritenuto di dover dare attuazione a quanto previsto dal citato art.
1, comma 1, della legge  28  giugno  2024,  n.  90,  individuando  la
tassonomia di incidenti che devono essere  notificati  ai  sensi  del
medesimo art. 1; 
  Valutato, altresi', che la tassonomia da individuare ai sensi della
legge 28 giugno 2024,  n.  90  e'  coerente  con  le  fattispecie  di
«incidenti significativi di  base»  ai  sensi  dell'allegato  3  alla
determinazione citata; 
  Ritenuto, pertanto, in un'ottica di semplificazione degli oneri  da
parte dei soggetti interessati, di poter considerare assolto, in caso
di prenotifica e  notifica  effettuata  ai  sensi  dell'art.  25  del
decreto NIS, anche l'obbligo di cui all'art. 1, comma 1, della  legge
n. 90 del 2024; 
  Visto il decreto del Presidente del Consiglio dei ministri  del  10
marzo 2023, recante la nomina del prefetto Bruno Frattasi a direttore
generale dell'Agenzia per la cybersicurezza nazionale; 
  Sentito il vice direttore generale; 
 
                             Determina: 
 
                               Art. 1 
 
                     Tassonomia degli incidenti 
 
  1. I soggetti di cui all'art. 1, comma 1,  della  legge  28  giugno
2024, n. 90, segnalano e  notificano  gli  incidenti  indicati  nella
tassonomia di cui all'allegato A alla presente determina. 
  2. La tassonomia di cui al comma 1, in quanto coerente con l'elenco
delle fattispecie di incidenti significativi di base stabiliti  nella
determina ACN adottata ai sensi degli articoli 31 e 40, comma 5,  del
decreto legislativo 4 settembre 2024, n. 138, rileva  anche  ai  fini
dell'adempimento dell'obbligo di cui all'art. 25 del medesimo decreto
legislativo.