Evaluación de ciberseguridad de tu nivel de cumplimiento:

La Compañía llevó a cabo la Evaluación de Ciberseguridad y comunicó el resultado a la Dirección el 17 de octubre de 2024, según lo exigido por el Artículo 21 del Decreto Legislativo 4 de septiembre de 2024, declarando su compatibilidad con las disposiciones de la directiva NIS 2.

Registro en la Agencia Nacional de Ciberseguridad (ACN):

El 17 de febrero de 2025, la empresa completó el procedimiento de registro en ACN a través de la plataforma digital dedicada, conforme al artículo 7, párrafo 1 del Decreto Legislativo 4 de septiembre de 2024, y recibió la confirmación de registro en la lista nacional de sujetos del NIS.

Gestión de la seguridad de la cadena de suministro:

La empresa ha adoptado un sistema de verificación de la cadena de valor, con especial atención a la evaluación de proveedores críticos; Este proceso está integrado en el Sistema de Gestión de Seguridad de la Información certificado ISO/IEC 27001:2022 y fue verificado con éxito durante las auditorías realizadas por Bureau Veritas Italia S.p.A.

Comunicación y clasificación del NIS:

El 14 de abril de 2025, según lo requerido por el Decreto Legislativo nº 138 de 4 de septiembre de 2024, la Compañía recibió de ACN la Comunicación conforme al Artículo 7, párrafo 3, letra a), de inclusión en la lista de entidades NIS y su clasificación identificada como entidad esencial en relación con el tipo de "Gestión de Servicios TIC – Proveedores de Servicios Gestionados".

Adopción de medidas de seguridad:

En cumplimiento con la Determinación ACN de 14 de abril de 2025 y conforme al Decreto Legislativo 4 de septiembre de 2024, la empresa ha adoptado las medidas de seguridad previstas para sujetos esenciales.

Las medidas implementadas son coherentes con el Marco Nacional para la Ciberseguridad y la Protección de Datos e incluyen:

-  Definición e implementación del plan de gestión de riesgos: asignación de roles y responsabilidades en ciberseguridad; Adopción de políticas de seguridad y control de acceso; Monitorización continua y gestión de incidentes; Formación y concienciación del personal.

-  Notificación de incidentes: La empresa cuenta con procedimientos para la notificación oportuna de incidentes significativos.

-  Uso de productos y servicios certificados: La empresa utiliza productos, servicios y procesos TIC certificados dentro del marco de esquemas de certificación reconocidos a nivel nacional y europeo, conforme al Artículo 27 del Decreto Legislativo 4 de septiembre de 2024.

-  Designación de un punto de contacto: Se ha designado un punto de contacto en ciberseguridad, según lo previsto en el artículo 7, párrafo 1 del Decreto Legislativo 4 de septiembre de 2024.

Seguimiento y actualización: 

La empresa se compromete a mantener un seguimiento continuo de sus medidas de seguridad informática y a proporcionar actualizaciones anuales a la ACN, tal y como exige el Artículo 7, párrafo 4 del Decreto Legislativo de 4 de septiembre de 2024.

Obligación de actualizar la información anualmente:

El 27 de mayo de 2025, la Compañía obtuvo un aplazamiento del plazo para actualizar la información del 31 de mayo al 31 de julio de 2025, según lo permitan las disposiciones regulatorias. Este aplazamiento fue solicitado y aprobado conforme a los procedimientos previstos por la Autoridad Nacional competente del NIS. La actualización anual de la información para el año 2025 se completó el 10 de julio de 2025. 

Para el año 2026, la actualización anual también incluyó el censo de proveedores relevantes para el NIS, tal y como exige la nueva Determinación ACN nº 127437/2026, y se completó el 27/05/2026.

Gestión de los informes de incidentes en el portal CSIRT Italia:

El 19/12/2025, la empresa comunicó el punto de contacto técnico y su posible sustitución según lo requerido por la Determinación del Director General de ACN de 19 de septiembre de 2025, nº 333017/2025.

Categorización de actividades y servicios

El 29/06/2026, Terranova proporcionó la lista categorizada de las actividades y servicios de la organización en la plataforma digital de ACN, según lo requerido por la Determinación del Director General de ACN nº 155238 de 20 de abril de 2026, adoptada conforme al art. 30 del Decreto Legislativo 138/2024 (Decreto NIS).

Canal de comunicación con las partes interesadas

Terranova ha establecido el siguiente canal dedicado a las comunicaciones de ciberseguridad con proveedores, clientes, socios y otros interesados, en la implementación de la auditoría NIST CSF 2.0 GV. SC-02:

-  nis2.contact@terranovasoftware.eu

Terranova S.r.l. adopta el calendario previsto por el art. 25 de la Directiva de la UE 2022/2555 como parte del calendario de la notificación de incidentes.

En conclusión, tal y como se describe en este documento, TERRANOVA S.r.l. declara que cumple con las disposiciones del Decreto Legislativo que transpone la Directiva NIS 2 y que opera como un sujeto esencial de la NIS.

*El documento debe considerarse sujeto a mejoras que se definirán según la sucesión de cambios regulatorios y/o interpretativos de la norma.

Fecha de validez del documento: 22/09/2026