NIS2: la scadenza
di ottobre 2026

Ottobre 2026 è il mese in cui, per la maggior parte dei soggetti NIS italiani, scade il termine per adottare le misure di sicurezza di base. Non è una data di calendario uguale per tutti e non riguarda «tutti i requisiti della direttiva»: è un termine di 18 mesi che decorre dalla comunicazione di inserimento nell’elenco nazionale, e riguarda un insieme preciso di misure stabilite dall’ACN (Agenzia per la Cybersicurezza Nazionale). Questo articolo mette in fila cosa dice la fonte, cosa deve essere pronto, cosa deve aver firmato il consiglio di amministrazione e cosa conviene controllare adesso, con i codici delle misure per ritrovarle nel documento ufficiale.

Quale scadenza, e per chi

La fonte è l’articolo 3 della determinazione ACN n. 379907/2025, in vigore dal 15 gennaio 2026, che ha aggiornato e sostituito la determinazione 164179 dell’aprile 2025: il termine per adottare le misure di sicurezza di base è «diciotto mesi dalla ricezione, da parte del soggetto NIS, della comunicazione di inserimento nell’elenco dei soggetti NIS»; quello per l’obbligo di notifica degli incidenti è di nove mesi. Chi è stato inserito nella prima ondata ha ricevuto la comunicazione nell’aprile 2025: per loro i nove mesi sono scaduti a gennaio 2026 e i diciotto scadono in ottobre 2026. È questa la scadenza di cui si parla, e la data esatta è quella scritta nella comunicazione ricevuta sulla piattaforma ACN.

Non vale per tutti allo stesso modo. Il 18 settembre 2026 il Tavolo per l’attuazione della NIS ha disposto l’aggiornamento dell’elenco con oltre 2.000 registrazioni tardive e circa 2.000 istruttorie di revisione: chi entra ora riceve una nuova comunicazione e da quella fa partire i propri termini. Nella stessa riunione l’ACN ha aperto la consultazione sulle «misure di sicurezza rafforzate», destinate a integrare e sostituire le misure di base della prima applicazione, e ha ricordato che la prossima finestra di registrazione va dal 1° gennaio al 28 febbraio 2027. Per chi vuole capire se e come rientra nel perimetro, la nostra pagina sulla NIS2 e l’articolo sulla categorizzazione delle attività e dei servizi sono il punto di partenza.

Cosa deve essere adottato

Le misure sono negli allegati della determinazione: l’allegato 1 per i soggetti importanti, con 37 misure e 87 requisiti, l’allegato 2 per i soggetti essenziali, con 43 misure e 116 requisiti. L’ACN le pubblica anche come fogli di calcolo, e conviene usarli: ogni riga è un requisito con il codice della misura, il testo di ciò che è richiesto e l’ambito di politica a cui appartiene. Le misure seguono il Framework Nazionale per la Cybersecurity e la Data Protection, edizione 2025, con la stessa logica del NIST CSF 2.0 che usiamo nel nostro assessment: sei funzioni, dalla governance al ripristino.

I 16 ambiti di politiche vanno dalla gestione del rischio alla risposta agli incidenti, passando per affidabilità del personale, audit, catena di approvvigionamento, asset, vulnerabilità, continuità operativa, identità e accessi, sicurezza fisica, formazione, dati, ciclo di vita dei sistemi, reti e monitoraggio. Le sei misure in più dei soggetti essenziali riguardano la rappresentazione dei flussi di rete, la formazione dei ruoli specializzati, la gestione della configurazione, la manutenzione dell’hardware, i meccanismi di resilienza e la comunicazione dei progressi del ripristino. Il peso cade sulla funzione Proteggere, dove stanno identità, backup, log e aggiornamenti: è anche la parte in cui le evidenze si producono con la tecnica, non con i documenti.

Cosa deve aver firmato il consiglio di amministrazione

L’articolo 23 del decreto legislativo 138/2024 mette gli organi di amministrazione e direttivi al centro: approvano le modalità di attuazione delle misure, sovrintendono agli obblighi, rispondono delle violazioni, devono seguire una formazione in materia di sicurezza informatica e vanno informati degli incidenti. Nelle misure di base questo si traduce in nove oggetti che richiedono la loro approvazione esplicita:

• L’organizzazione dei ruoli e delle responsabilità per la sicurezza (GV.RR-02).
• Le politiche di gestione del rischio di cybersecurity, sui 16 ambiti (GV.PO-01).
• La valutazione del rischio (ID.RA-05).
• Il piano di trattamento del rischio, compresa l’accettazione dei rischi residui (ID.RA-06).
• Il piano per la gestione delle vulnerabilità e delle divulgazioni (ID.RA-08).
• Il piano di miglioramento in esito al riesame, con relazioni periodiche sugli esiti (ID.IM-01).
• I piani di risposta agli incidenti, di continuità operativa e di ripristino (ID.IM-04).
• Il piano di formazione, che include gli stessi organi (PR.AT-01).
• Il piano di gestione degli incidenti e di notifica al CSIRT Italia (RS.MA-01).

Le FAQ ACN ODA.8–12, aggiornate il 14 luglio 2026, tolgono i dubbi più frequenti: l’approvazione è una competenza esclusiva dell’organo collegiale, o monocratico dove previsto, e non si delega; va data ai documenti che definiscono indirizzi e pianificazione strategica, non alle procedure, istruzioni operative e manuali, che restano alle strutture tecniche; è ammesso un documento unico oppure un insieme di documenti coordinati; l’aggiornamento dei documenti tecnici richiamati non impone una nuova approvazione. Tradotto in pratica: un verbale datato con i nove oggetti, e un indice che dice dove sta ciascun documento, valgono più di cento pagine non firmate.

Le notifiche sono già in vigore

Il termine dei nove mesi è scaduto per la prima ondata a gennaio 2026: da allora gli incidenti significativi di base vanno notificati al CSIRT Italia. L’allegato 3 ne definisce tre per i soggetti importanti: la perdita di riservatezza verso l’esterno di dati propri o controllati, anche in parte (IS-1); la perdita di integrità con impatto verso l’esterno (IS-2); la violazione dei livelli di servizio attesi, definiti ai sensi della misura DE.CM-01 (IS-3). L’allegato 4 aggiunge per gli essenziali l’accesso non autorizzato, o con abuso dei privilegi concessi, ai dati (IS-4). Le finestre sono quelle dell’articolo 25 del decreto: pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese.

Due dettagli contano più di quanto sembri. Il primo: IS-3 presuppone che i livelli di servizio attesi siano stati definiti e misurati, quindi senza la misura DE.CM-01 non si sa nemmeno quando un disservizio diventa notificabile. Il secondo: il piano di gestione degli incidenti e di notifica (RS.MA-01) è uno dei documenti approvati dal consiglio, e deve indicare chi decide, chi scrive al CSIRT e con quali canali. È il servizio che eroghiamo come referente CSIRT in outsourcing, con la risposta agli incidenti dietro.

Cosa controllare questa settimana

La domanda giusta non è «abbiamo la misura?» ma «abbiamo l’evidenza, datata, che la misura è attuata?». Questa è la lista con cui partiamo noi, misura per misura, dalla parte tecnica:

• Inventari (ID.AM-01, ID.AM-02, ID.AM-04). Hardware, software e servizi, servizi erogati dai fornitori: tre elenchi aggiornati e datati, non un file del 2024. Senza inventario nessuna misura successiva è dimostrabile.
• Identità e accessi (PR.AA-01, PR.AA-03, PR.AA-05). Identità e credenziali gestite, utenti e servizi autenticati, permessi definiti in una politica e rivisti. L’autenticazione a più fattori e la revisione periodica degli accessi sono le evidenze più semplici da produrre.
• Backup (PR.DS-11). Creati, protetti, mantenuti e verificati: il requisito chiede la verifica, quindi serve l’ultimo test di ripristino con data ed esito.
• Log e monitoraggio (PR.PS-04, DE.CM-01, DE.CM-09). Log generati e disponibili per il monitoraggio, reti e sistemi monitorati, livelli di servizio attesi definiti: gli stessi che fanno scattare la notifica IS-3.
• Vulnerabilità e aggiornamenti (ID.RA-01, PR.PS-02). Vulnerabilità identificate e registrate, software mantenuto, sostituito o rimosso in base al rischio. La settimana di PHP2Shell è l’esempio di come si dimostra: inventario, patch applicata, verifica.
• Fornitori (GV.SC-04, GV.SC-05, GV.SC-07). Fornitori noti e ordinati per criticità, requisiti di sicurezza stabiliti nei contratti, rischi registrati e monitorati. Qui conta la fungibilità, non solo l’etichetta ICT.
• Formazione (PR.AT-01). Piano approvato, erogato e documentato, organi di amministrazione compresi: l’articolo 23 li obbliga in prima persona.
• Incidenti e notifica (RS.MA-01, RS.CO-02). Piano approvato, canale verso il CSIRT Italia provato, elenco di chi va informato dentro e fuori l’azienda.

Per le voci tecniche la nostra parte è attuarle e produrre le evidenze: identità e accessi con la gestione delle identità digitali, continuità e verifica dei ripristini con backup e disaster recovery, fornitori con il metodo descritto nell’articolo sui fornitori rilevanti. Le valutazioni giuridiche restano a chi le fa di mestiere.

Cosa succede dopo ottobre

Il decreto non prevede un interruttore che scatta alla scadenza, ma un percorso di vigilanza con strumenti graduali. L’articolo 37 consente all’ACN di chiedere i dati che dimostrano l’attuazione delle politiche, compresi i risultati degli audit e i relativi elementi di prova; di intimare audit mirati e scansioni di sicurezza, con il limite che ai soggetti importanti non possono essere prescritti audit periodici; di dare istruzioni vincolanti e di designare un funzionario che supporti il soggetto, anche con visite in loco e a distanza. Prima di adottare provvedimenti l’Autorità notifica le conclusioni preliminari e concede almeno 15 giorni per le osservazioni. L’articolo 38 aggiunge l’invito a conformarsi entro un termine: chi adempie nei termini vede il procedimento fermarsi.

La conseguenza pratica è una sola: alla scadenza conta lo stato documentato, non la perfezione. Un piano di trattamento approvato dal consiglio con i rischi residui accettati e le date di chiusura (ID.RA-06), le evidenze tecniche datate e il piano di notifica provato sono ciò che si può mostrare. Nel frattempo l’impianto evolve: le misure rafforzate in consultazione dal 18 settembre sostituiranno quelle di base, l’aggiornamento annuale delle informazioni resta tra il 15 aprile e il 31 maggio e la finestra di registrazione riapre il 1° gennaio 2027. Chi è certificato ISO/IEC 27001 parte avvantaggiato, come spieghiamo nell’articolo su ISO 27001 e NIS2, ma la certificazione è la mappa, non l’adempimento.