Per molte Aziende italiane, ottobre 2026 rappresenta un passaggio decisivo nell’applicazione della NIS2. I soggetti inseriti nell’elenco nazionale NIS nel 2025 devono completare l’adozione delle misure di sicurezza informatica di base definite dall’Agenzia per la Cybersicurezza Nazionale.

Non si tratta più soltanto di individuare ruoli, produrre procedure o predisporre un piano di adeguamento. Le misure devono essere effettivamente applicate, verificabili e supportate da evidenze.

La scadenza produce inoltre conseguenze che vanno oltre il perimetro dei soggetti essenziali e importanti. Le aziende NIS devono infatti valutare e gestire anche i rischi legati alla propria catena di approvvigionamento, coinvolgendo fornitori tecnologici, manutentori, partner e prestatori di servizi.

La scadenza non è necessariamente il 31 ottobre

Il 31 ottobre 2026 viene spesso indicato come termine generale per l’adeguamento. E’ necessaria però una precisazione.

Per i soggetti inseriti nell’elenco nazionale NIS nel 2025, il termine per adottare le misure di sicurezza di base è fissato in 18 mesi dalla ricezione della comunicazione di inserimento. La data esatta deve quindi essere calcolata partendo dalla comunicazione ricevuta da ciascuna organizzazione e, per alcuni soggetti, può cadere prima del 31 ottobre.

I soggetti inseriti per la prima volta nell’elenco nel 2026 seguono invece una diversa tempistica: per questi ultimi, il termine per l’adozione delle misure di sicurezza di base è fissato al 31 luglio 2027.

Il primo controllo da effettuare è quindi semplice ma essenziale: recuperare la comunicazione ACN e verificare la propria scadenza effettiva.

Dalla conformità documentale alle misure operative

Le specifiche di base definite da ACN traducono gli obblighi della NIS2 in un insieme strutturato di misure e requisiti. Per i soggetti importanti sono previste 37 misure articolate in 87 requisiti; per i soggetti essenziali, 43 misure e 116 requisiti.

Gli interventi riguardano, tra gli altri:

• governo e gestione del rischio informatico;
• individuazione di ruoli, responsabilità e deleghe;
• inventario e gestione degli asset;
• gestione degli accessi e delle identità digitali;
• gestione delle vulnerabilità e degli aggiornamenti;
• protezione dei dati e dei sistemi;
• registrazione e monitoraggio degli eventi di sicurezza;
• gestione e notifica degli incidenti;
• continuità operativa, backup e ripristino;
• formazione del personale;
• sicurezza della catena di approvvigionamento.

Essere conformi non significa quindi possedere un fascicolo di policy. Significa poter dimostrare che i controlli previsti sono stati applicati, che le responsabilità sono state assegnate e che i processi vengono eseguiti e verificati nel tempo.

Cosa potrà verificare ACN

L’Agenzia per la Cybersicurezza Nazionale dispone di poteri di monitoraggio, vigilanza ed esecuzione. Le attività possono comprendere richieste di dati e documenti, verifica delle informazioni trasmesse, accesso alle evidenze, scansioni di sicurezza, audit e ispezioni.

Il regime di vigilanza non è identico per tutti. I soggetti essenziali possono essere sottoposti anche a controlli preventivi, mentre per i soggetti importanti l’attività ispettiva è generalmente collegata alla presenza di elementi, evidenze o indicazioni di una possibile violazione.

In entrambi i casi, diventa fondamentale poter ricostruire le decisioni assunte e dimostrare l’effettiva applicazione delle misure attraverso registri, configurazioni, verbali, rapporti tecnici, esiti delle verifiche e piani di miglioramento.

Perché la NIS2 coinvolge anche le PMI fuori perimetro

Una PMI che non è stata inserita nell’elenco nazionale NIS non diventa automaticamente un soggetto NIS perché lavora per un’azienda regolamentata. Tuttavia, può essere coinvolta attraverso i rapporti di fornitura.

Le misure ACN dedicate alla sicurezza della catena di approvvigionamento richiedono infatti ai soggetti NIS di valutare i rischi associati a fornitori e prestatori di servizi. Questo può tradursi in:

• questionari e valutazioni preventive di sicurezza;
• richiesta di informazioni su organizzazione, infrastrutture e controlli adottati;
• requisiti di sicurezza inseriti nelle richieste di offerta e nei contratti;
• obblighi relativi alla gestione e comunicazione degli incidenti;
• limitazioni e controlli sugli accessi remoti;
• verifiche periodiche sul mantenimento dei requisiti;
• richiesta di piani di continuità, backup e ripristino;
• possibili audit o richieste di evidenze tecniche.

L’effetto più concreto per le PMI non è quindi necessariamente una sanzione diretta prevista dalla NIS2, ma un nuovo requisito di mercato: dimostrare di essere un fornitore affidabile e adeguatamente protetto.

La sicurezza informatica entra così nei processi di qualifica, nelle gare, nei rinnovi contrattuali e nella selezione dei partner. Un fornitore che non riesce a produrre evidenze adeguate può diventare un rischio per il cliente e, di conseguenza, perdere competitività o non essere confermato nella filiera.

Le sanzioni previste

Il Decreto legislativo 138/2024 prevede, per le violazioni degli obblighi relativi alla gestione del rischio e alla notifica degli incidenti, sanzioni amministrative che possono arrivare:

• per i soggetti essenziali, fino a 10 milioni di euro o al 2% del fatturato annuo mondiale, se superiore;
• per i soggetti importanti, fino a 7 milioni di euro o all’1,4% del fatturato annuo mondiale, se superiore.

Questi valori rappresentano i massimali previsti per le violazioni più rilevanti e non devono essere letti come conseguenza automatica di ogni carenza. L’attenzione non dovrebbe però concentrarsi soltanto sulle sanzioni: sistemi non protetti, incidenti non gestiti e interruzioni dei servizi possono generare conseguenze operative, economiche e reputazionali ben prima di un provvedimento dell’Autorità.

Cosa verificare adesso

Per i soggetti NIS, le priorità sono:

1. verificare la data della comunicazione ACN e il termine applicabile;
2. aggiornare l’analisi degli scostamenti rispetto alle specifiche di base;
3. completare le misure ancora mancanti;
4. raccogliere e organizzare le evidenze della loro applicazione;
5. verificare che il processo di gestione e notifica degli incidenti sia operativo;
6. riesaminare fornitori critici, contratti e accessi di terze parti;
7. coinvolgere gli organi di amministrazione e direttivi nelle attività di competenza.

Per i fornitori e le PMI esterne al perimetro è invece opportuno comprendere quali clienti siano soggetti alla NIS2, quali servizi risultino critici e quali evidenze di sicurezza potrebbero essere richieste.

Prepararsi non significa dichiararsi genericamente “conformi alla NIS2”, ma essere in grado di rispondere in modo documentato a domande precise su accessi, vulnerabilità, incidenti, continuità operativa, protezione dei dati e sicurezza dei servizi erogati.

Contatta M.A.C per approfondire il tema o per una verifica del tuo percorso NIS2.

Fonti: Agenzia per la Cybersicurezza Nazionale, portale NIS, Vademecum NIS, specifiche di base e FAQ sulla sicurezza della catena di approvvigionamento; Decreto legislativo 4 settembre 2024, n. 138.