TL;DR — Per i soggetti inseriti nell’elenco NIS nel 2025 il termine per adottare le misure di sicurezza di base scade 18 mesi dopo la comunicazione di inserimento: per la gran parte della platea cade a ottobre 2026. Le misure sono quelle degli Allegati 1 (soggetti importanti: 37 misure, 87 requisiti) e 2 (soggetti essenziali: 43 misure, 116 requisiti) della Determinazione ACN 379907/2025, applicabile dal 15 gennaio 2026. Non basta averle scritte: devono essere operative e dimostrabili, perché dopo la scadenza l’ACN passa dall’accompagnamento alla vigilanza.
<
p class=”wp-block-paragraph”>A luglio ho scritto cosa deve approvare il CdA secondo le FAQ ACN sulla NIS2. Quel pezzo parlava di governance: delibere, formazione dei vertici, flussi informativi. Questo parla della scadenza che rende quella governance verificabile. Nella mia esperienza, la differenza fra un adempimento “dichiarativo” e uno “operativo” la si capisce solo quando qualcuno chiede la prova: non “avete un backup?”, ma “mostratemi l’ultimo ripristino riuscito, con data e firma”. Ho passato trent’anni a configurare sistemi che tutti davano per funzionanti finché non servivano. La NIS2, da ottobre, chiede esattamente quella prova. E il calendario non è uguale per tutti, cosa che molti titoli di giornale hanno appiattito su un’unica data.
Cos’è la scadenza NIS2 di ottobre 2026 e da dove nasce?
La scadenza deriva dal D.Lgs. 4 settembre 2024, n. 138, che ha recepito la Direttiva (UE) 2022/2555 (NIS2). Il decreto è stato pubblicato in Gazzetta Ufficiale n. 230 del 1° ottobre 2024 ed è in vigore dal 16 ottobre 2024; estende gli obblighi a diciotto settori, undici “altamente critici” dell’Allegato I e sette “critici” dell’Allegato II, con oltre ottanta tipologie di soggetti pubblici e privati qualificati come essenziali o importanti (ICT Security Magazine, 2026).
Il meccanismo dei termini è individuale, non collettivo. La pagina ufficiale ACN “Modalità e specifiche di base” lo scrive in modo netto: “Entro 18 mesi (ottobre 2026) dalla ricezione della comunicazione di inserimento nell’elenco nazionale NIS, i soggetti importanti sono tenuti ad adottare le misure di sicurezza riportate nell’allegato 1 della determinazione ACN 379907/2025, mentre i soggetti essenziali sono tenuti ad adottare le misure di sicurezza riportate nell’allegato 2 della medesima determina” (ACN, s.d.). Le comunicazioni di inserimento della prima coorte sono partite il 12 e 13 aprile 2025 e sono proseguite nelle settimane successive: per questo i 18 mesi maturano, per la maggior parte dei soggetti, in ottobre 2026 (ICT Security Magazine, 2026; Planetel, 2026). Ogni organizzazione deve però ricalcolare il proprio termine sulla data della comunicazione effettivamente ricevuta.
Sul “31 ottobre” come data fissa vale una cautela. Diverse fonti la indicano come termine ultimo per l’intera prima ondata, citando l’articolo 4 della Determinazione 379907/2025 (Planetel, 2026; TIM Enterprise, 2026). La pagina ACN parla invece di “18 mesi (ottobre 2026)”. [VERIFY: il 31 ottobre 2026 è indicato come termine ultimo per tutti i soggetti inseriti nel 2025 – fonte: art. 4 Determinazione ACN 379907/2025, testo integrale sul sito ACN]. Il dato che non cambia è la sostanza: l’obbligo di notifica degli incidenti significativi, fissato a 9 mesi dalla stessa comunicazione, è già operativo per questa coorte da gennaio 2026 (ACN, s.d.).
Quali misure vanno adottate: la Determinazione ACN 379907/2025
Le misure di sicurezza di base sono definite dalla Determinazione del Direttore generale ACN n. 379907 del 19 dicembre 2025, pubblicata il 24 dicembre 2025 e applicabile dal 15 gennaio 2026, che sostituisce la precedente Determinazione 164179 del 14 aprile 2025 (Assolombarda, 2025; ICT Security Magazine, 2026). I soggetti importanti applicano l’Allegato 1: 37 misure articolate in 87 requisiti. I soggetti essenziali applicano l’Allegato 2: 43 misure e 116 requisiti. Gli Allegati 3 e 4 definiscono invece gli incidenti significativi di base per le due categorie (ICT Security Magazine, 2026; Pillitteri, 2026).
Il punto che mi preme sottolineare, perché lo vedo sottovalutato, è che il piano di adeguamento di molte aziende è stato costruito sul testo abrogato. Pasquale Pillitteri, consulente in materia di compliance, lo dice con una franchezza che condivido: “Consiglio pratico banale, che quasi nessuno segue. Prima di continuare la gap analysis, aprite il documento che state usando e controllate il numero di protocollo in intestazione. Se legge 164179, il lavoro va riallineato sul testo nuovo prima di andare avanti, non dopo” (Pillitteri, 2026). Una nota di rigore: la newsletter CMS del 31 dicembre 2025 indica come determinazione sostituita la n. 136118 di aprile 2025, mentre Assolombarda e ICT Security Magazine indicano la n. 164179 del 14 aprile 2025 (CMS, 2025; Assolombarda, 2025). Ho adottato la seconda numerazione, che è quella riportata dalla maggioranza delle fonti e dallo stesso Pillitteri; segnalo la discrepanza perché è esattamente il tipo di dettaglio che in un’ispezione fa la differenza fra un documento e un altro.
Cosa è cambiato con la nuova determinazione? Secondo la sintesi di Assolombarda, gli allegati aggiornati intervengono su: requisiti per il referente CSIRT e i suoi sostituti, gestione dei rischi cyber, continuità operativa e disaster recovery, obbligo di test di ripristino dei backup per i soggetti essenziali, criteri per gli acquisti software; nelle tassonomie degli incidenti si precisa che la perdita di integrità con impatto verso l’esterno riguarda esclusivamente i dati digitali (Assolombarda, 2025). Lo studio CMS aggiunge che il referente CSIRT e gli eventuali sostituti entrano nell’organizzazione di sicurezza informatica di cui alla misura GV.RR-02 e che gli articoli 5 e 6 hanno chiuso il regime transitorio delle notifiche al 14 gennaio 2026 (CMS, 2025). Le misure sono sviluppate in accordo con il Framework nazionale per la Cybersecurity e la Data Protection, edizione 2025, e organizzate in funzioni, categorie, sottocategorie e requisiti (ACN, s.d.).
Essenziali e importanti: cosa cambia davvero fra le due categorie?
Cambiano tre cose: il numero di requisiti, l’intensità della vigilanza e i massimali sanzionatori. Un soggetto essenziale ha 29 requisiti in più rispetto a uno importante ed è soggetto a vigilanza ex ante, cioè l’ACN può disporre verifiche senza che sia accaduto nulla; un soggetto importante è vigilato prevalentemente ex post, dopo un incidente notificato o una segnalazione (Pillitteri, 2026; Namirial, 2026).
| Aspetto | Soggetti essenziali | Soggetti importanti |
|---|---|---|
| Allegato Det. 379907/2025 | Allegato 2 | Allegato 1 |
| Misure / requisiti | 43 / 116 | 37 / 87 |
| Vigilanza ACN | Proattiva (ex ante) | Prevalentemente ex post |
| Massimale sanzionatorio | Fino a 10 milioni di euro o 2% del fatturato mondiale annuo (il maggiore) | Fino a 7 milioni di euro o 1,4% del fatturato mondiale annuo (il maggiore) |
| Incidenti significativi | Allegato 4 | Allegato 3 |
La dimensione della platea la dà l’ACN stessa: al Tavolo per l’attuazione del 23 dicembre 2025 l’Agenzia parlava di un elenco di soggetti NIS “oltre 20.000”, aggiornato per tenere conto di “centinaia di registrazioni tardive e degli esiti delle oltre duemila istruttorie di revisione” (ACN, 2025). Planetel, riprendendo dati ACN, indica oltre 30.000 dichiarazioni raccolte e più di 5.000 soggetti classificati come essenziali (Planetel, 2026).
Un equivoco frequente riguarda il ruolo dell’analisi del rischio. ICT Security Magazine lo chiarisce così: “negli Allegati 1 e 2 l’analisi del rischio non serve a scegliere quali misure di base applicare. Le misure di base sono dovute tutte. L’analisi del rischio ne modula profondità e configurazione. Un soggetto non può invocare una bassa esposizione per disapplicare una misura” (ICT Security Magazine, 2026). Nella mia esperienza è il punto su cui più spesso i piani IT e i pareri legali divergono: l’IT ragiona per priorità di rischio, la norma ragiona per catalogo minimo.
Cosa significa “operative e dimostrabili” in un’ispezione?
Significa che ogni requisito dell’allegato deve corrispondere a un’evidenza documentale o tecnica che qualcuno può chiedere di vedere. Il modello di vigilanza ricalca quello del Garante privacy sul GDPR: richiesta documentale, valutazione delle misure dichiarate, eventuale audit in sede (Pillitteri, 2026). La documentazione minima descritta da ACN in una FAQ, come riportata da Studio Tarantelli, comprende elenchi (personale dell’organizzazione di sicurezza, sistemi accessibili da remoto, configurazioni di riferimento per i soli essenziali), inventari (apparati, servizi, software, fornitori e servizi da essi erogati, flussi di rete per gli essenziali), piani (gestione e trattamento del rischio, business continuity e disaster recovery, gestione delle vulnerabilità, formazione, risposta agli incidenti, valutazione dell’efficacia per gli essenziali), politiche, procedure e registri (riesame delle politiche, formazione, manutenzioni) (Studio Tarantelli, 2026).
Pillitteri riduce la preparazione a cinque evidenze: inventario di asset, attività e servizi coerente con quanto dichiarato sul portale; delibera degli organi di amministrazione con data e verbale; procedura di notifica con i tre tempi scritti (pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese, come da art. 25, comma 5 del decreto); registro delle prove di ripristino; attestazioni di formazione del management (Pillitteri, 2026; ICT Security Magazine, 2026). La frase che mi porto via è questa: “Un backup senza un ripristino provato è un backup dichiarato, non un backup dimostrato” (Pillitteri, 2026). L’ho scritta in forma diversa parlando di Azure Backup e ransomware più di un anno fa: la tecnologia per farlo esiste da tempo, quello che manca è quasi sempre il registro dei test.
Sulla notifica degli incidenti, un chiarimento che vale la pena ripetere: l’obbligo non è delegabile ai fornitori di servizi gestiti, che possono supportare la raccolta delle evidenze ma non sostituirsi al soggetto NIS (ICT Security Magazine, 2026). Per chi, come me, ha lavorato per anni dal lato del fornitore, questo ridisegna i contratti: il cliente resta titolare dell’obbligo, il fornitore deve dare i dati in tempo utile per rispettare le 24 e le 72 ore.
Chi è entrato in elenco nel 2026 ha lo stesso termine?
No. Per i soggetti inseriti nell’elenco per la prima volta nel 2026 la Determinazione ACN 127434/2026 del 13 aprile 2026 fissa termini diversi: l’obbligo di notifica decorre dal 1° gennaio 2027 e le misure di sicurezza di base vanno adottate entro il 31 luglio 2027 (ICT Security Magazine, 2026; Planetel, 2026). La designazione del referente CSIRT segue una regola propria, all’articolo 7, comma 1 della Determinazione 127437/2026: entro il 31 dicembre dell’anno di inserimento in elenco (ICT Security Magazine, 2026).
La stessa Determinazione 127437/2026 ha introdotto, all’articolo 18, l’obbligo di elencare i “fornitori rilevanti NIS” nell’aggiornamento annuale: sono rilevanti i fornitori la cui fornitura è riconducibile alle infrastrutture digitali o alla gestione di servizi TIC (Allegato I, punti 8 e 9 del decreto), oppure quelli la cui fornitura non è fungibile e la cui interruzione inciderebbe in modo significativo sui servizi del soggetto NIS (ICT Security Magazine, 2026; Planetel, 2026). Per ciascuno vanno comunicati denominazione, codice fiscale, Paese della sede legale, codici CPV e criterio di rilevanza (Planetel, 2026). Tradotto per chi vende IT, cloud o connettività a un soggetto NIS: il vostro nome è probabilmente già negli archivi dell’Agenzia, e la finalità dichiarata è individuare chi potrebbe a sua volta essere qualificato come soggetto importante o essenziale.
Il quadro attuativo si è arricchito ancora a settembre: ICT Security Magazine riferisce di un nuovo Vademecum NIS pubblicato da ACN a settembre 2026, che riepiloga adempimenti e scadenze per il biennio 2026-2027, e di una riunione del Tavolo NIS il 18 settembre 2026 (ICT Security Magazine, 2026). [VERIFY: pubblicazione del Vademecum NIS di settembre 2026 e riunione del Tavolo NIS del 18 settembre 2026 – fonte: sezione Comunicazione del sito ACN, acn.gov.it]. Per i fornitori di servizi digitali transfrontalieri (DNS, cloud, data center, servizi gestiti, marketplace, motori di ricerca, social network, servizi fiduciari) si affianca il Regolamento di esecuzione (UE) 2024/2690 del 17 ottobre 2024, che dettaglia i requisiti tecnici e adotta una soglia dell’incidente impostata diversamente dalle specifiche nazionali (ICT Security Magazine, 2026).
Implicazioni pratiche per le PMI italiane
La prima implicazione riguarda chi non ha ricevuto nulla. Planetel lo scrive senza giri di parole: non aver ricevuto la comunicazione perché non ci si è mai registrati “non equivale a essere fuori perimetro, bensì significa avere una violazione aperta”, sanzionata autonomamente dall’art. 38, comma 10, lettera a) del decreto (Planetel, 2026). Le soglie per le imprese private degli Allegati I e II rinviano alla Raccomandazione 2003/361/CE: si rientra occupando almeno 50 persone e superando i 10 milioni di euro di fatturato o di totale di bilancio, contando anche imprese associate e collegate; alcune categorie rientrano a prescindere dalla dimensione (Planetel, 2026).
La seconda implicazione riguarda le PMI fornitrici, che sono la maggioranza di chi legge questo blog. Anche fuori perimetro diretto, la NIS2 arriva per via contrattuale: i soggetti obbligati devono valutare e monitorare la sicurezza della catena di approvvigionamento, con clausole su gestione incidenti, obblighi di notifica, diritto di audit ed exit strategy (ICT Security Magazine, 2026). Nella mia esperienza mettere mano ai contratti richiede mesi, e Pillitteri conferma: “Mettere mano ai contratti richiede mesi, non settimane” (Pillitteri, 2026).
La terza implicazione è culturale. TIM Enterprise scrive che dal 1° novembre 2026 si può parlare di “fine della fase di tolleranza e l’avvio ufficiale delle attività ispettive e sanzionatorie da parte di ACN” (TIM Enterprise, 2026): è la lettura di un operatore di mercato, non una dichiarazione dell’Agenzia, e la riporto come tale. Quello che le fonti ufficiali dicono è meno teatrale ma più impegnativo: le misure di base sono un primo set, e ACN ha annunciato obblighi a lungo termine con misure più avanzate, differenziate per categoria di rilevanza delle attività (TIM Enterprise, 2026). La categorizzazione fatta quest’anno, nella finestra 1° maggio-30 giugno, determinerà quanto vi verrà chiesto nei prossimi anni.
Un’ultima osservazione, che è opinione mia e non dato. La NIS2 chiede evidenze su asset, accessi, log, backup e supervisione umana degli incidenti. Sono le stesse evidenze che, per altre vie, chiedono l’AI Act e il D.Lgs. 160/2026 sui sistemi di IA, e il Cyber Resilience Act sui prodotti connessi. Chi costruisce un unico registro delle evidenze, invece di tre, ha un vantaggio competitivo prima ancora che un vantaggio di conformità.
La scadenza NIS2 è il 31 ottobre 2026 per tutti?
No. Il termine è di 18 mesi dalla comunicazione individuale di inserimento nell’elenco NIS. Per la prima coorte, le cui comunicazioni sono partite dal 12-13 aprile 2025, cade in ottobre 2026; alcune fonti indicano il 31 ottobre come termine ultimo. Chi è entrato in elenco nel 2026 ha termine al 31 luglio 2027 (Determinazione ACN 127434/2026).
Quante misure di sicurezza di base prevede la NIS2 in Italia?
La Determinazione ACN 379907/2025 prevede 37 misure e 87 requisiti per i soggetti importanti (Allegato 1) e 43 misure e 116 requisiti per i soggetti essenziali (Allegato 2). Le misure seguono il Framework nazionale per la Cybersecurity e la Data Protection, edizione 2025, e vanno adottate tutte: l’analisi del rischio ne modula profondità e configurazione, non l’applicabilità.
Quali sono i tempi di notifica di un incidente significativo?
Secondo l’art. 25, comma 5 del D.Lgs. 138/2024: pre-notifica al CSIRT Italia entro 24 ore dalla conoscenza dell’evento, notifica entro 72 ore con valutazione iniziale e indicatori di compromissione ove disponibili, relazioni intermedie su richiesta e relazione finale entro un mese. L’obbligo resta in capo al soggetto NIS e non è delegabile al fornitore di servizi gestiti.
Cosa rischia chi non adotta le misure entro il termine?
Il D.Lgs. 138/2024 prevede sanzioni fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per i soggetti essenziali e fino a 7 milioni di euro o all’1,4% per i soggetti importanti, applicando l’importo maggiore. La quantificazione in un caso concreto spetta all’Autorità e va valutata con un professionista abilitato.
Conclusioni
Ottobre 2026 non è il traguardo della NIS2, è il momento in cui smette di essere un progetto e diventa un sistema che qualcuno può controllare. I dati suggeriscono una platea di oltre 20.000 soggetti, due calendari diversi a seconda dell’anno di inserimento e un allegato tecnico riscritto a dicembre 2025 che molti piani non hanno ancora recepito. La mia posizione, da ex fornitore e da formatore, è che il lavoro più utile da fare in queste settimane non sia comprare l’ennesimo strumento, ma aprire il registro delle evidenze e chiedersi, misura per misura, “dove sta la prova?”. Se la risposta è “nella testa del responsabile IT”, il requisito non è ancora dimostrabile. E se il documento in mano ha ancora il protocollo 164179 in intestazione, si riparte da lì.
Riferimenti
- Agenzia per la Cybersicurezza Nazionale. (s.d.). Modalità e specifiche di base. acn.gov.it. https://www.acn.gov.it/portale/nis/modalita-specifiche-base — Livello B — consultata il 30/09/2026
- Agenzia per la Cybersicurezza Nazionale. (2025, 23 dicembre). NIS2, aggiornamenti dal Tavolo per l’attuazione. acn.gov.it. https://www.acn.gov.it/portale/w/nis2-aggiornamenti-dal-tavolo-per-l-attuazione — Livello B
- Assolombarda. (2025, dicembre). Direttiva NIS2: ACN pubblica due nuove Determinazioni NIS2, aggiornati Portale NIS e misure di sicurezza. https://www.assolombarda.it/servizi/industria-innovazione-e-qualita/informazioni/direttiva-nis2-acn-pubblica-le-determinazioni-379887-e-379907 — Livello B
- Campo, M., Mazzaferro, V., & D’Ottavio, V. (2025, 31 dicembre). ACN pubblica le nuove Determinazioni n. 379907/2025 “obblighi di base” e n. 379887/2025 “Portale ACN e Servizi NIS”. CMS Law. https://cms.law/it/ita/publication/acn-pubblica-le-nuove-determinazioni-n.-379907-2025-obblighi-di-base-e-n.-379887-2025-portale-acn-e-servizi-nis — Livello B
- ICT Security Magazine, Redazione. (2026, 8 aprile; aggiornato 22 settembre 2026). NIS2: la mappa completa degli adempimenti da qui a ottobre 2026. https://www.ictsecuritymagazine.com/notizie/nis2-adempimenti/ — Livello B
- Pillitteri, P. (2026, 7 settembre). NIS2, cosa deve essere pronto entro il 31 ottobre 2026. https://pasqualepillitteri.it/news/14825/nis2-scadenza-ottobre-2026-adempimenti — Livello B
- Planetel. (2026, 27 agosto). NIS2 in pratica: chi è obbligato, cosa scade nel 2026 e come adeguare l’azienda. https://www.planetel.it/2026/08/nis2-scadenze-2026/ — Livello B (fonte vendor, usata solo per dati riscontrati su altre fonti)
- TIM Enterprise. (2026, 9 settembre). NIS2, scadenza 31 ottobre 2026: cosa cambia per aziende e PA. https://www.timenterprise.it/approfondimenti/nis2-scadenza-31-ottobre-2026-cosa-cambia-per-aziende-e-pa — Livello B (fonte vendor, citata come opinione di mercato)
- Namirial. (2026, 13 aprile). Scadenze NIS2: cosa devono fare le imprese entro ottobre 2026. https://focus.namirial.com/it/nis2-scadenze-e-obblighi-2026/ — Livello B (fonte vendor)
- Studio Tarantelli. (2026). NIS: Misure di Sicurezza di Base – Ottobre 2026. https://www.studiotarantelli.it/articoli/misure-sicurezza-base-nis.htm — Livello B
- Decreto legislativo 4 settembre 2024, n. 138. Gazzetta Ufficiale n. 230 del 1° ottobre 2024. https://www.normattiva.it — Livello B
- Regolamento di esecuzione (UE) 2024/2690 della Commissione del 17 ottobre 2024. EUR-Lex. — Livello B
Fonti verificate al 30/09/2026. Nessuna fonte di livello A (scientifica) disponibile sul tema alla data di stesura: il pezzo si basa su fonti primarie e specialistiche di livello B e su fonti interne di livello C.
Link correlati
- NIS2, le nuove FAQ ACN: cosa deve approvare il CdA
- Cyber Resilience Act: cosa notificare dall’11 settembre
- AI Act e riconoscimento facciale: il D.Lgs. 160/2026 è legge
- Azure Backup Enhanced Policy: la resilienza cloud che anticipa i ransomware
Trasparenza sull’uso dell’intelligenza artificiale
Questo articolo è stato redatto con l’assistenza di un sistema di intelligenza artificiale generativa (Claude Sonnet 5, tramite l’agente Argos Newsroom su Microsoft Copilot Studio) per la ricerca delle fonti, la strutturazione e la prima stesura. Il testo è stato successivamente verificato, corretto e approvato da un autore umano, Luca Borio, che ne detiene la responsabilità editoriale ai sensi dell’art. 50 del Regolamento (UE) 2024/1689. Dati, citazioni e link sono stati controllati sulle fonti originali indicate. Eventuali errori residui sono miei.
⚠️ Nessuna consulenza professionale
Questo contenuto ha finalità divulgativa e informativa. Non costituisce consulenza legale, fiscale, sanitaria, finanziaria o giuslavoristica, né sostituisce il parere di un professionista abilitato. Le norme citate sono riportate nella versione vigente alla data di pubblicazione e possono essere modificate: verifica sempre il testo aggiornato sulle fonti ufficiali (per il diritto italiano, Normattiva — https://www.normattiva.it ; per l’AI Act, il portale ufficiale UE — https://artificialintelligence-act.ec.europa.eu/ ). Per la valutazione di un caso concreto rivolgiti a un professionista.
Lascia un commento