Per migliaia di imprese e amministrazioni italiane il 2026 è l'anno in cui la NIS2 smette di essere un adempimento formale e diventa un sistema da far funzionare e da dimostrare. Dal gennaio scorso i soggetti già inseriti nell'elenco nazionale devono notificare gli incidenti significativi al CSIRT Italia. Il 31 ottobre 2026 scade il termine, per chi è nell'elenco dal 2025, per adottare le misure di sicurezza di base stabilite dall'Agenzia per la cybersicurezza nazionale (ACN). Non basta averle avviate: devono essere operative e documentate.

‍
Il quadro in breve
In Italia la direttiva NIS2 è stata recepita con il d.lgs. 4 settembre 2024, n. 138, il «decreto NIS». Il decreto individua i soggetti obbligati sulla base del settore di attività e delle dimensioni, distinguendo tra soggetti essenziali e soggetti importanti. Dopo la registrazione sulla piattaforma dell'ACN e la comunicazione dell'inserimento nell'elenco, arrivata alla prima platea di soggetti nella primavera del 2025, gli obblighi si applicano in modo graduale: nove mesi per la notifica degli incidenti, diciotto mesi per le misure di sicurezza di base.
Il contenuto concreto degli obblighi è definito dalle determinazioni del Direttore generale dell'ACN. La più importante è oggi la determinazione n. 379907 del 19 dicembre 2025, applicabile dal 15 gennaio 2026, che stabilisce le misure di sicurezza di base e gli incidenti significativi di base e sostituisce la precedente determinazione dell'aprile 2025. Le misure sono organizzate in due allegati, uno per i soggetti importanti e uno, più ampio, per i soggetti essenziali.
Per i soggetti entrati nell'elenco per la prima volta nel 2026 il calendario è diverso: la notifica degli incidenti decorre dal 1° gennaio 2027, il referente CSIRT va designato entro il 31 dicembre 2026 e le misure di base vanno adottate entro il 31 luglio 2027. A tutti si applicano gli obblighi annuali, come l'aggiornamento delle informazioni sulla piattaforma ACN.

‍
1. Chi ha la responsabilità?
La NIS2 non è un tema da delegare interamente all'ufficio IT. Il decreto attribuisce agli organi di amministrazione e direttivi il compito di approvare le modalità di attuazione delle misure di sicurezza, di sovrintendere alla loro applicazione e di seguire una formazione adeguata in materia di sicurezza informatica. Gli amministratori rispondono delle violazioni se non adempiono a questi compiti.
In pratica, questo significa che il consiglio di amministrazione deve avere un ruolo attivo e documentato: non basta una comunicazione informale del responsabile IT.
Da verificare:
• il consiglio di amministrazione ha approvato formalmente le misure di sicurezza e il piano per attuarle, con una delibera verbalizzata?
• riceve aggiornamenti periodici sullo stato di attuazione e sugli incidenti?
• sono stati individuati ruoli e responsabilità interne, compreso il referente per il CSIRT e i suoi sostituti?
• i componenti dell'organo di amministrazione hanno seguito una formazione, e ne resta traccia?
Errore frequente: affidare la NIS2 a un consulente esterno senza coinvolgere gli amministratori. Il decreto chiede che siano loro ad approvare e sovrintendere.

‍
2. Le misure di sicurezza di base sono attuate e documentate?
Le misure dell'ACN si ispirano al Framework nazionale per la cybersecurity e coprono le aree fondamentali della sicurezza informatica. Entro il 31 ottobre non basta averle adottate: bisogna poterlo dimostrare con evidenze documentali.
Da verificare, area per area:
• Governo del rischio. Esistono politiche di sicurezza approvate, un'analisi dei rischi aggiornata e un piano di trattamento dei rischi? Le politiche sono conosciute da chi deve applicarle?
• Inventario. Sono censiti sistemi, applicazioni, dati, servizi cloud e fornitori rilevanti? L'inventario è aggiornato?
• Controllo degli accessi. È attiva l'autenticazione a più fattori almeno per gli accessi remoti e privilegiati? Le utenze amministrative sono limitate, nominative e verificate periodicamente? Gli accessi di chi lascia l'organizzazione vengono revocati tempestivamente?
• Protezione dei sistemi. Esiste un processo per applicare gli aggiornamenti di sicurezza e gestire le vulnerabilità? I dati più sensibili sono cifrati, a riposo e in transito?
• Monitoraggio. Sono raccolti e conservati i log dei sistemi critici? Esistono strumenti e persone in grado di rilevare eventi anomali?
• Continuità operativa. Esistono piani di continuità e di ripristino? I backup sono separati dai sistemi di produzione e il ripristino è stato provato?
• Formazione. Il personale riceve una formazione periodica sulla sicurezza, adeguata ai ruoli, e la partecipazione è registrata?
Errore frequente: avere misure tecniche efficaci ma nessuna documentazione. In caso di verifica, una misura che non si può dimostrare rischia di essere considerata assente.

‍
3. La procedura di notifica degli incidenti funziona?
Dal gennaio 2026 gli incidenti significativi vanno notificati al CSIRT Italia secondo una sequenza precisa: pre-notifica entro 24 ore, notifica entro 72 ore e relazione finale entro un mese. L'ACN ha individuato le fattispecie di incidente significativo di base, alcune comuni a tutti i soggetti e una ulteriore per i soli soggetti essenziali.
Termini così brevi si rispettano solo se la procedura è già pronta e conosciuta. Un attacco ransomware scoperto il venerdì sera, per esempio, richiede che entro il sabato sera qualcuno abbia valutato l'incidente e inviato la pre-notifica.
Da verificare:
• l'organizzazione sa riconoscere quando un incidente è «significativo» secondo le fattispecie dell'ACN?
• chi decide la notifica, chi la invia e chi sostituisce queste persone fuori orario e nei giorni festivi?
• esistono modelli già compilati con le informazioni che non cambiano da un incidente all'altro?
• la procedura è coordinata con le altre notifiche che lo stesso incidente può richiedere? Una violazione di dati personali va notificata anche al Garante privacy entro 72 ore; un'impresa del settore finanziario ha gli obblighi del DORA; chi fornisce prodotti digitali può avere obblighi ai sensi del Cyber Resilience Act.
• è stata fatta almeno una simulazione, con il coinvolgimento dei vertici?
Errore frequente: considerare la notifica un compito del reparto IT. Una notifica richiede decisioni che coinvolgono vertici, ufficio legale, comunicazione e, spesso, il DPO.

‍
4. I fornitori sono sotto controllo?
La sicurezza della catena di approvvigionamento è una delle misure richieste, e molti incidenti gravi degli ultimi anni sono partiti proprio da un fornitore. I soggetti NIS devono conoscere i propri fornitori rilevanti, valutarne i rischi e disciplinare la sicurezza nei contratti. Nel 2026 l'ACN ha chiesto ai soggetti NIS di censire i fornitori rilevanti sulla propria piattaforma.
Da verificare:
• l'elenco dei fornitori rilevanti è completo e aggiornato?
• i fornitori critici sono stati valutati, per esempio con questionari o certificazioni?
• i contratti prevedono requisiti di sicurezza, obblighi di segnalazione degli incidenti in tempi compatibili con i propri, diritti di verifica e regole sui subfornitori?
• esiste un piano nel caso in cui un fornitore critico diventi improvvisamente indisponibile?
Errore frequente: limitarsi ai fornitori IT tradizionali, dimenticando servizi cloud, software in abbonamento e fornitori di servizi gestiti.

‍
5. Cosa si rischia
Il decreto NIS prevede sanzioni amministrative che possono arrivare a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali e a 7 milioni di euro o all'1,4% per i soggetti importanti, oltre a misure come diffide, ordini di adeguamento e, nei casi più gravi, provvedimenti che incidono sugli incarichi dirigenziali. Superata la scadenza di ottobre, è ragionevole attendersi l'avvio delle attività di verifica da parte dell'ACN.
Chi non ha completato tutte le misure si troverà in una posizione molto diversa se potrà mostrare un'analisi delle lacune, un piano di rientro approvato dal consiglio di amministrazione e progressi documentati. Come per altre normative, la dimostrazione dell'impegno e della diligenza conta.

‍
Le ultime settimane: un piano in quattro passi
Conviene concentrarsi su quattro attività:
1. Analisi delle lacune. Confrontare la situazione attuale con le misure della determinazione ACN, classificando ciascuna misura come attuata e documentata, attuata ma non documentata o mancante.
2. Raccolta delle evidenze. Mettere in ordine politiche approvate, registri, verbali del consiglio di amministrazione, inventari, piani di continuità, risultati dei test di ripristino, attestati di formazione.
3. Priorità sulle misure mancanti. Intervenire subito su quelle a maggior impatto e realizzabili in poco tempo, come l'autenticazione a più fattori, la revisione delle utenze privilegiate e il test dei backup.
4. Piano di rientro. Per ciò che non si riesce a completare, predisporre un piano con responsabili, date e risorse, approvato dal consiglio di amministrazione.

‍
E dopo il 31 ottobre?
Le misure di base non sono un punto di arrivo. L'ACN definirà gradualmente misure più avanzate, e la sicurezza andrà mantenuta, verificata e aggiornata nel tempo: analisi dei rischi periodiche, test, formazione continua, revisione dei fornitori. Conviene quindi usare il lavoro fatto per la scadenza come base di un sistema di gestione stabile, eventualmente allineato a standard come la ISO/IEC 27001.

‍
La domanda da porsi non è abbiamo fatto tutto? È se l'ACN ci chiedesse domani le evidenze, cosa potremmo mostrare?

‍