Per le imprese inserite nell’elenco dei soggetti NIS nel 2025 si avvicina la scadenza di ottobre 2026 per l’adozione delle misure di sicurezza informatica di base previste dalla normativa NIS 2. Verificare con anticipo il proprio stato di conformità consente di affrontarla in modo ordinato e documentato.
La scadenza NIS 2 è fissata dall’art. 42 del decreto legislativo 4 settembre 2024, n. 138, detto «decreto NIS», che recepisce la direttiva (UE) 2022/2555. L’Agenzia per la cybersicurezza nazionale (ACN) l’ha ribadita nel Vademecum NIS pubblicato l’11 settembre 2026. L’articolo spiega come calcolare il proprio termine, cosa adottare, cosa rischia chi è in ritardo e cosa resta da fare dopo ottobre.
In sintesi
- Chi riguarda: le imprese e gli enti inseriti nel 2025 nell’elenco dei soggetti NIS. L’ACN ha inviato loro la comunicazione via PEC a partire dal 12 aprile 2025.
- Quando scade: diciotto mesi dalla ricezione della PEC (art. 42 del decreto NIS). Per la maggior parte delle aziende il termine cade nell’ottobre 2026.
- Cosa adottare: le misure di sicurezza di base della Determinazione ACN n. 379907/2025. Sono 37 misure con 87 requisiti per i soggetti importanti e 43 misure con 116 requisiti per i soggetti essenziali.
- Incidenti: da gennaio 2026 questi soggetti devono notificare gli incidenti significativi al CSIRT Italia, il gruppo nazionale di risposta agli incidenti informatici. La pre-notifica va inviata entro 24 ore e la notifica entro 72 ore (art. 25).
- Sanzioni: fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per i soggetti essenziali; fino a 7 milioni o all’1,4% per i soggetti importanti (art. 38).
Quando cade la scadenza NIS 2 per la singola azienda?
La scadenza cade diciotto mesi dopo la ricezione della PEC con cui l’ACN ha comunicato l’inserimento nell’elenco dei soggetti NIS. Non esiste quindi una data unica: ogni azienda calcola il proprio termine dalla comunicazione ricevuta. Le comunicazioni sono state inviate dall’indirizzo no-reply@pec.acn.gov.it a partire dal 12 aprile 2025 e sono proseguite nelle settimane successive. Un’azienda che ha ricevuto la PEC il 14 aprile 2025, ad esempio, deve aver completato le misure di base entro il 14 ottobre 2026.
Per le imprese entrate nell’elenco nel 2026 i termini sono diversi e li stabilisce la Determinazione ACN n. 127434/2026. L’obbligo di notifica degli incidenti decorre dal 1° gennaio 2027. Il termine per le misure di base è il 31 luglio 2027.
Quali imprese sono interessate dalla scadenza di ottobre?
Sono interessate le imprese che si sono registrate sul portale ACN entro il 28 febbraio 2025 e che l’ACN ha inserito nell’elenco come soggetti essenziali o importanti. Il soggetto NIS è l’organizzazione che l’ACN ha incluso in questo elenco dopo averne verificato settore e dimensioni. In linea generale il decreto NIS riguarda le medie e grandi imprese dei settori elencati negli Allegati I e II (art. 3). Oltre a energia e trasporti, il perimetro comprende:
- la produzione, trasformazione e distribuzione di alimenti;
- la gestione dei rifiuti;
- la fabbricazione di macchinari e autoveicoli;
- i servizi postali e di corriere.
I soggetti essenziali sono, in sintesi, le grandi imprese dei settori ad alta criticità dell’Allegato I. Lo sono anche alcune categorie individuate a prescindere dalle dimensioni. Tutti gli altri soggetti dell’elenco sono importanti (art. 6). La classificazione stabilisce quale allegato di misure applicare, l’importo massimo delle sanzioni e il tipo di controlli.
Cosa sono le misure di sicurezza di base?
Le misure di sicurezza di base sono i requisiti tecnici, organizzativi e di governo che l’ACN ha fissato per la prima fase di applicazione del decreto NIS. Si trovano negli Allegati 1 (soggetti importanti) e 2 (soggetti essenziali) della Determinazione ACN n. 379907/2025. La determinazione si applica dal 15 gennaio 2026 e ha sostituito la n. 164179 del 14 aprile 2025. I requisiti coprono gli ambiti indicati dall’art. 24, comma 2, del decreto NIS:
- analisi dei rischi e politiche di sicurezza dei sistemi informativi;
- gestione degli incidenti, continuità operativa, backup (copie di sicurezza dei dati) e ripristino;
- sicurezza della catena di approvvigionamento, cioè dei fornitori di prodotti e servizi informatici;
- controllo degli accessi, inventario dei beni informatici e autenticazione a più fattori;
- formazione del personale e pratiche di igiene informatica di base.
L’adeguamento coinvolge anzitutto il vertice aziendale. In base all’art. 23, gli organi di amministrazione approvano le modalità di implementazione delle misure e ne sovrintendono l’attuazione. Rispondono inoltre delle violazioni e devono seguire una formazione sulla sicurezza informatica. Per questo gli interventi tecnici non bastano: servono anche delibere, procedure scritte ed evidenze conservate nel tempo. Su questi elementi si concentra la nostra attività di consulenza su NIS 2 e cybersicurezza.
Cosa rischia l’azienda che non ha completato le misure?
L’azienda in ritardo è soggetta alla vigilanza dell’ACN. L’Agenzia può verificare i documenti, disporre ispezioni, intimare l’adeguamento entro un termine e applicare sanzioni amministrative. Nelle sue FAQ su vigilanza ed esecuzione dichiara di procedere con un approccio graduale e basato sul rischio.
I controlli cambiano in base alla classificazione. Sui soggetti essenziali l’ACN può disporre ispezioni anche in via preventiva, cioè senza che siano emersi segnali di violazione. Sui soggetti importanti, invece, interviene solo quando dispone di elementi che indicano una possibile violazione (art. 36).
Le diffide dell’art. 37 non escludono le sanzioni previste dall’art. 38:
- soggetti essenziali: fino a 10.000.000 euro o al 2% del fatturato mondiale annuo, se superiore;
- soggetti importanti: fino a 7.000.000 euro o all’1,4% del fatturato mondiale annuo, se superiore;
- violazioni meno gravi, come la mancata registrazione o la mancata comunicazione dei dati: fino allo 0,1% del fatturato per gli essenziali e allo 0,07% per gli importanti.
Gli adempimenti che restano dopo ottobre 2026
La scadenza di ottobre chiude la prima fase, ma non il percorso. Ogni anno il soggetto NIS deve rispettare tre finestre sul portale dei servizi ACN. Le prossime sono quelle del 2027:
- dal 1° gennaio al 28 febbraio 2027: registrazione o rinnovo della registrazione. L’ACN comunica l’inserimento, la permanenza o l’esclusione dall’elenco entro il 14 aprile 2027.
- dal 15 aprile al 31 maggio 2027: aggiornamento annuale delle informazioni, tra cui punto di contatto, organi di amministrazione, indirizzi IP e fornitori rilevanti.
- dal 1° maggio al 30 giugno 2027: elencazione e categorizzazione delle attività e dei servizi.
Fuori da queste finestre, ogni variazione delle informazioni va comunicata entro 14 giorni dalla modifica.
Il 18 settembre 2026 l’ACN ha inoltre avviato con i tavoli settoriali la consultazione sulle misure rafforzate. Queste misure sono destinate a integrare e sostituire quelle di base. Non hanno ancora una data di adozione e non modificano il termine di ottobre.
Per la maggior parte delle imprese inserite nell’elenco nel 2025, la priorità di queste settimane è un quadro documentato della situazione. Per ogni requisito deve risultare cosa è attuato, con quali evidenze e cosa resta da completare, con date certe. Chi non ha completato le misure entro il proprio termine resta comunque tenuto ad adottarle: la scadenza superata non fa venir meno l’obbligo. Le imprese entrate nell’elenco nel 2026 hanno invece il tempo per pianificare l’adeguamento entro il 31 luglio 2027. Studio Quality affianca le aziende nelle diverse fasi dell’adeguamento alla NIS 2, sia quelle entrate nell’elenco nel 2026 sia quelle del 2025 che devono completare il percorso.
