NIS2, scadenze e adempimenti: perché ottobre 2026 è un passaggio decisivo per molte imprese

Nel 2025 l’Agenzia per la cybersicurezza nazionale ha registrato in Italia oltre 2.700 eventi cyber, il 38% in più rispetto all’anno precedente. Gli incidenti per i quali è stato confermato un impatto sono stati 615, con una crescita del 7%.

Il dato italiano si inserisce in un quadro europeo nel quale gli attacchi sfruttano organizzazioni sempre più dipendenti da reti, servizi cloud, fornitori tecnologici e infrastrutture interconnesse. Secondo ENISA, il phishing ha rappresentato circa il 60% dei vettori iniziali di compromissione analizzati nel 2025, mentre il ransomware si è confermato la minaccia cybercrime con le conseguenze più rilevanti.

Il problema, quindi, non riguarda soltanto il numero degli attacchi. Un incidente nato all’interno di una singola organizzazione o presso un suo fornitore può interrompere servizi, produzione e scambi lungo un’intera catena. Più imprese e settori dipendono dagli stessi sistemi digitali, più un punto debole può produrre conseguenze oltre i confini della prima azienda colpita.

È questo il contesto nel quale l’Unione europea ha rivisto la normativa sulla sicurezza delle reti. La precedente direttiva NIS aveva introdotto obblighi comuni, ma aveva lasciato livelli di protezione differenti tra Stati e settori, un perimetro limitato e una capacità ancora insufficiente di affrontare crisi informatiche coordinate.

Per rispondere a queste criticità, nel dicembre 2022 è stata adottata la direttiva (UE) 2022/2555, nota come NIS2. La nuova disciplina ha ampliato le organizzazioni interessate e rafforzato gli obblighi di gestione del rischio, segnalazione degli incidenti, sicurezza dei fornitori e responsabilità degli organi direttivi.

L’Italia l’ha recepita con il decreto legislativo 4 settembre 2024, n. 138. Il percorso di attuazione è ora nella fase operativa e, per molte imprese inserite nell’elenco nazionale NIS nel 2025, ottobre 2026 rappresenta un passaggio decisivo. Non è però una scadenza universale: termini e obblighi dipendono dalla data di inserimento e dalla posizione del singolo soggetto.

Che cos’è la NIS2 e quali imprese interessa

Il decreto distingue i soggetti interessati in “essenziali” e “importanti” e comprende settori quali energia, trasporti, sanità, acqua, infrastrutture digitali e servizi informatici gestiti, oltre ad alcuni comparti manifatturieri, servizi postali, rifiuti e ricerca.

Il settore, da solo, non basta: contano dimensioni, eccezioni e specifici casi di inclusione. L’ACN gestisce la piattaforma per registrazione, aggiornamento delle informazioni e comunicazione dell’inserimento nell’elenco NIS. Anche i fornitori non direttamente soggetti possono ricevere nuovi requisiti e verifiche, perché la sicurezza della catena di fornitura deve essere valutata.

Perché si parla di ottobre 2026

Nella prima applicazione, il decreto ha concesso diciotto mesi dalla comunicazione di inserimento nell’elenco NIS per adempiere agli obblighi di governance e gestione del rischio. Per chi l’ha ricevuta nell’aprile 2025, il periodo si conclude nell’ottobre 2026.

Non è una data unica per tutte le aziende: il termine va calcolato dalla comunicazione ricevuta dal singolo soggetto. Prima di assumere il 31 ottobre come riferimento, occorre quindi controllare gli atti disponibili sulla piattaforma ACN.

Per i soggetti inseriti per la prima volta nel 2026, la determinazione ACN n. 127434/2026 ha invece fissato al 31 luglio 2027 il termine per le misure di sicurezza e al 1° gennaio 2027 l’avvio delle notifiche degli incidenti significativi.

Che cosa devono fare concretamente le aziende

Adeguarsi non significa acquistare un software o predisporre documenti da archiviare. Serve un sistema di sicurezza proporzionato ai rischi, applicato e verificabile.

Tra le aree da presidiare rientrano:

• analisi dei rischi e politiche di sicurezza;
• gestione e risposta agli incidenti;
• continuità operativa, backup, ripristino e gestione delle crisi;
• sicurezza dei fornitori e della catena di approvvigionamento;
• sviluppo e manutenzione sicura dei sistemi e gestione delle vulnerabilità;
• controllo degli accessi, degli asset e del personale;
• formazione e pratiche di igiene informatica;
• crittografia, autenticazione a più fattori e verifica dell’efficacia delle misure.

Ogni impresa deve applicare questi ambiti al proprio contesto e conservarne prove. Valutazioni del rischio, inventari, verbali, piani, test e registri devono dimostrare che le misure sono operative e controllate.

La gestione degli incidenti non può aspettare ottobre

Per molte imprese inserite nell’elenco nel 2025, le notifiche sono già operative. Il decreto prevedeva nove mesi dalla comunicazione: per numerosi soggetti avvisati nell’aprile 2025, l’obbligo è scattato nel gennaio 2026.

In caso di incidente significativo, va inviata al CSIRT Italia una prima segnalazione entro 24 ore dalla conoscenza, seguita da una notifica entro 72 ore e, di regola, da una relazione finale entro un mese.

Tempi così ridotti richiedono preparazione: l’impresa deve sapere chi valuta l’evento, chi autorizza la notifica e quali informazioni raccogliere durante una crisi.

La cybersicurezza entra nelle responsabilità del vertice

Uno degli aspetti più rilevanti della NIS2 è il coinvolgimento diretto degli organi di amministrazione e direzione. Il vertice deve approvare le modalità con cui vengono applicate le misure di sicurezza, controllarne l’attuazione e ricevere una formazione adeguata.

La conformità non può quindi essere delegata interamente all’IT. Richiede la collaborazione di direzione, sicurezza, risk management, compliance, legale, audit, risorse umane e acquisti: il rischio cyber diventa parte della governance aziendale.

La normativa non impone una specifica qualifica professionale e nessuna certificazione, da sola, rende un’organizzazione conforme. Percorsi di percorsi di certificazione NIS2 possono tuttavia aiutare le persone coinvolte a comprendere obblighi, ruoli e misure, creando un linguaggio condiviso tra funzioni tecniche, manageriali e di controllo. La formazione deve poi tradursi in decisioni e attività adeguate alla realtà dell’impresa.

Da dove cominciare

Per le organizzazioni interessate, una verifica operativa dovrebbe partire da alcuni passaggi essenziali:

1. controllare la comunicazione ACN e il termine applicabile
2. chiarire responsabilità, deleghe e flussi informativi verso il vertice
3. confrontare le misure esistenti con le specifiche di base pubblicate da ACN
4. aggiornare la valutazione dei rischi, l’inventario degli asset e l’analisi dei fornitori critici
5. testare continuità operativa, risposta alle crisi e notifiche entro 24 e 72 ore
6. formare le persone e conservare evidenze verificabili delle attività svolte

Per le violazioni più significative, le sanzioni possono raggiungere 10 milioni di euro o il 2% del fatturato mondiale per i soggetti essenziali; per quelli importanti, 7 milioni o l’1,4%. L’importo effettivo dipende dalla violazione e dal procedimento.

Ottobre 2026 non dovrebbe quindi essere considerato il momento in cui iniziare a occuparsi della NIS2. Per molte imprese rappresenta il punto entro il quale governance, processi e misure di sicurezza devono essere già operativi e dimostrabili. L’obiettivo della normativa non è produrre documenti, ma rendere le organizzazioni più capaci di prevenire, affrontare e superare gli incidenti informatici.

Fonti normative e istituzionali

• ACN – Relazione annuale 2025
  Fonte dei dati italiani: oltre 2.700 eventi cyber, +38%, e 615 incidenti con impatto confermato, +7%.
• ENISA Threat Landscape 2025
  Fonte dei dati sul phishing e sulla rilevanza del ransomware.
• Commissione europea – FAQ sulla direttiva NIS2
  Spiega perché è stato necessario superare la precedente direttiva NIS: crescente interconnessione, resilienza insufficiente e disomogenea e carenze nella risposta coordinata alle crisi.
• Direttiva (UE) 2022/2555 – EUR-Lex
  Testo ufficiale italiano della direttiva NIS2.
• Lgs. 4 settembre 2024, n. 138 – Normattiva
  Testo vigente del decreto italiano di recepimento. Gli articoli più rilevanti per l’articolo sono 7, 23, 24, 25, 38 e 42.
• ACN – Modalità e specifiche di base NIS
  Pagina istituzionale che raccoglie le misure di sicurezza, le specifiche applicative e i documenti collegati.
• ACN – Linee guida NIS: guida alla lettura delle specifiche di base
  Documento utile per interpretare operativamente le misure richieste.
• ACN – Determine per i soggetti inseriti nell’elenco nel 2026
  Fonte delle scadenze del 1° gennaio e 31 luglio 2027 applicabili ai nuovi soggetti del 2026.

Rimani aggiornato seguendoci su Google News!

SEGUICI