Per le aziende che hanno ricevuto dall’ACN la comunicazione di inserimento nell’elenco dei soggetti NIS2 ad aprile 2025, i 18 mesi concessi per adottare le misure di sicurezza di base scadono in queste settimane di ottobre 2026. Entro quella data devono essere operative le 37 misure previste per i soggetti “importanti” (43 per gli “essenziali”): governance e analisi del rischio, gestione degli incidenti, backup e continuità, controllo degli accessi con autenticazione a più fattori, sicurezza dei fornitori, formazione. Media Assistance, partner IT ed impiantistico delle aziende con sede a Caronno Pertusella, segue PMI in tutta Italia nell’applicazione pratica di queste misure: dal firewall al backup, fino alle procedure da mostrare in caso di verifica.
Da dove nasce la scadenza di ottobre 2026
La direttiva europea NIS2 è stata recepita in Italia con il decreto legislativo 138/2024, in vigore dal 16 ottobre 2024. Le aziende dei settori interessati si sono registrate sul portale dell’Agenzia per la cybersicurezza nazionale (ACN) tra gennaio e febbraio 2025 e ad aprile 2025 hanno ricevuto la comunicazione di inserimento nell’elenco dei soggetti NIS, come “essenziale” o “importante”.
Da quella comunicazione partono due conti alla rovescia fissati dalle determinazioni ACN (la n. 164179 del 14 aprile 2025, poi sostituita dalla n. 379907 del 19 dicembre 2025):
- 9 mesi per la notifica degli incidenti: obbligo attivo da gennaio 2026, con pre-notifica al CSIRT Italia entro 24 ore e notifica completa entro 72 ore.
- 18 mesi per le misure di sicurezza di base: la scadenza cade quindi a ottobre 2026, calcolata da ciascuna azienda sulla data della propria comunicazione.
Chi è stato inserito nell’elenco per la prima volta nel 2026 ha termini diversi: notifica degli incidenti dal 1° gennaio 2027 e misure di base entro il 31 luglio 2027 (determinazione ACN 127434/2026).
Cosa deve essere pronto: le misure di base
L’allegato 1 della determinazione 379907/2025 elenca per i soggetti importanti 37 misure articolate in 87 requisiti; per gli essenziali sono 43 misure e 116 requisiti. Non sono raccomandazioni generiche: ogni requisito va attuato e documentato. In sintesi, un’azienda deve poter dimostrare di avere:
- Governance: ruoli e responsabilità definiti, organo di amministrazione che approva e supervisiona le misure, referente CSIRT nominato e comunicato all’ACN.
- Inventario e analisi del rischio: elenco aggiornato di sistemi, applicazioni, dispositivi connessi e dati, con i rischi valutati e le priorità di intervento.
- Controllo degli accessi: account personali, privilegi minimi, autenticazione a più fattori sugli accessi remoti, amministrativi e ai servizi cloud come Microsoft 365.
- Protezione della rete: firewall configurato e aggiornato, segmentazione tra uffici, produzione e impianti, accessi remoti controllati, aggiornamenti e gestione delle vulnerabilità.
- Rilevamento e registrazione: log conservati e controllati, protezione degli endpoint, capacità di accorgersi di un incidente in tempo utile.
- Gestione degli incidenti: procedura scritta che dice chi fa cosa, come si classifica un incidente significativo e come si rispettano le 24 e le 72 ore.
- Continuità operativa e backup: copie di sicurezza separate dalla rete, piano di ripristino e test eseguiti.
- Sicurezza della catena di fornitura: elenco dei fornitori rilevanti, requisiti di sicurezza nei contratti, verifiche.
- Formazione: personale e dirigenti formati sui rischi informatici, con prove documentate.
Buona parte di queste misure coincide con ciò che un contratto di assistenza informatica gestita dovrebbe già garantire: aggiornamenti, backup verificati, MFA, monitoraggio. La differenza, con la NIS2, è che tutto deve essere formalizzato e dimostrabile.
Cosa rischia chi non è in regola
Il decreto 138/2024 prevede sanzioni amministrative fino a 7 milioni di euro o l’1,4% del fatturato mondiale annuo per i soggetti importanti e fino a 10 milioni o il 2% per gli essenziali, per le violazioni più gravi (misure di sicurezza, notifica degli incidenti, obblighi degli organi di amministrazione). Gli amministratori rispondono in prima persona: in caso di diffide non rispettate sono previste anche misure personali, fino all’incapacità temporanea di svolgere funzioni dirigenziali. Superata la scadenza, l’ACN può avviare verifiche e richieste di documentazione.
Chi è in ritardo non deve fermarsi: conviene fare subito un’analisi degli scostamenti rispetto ai 37 requisiti, chiudere per primi quelli a maggiore impatto (MFA, backup isolato, procedura incidenti, firewall) e tenere traccia scritta del piano e delle date. Un percorso documentato vale molto più di un adeguamento dichiarato e non dimostrabile.
La scadenza tocca anche chi non è soggetto NIS2
Tra le misure di base c’è la sicurezza della catena di fornitura. Nelle prossime settimane molte aziende soggette invieranno ai fornitori questionari e clausole contrattuali sulla sicurezza informatica: chi fornisce componenti, lavorazioni, software o servizi a un’azienda NIS2 dovrà rispondere con fatti, non con dichiarazioni. Ne abbiamo parlato nell’articolo NIS2 e PMI fornitrici: cosa fare quando arriva il questionario del cliente. Lo stesso vale per i produttori di dispositivi connessi, già interessati dal Cyber Resilience Act.
Quanti dei 37 requisiti sono già coperti nella tua azienda?
Media Assistance confronta la situazione reale di rete, accessi, backup e procedure con le misure di base dell’ACN e produce un piano con priorità e date. Siamo installatori Fortinet e gestiamo Microsoft 365, reti e impianti: le misure le mettiamo in pratica, non solo sulla carta. Scopri i nostri servizi di cyber security.
Domande frequenti
La scadenza NIS2 è il 31 ottobre 2026 per tutti?
No. I 18 mesi decorrono dalla data in cui ogni azienda ha ricevuto la comunicazione di inserimento dall’ACN: per la maggior parte è aprile 2025, quindi la scadenza cade a ottobre 2026. Chi è stato inserito nel 2026 ha tempo fino al 31 luglio 2027.
Quante sono le misure di base NIS2?
Per i soggetti importanti 37 misure articolate in 87 requisiti; per i soggetti essenziali 43 misure e 116 requisiti (allegati 1 e 2 della determinazione ACN 379907/2025).
Cosa succede se un’azienda non rispetta la scadenza?
L’ACN può avviare verifiche e diffide; le sanzioni arrivano fino a 7 milioni di euro o all’1,4% del fatturato per i soggetti importanti e a 10 milioni o il 2% per gli essenziali, con responsabilità personale degli amministratori.
Un fornitore di un’azienda NIS2 ha obblighi?
Non direttamente verso l’ACN, ma il cliente deve verificare la sicurezza dei fornitori rilevanti: questionari, clausole contrattuali e richieste di evidenze diventano la norma, e chi non risponde rischia di perdere la fornitura.
Fonti: ACN – Portale NIS; ICT Security Magazine – NIS2: la mappa degli adempimenti da qui a ottobre 2026; CMS – Determinazioni ACN 379907/2025 e 379887/2025; TeamSystem – Direttiva NIS2: misure di sicurezza entro ottobre 2026.