NIS2, scadenza del 31 ottobre 2026: le misure di base devono funzionare

Domani, 31 ottobre 2026, scade il termine entro cui le organizzazioni entrate nell'elenco NIS nel 2025 devono aver adottato le misure di sicurezza di base previste dall'Agenzia per la Cybersicurezza Nazionale. Secondo la pagina dell'ACN, la Determinazione n. 379907/2025 dà 18 mesi dalla comunicazione di inserimento nell'elenco, cioè ottobre 2026. Come spiega Cybersecurity News, il 31 ottobre è il limite massimo: chi ha ricevuto la comunicazione prima ha un termine anticipato.

Chi riguarda la scadenza?

I soggetti NIS, cioè le organizzazioni che rientrano nel decreto legislativo 138/2024 (il recepimento italiano della direttiva NIS2) e che l'ACN ha inserito nell'elenco nazionale nel 2025, distinte fra essenziali e importanti. Per chi è entrato nell'elenco nel 2026 vale un'altra determinazione, la n. 127434/2026, con termine al 31 luglio 2027.

Le misure sono negli allegati della determinazione: l'Allegato 1 per i soggetti importanti, l'Allegato 2 per gli essenziali. Le sintesi professionali, riportate da Cybersecurity News, contano 37 misure e 87 requisiti per gli importanti, 43 misure e 116 requisiti per gli essenziali. L'obbligo di notificare gli incidenti significativi, invece, è già operativo da gennaio 2026.

Se non sai ancora se la tua azienda rientra, ne ho parlato nella guida su NIS2: quali PMI riguarda.

Cosa vuol dire avere le misure «implementate e funzionanti»?

È il punto su cui insistono molti commenti. Una policy approvata non basta: bisogna poter dimostrare che la misura c'è e che funziona da tempo. Gli esempi di Cybersecurity News sono concreti:

• un backup conta solo se c'è un ripristino di prova documentato;
• l'autenticazione a più fattori deve essere attiva sui sistemi critici, non solo prevista nel documento;
• l'inventario dei sistemi deve indicare per ognuno un responsabile;
• l'organo di amministrazione deve aver approvato le misure, con un verbale.

Agenda Digitale lo dice in modo netto: dal 31 ottobre l'ACN potrà verificare le misure adottate, e le evidenze devono mostrare processi già in funzione, non preparati all'ultimo momento. Circola anche l'ipotesi di ispezioni da novembre, ma Cybersecurity News precisa che non è confermata da documenti ufficiali.

Quali sono le sanzioni?

Il decreto prevede fino a 10 milioni di euro o il 2% del fatturato mondiale per i soggetti essenziali, fino a 7 milioni o l'1,4% per gli importanti. Sono massimi di legge, non importi attesi, ma danno l'idea del peso.

Cosa cambia per una piccola impresa fuori dall'elenco?

Molte PMI non sono soggetti NIS, ma lavorano per chi lo è: un ospedale, un'azienda di trasporti, un'utility, un grande produttore. Fra le misure ci sono anche quelle sulla sicurezza della catena di fornitura, su cui l'ACN ha aggiornato le sue FAQ a luglio. In pratica, i clienti soggetti NIS chiederanno ai fornitori garanzie: questionari, clausole contrattuali, evidenze su backup, accessi, aggiornamenti.

Arrivare preparati è un vantaggio commerciale, non solo un obbligo.

Cosa fare adesso?

Se sei un soggetto NIS:

1. Verifica la tua data esatta: 18 mesi dalla PEC di inserimento nell'elenco.
2. Raccogli le evidenze per ogni misura: registri, configurazioni, verbali, test di ripristino.
3. Fai approvare le misure dall'organo di amministrazione, se non è già avvenuto.

Se sei un fornitore:

1. Prepara un fascicolo con quello che fai già: backup con prova di ripristino, autenticazione a due fattori, aggiornamenti, chi accede a cosa.
2. Controlla i software che usi per lavorare con i clienti e come sono protetti.
3. Chiedi ai tuoi clienti quali requisiti si aspettano, prima che arrivi il questionario.

Ne parliamo?

Le misure NIS2 toccano anche il software: chi accede, con quali permessi, dove restano le tracce. Quando sviluppo un gestionale su misura o un portale clienti, registro gli accessi e le modifiche in modo che diventino evidenze utili. Se ti serve un parere tecnico sui sistemi che usi, parti dalla consulenza tecnica e scrivimi dalla pagina contatti.

Fonti

• NIS: modalità e specifiche di base (ACN)
• NIS2, mancano quattro settimane al 31 ottobre: cosa significa avere le misure ACN «implementate e funzionanti» (Cybersecurity News)
• NIS2, la vera scadenza è prima del 31 ottobre (Agenda Digitale)

Crediti delle immagini

• Copertina: foto di RDNE Stock project su Pexels