Per molte aziende che rientrano nella Direttiva NIS2, il 31 ottobre 2026 scade il termine per adottare le misure di sicurezza di base previste dall’ACN, l’Agenzia per la Cybersicurezza Nazionale. Da quel momento le misure devono essere attive, documentate e verificabili, perché l’Agenzia smette di accompagnare le aziende e comincia a vigilare.
Se la tua azienda ha ricevuto la comunicazione di inserimento nell’elenco dei soggetti NIS2, questo articolo ti aiuta a capire cosa devi avere in regola e da dove partire.
Cosa scade il 31 ottobre per la NIS2
L’ACN concede 18 mesi dalla comunicazione di inserimento nell’elenco NIS2 per adottare le misure di sicurezza di base. Le prime comunicazioni sono arrivate ad aprile 2025, quindi per la maggior parte delle aziende della prima tornata il termine cade a ottobre 2026.
La data esatta dipende dalla comunicazione ricevuta dalla tua azienda. Il primo controllo da fare è proprio questo: recuperare la PEC dell’ACN e calcolare la tua scadenza.
Quali sono le misure di sicurezza di base NIS2
Il numero delle misure dipende dalla categoria. Per i soggetti importanti le misure sono 37 e si articolano in 87 requisiti. Per i soggetti essenziali salgono a 43, con 116 requisiti. Le aree principali sono queste:
-
Analisi dei rischi, per individuare i punti vulnerabili dell’infrastruttura
-
Gestione degli incidenti, con procedure pronte per reagire e notificare
-
Continuità operativa, cioè backup e ripristino per non fermare l’attività
-
Sicurezza della catena di fornitura, per verificare che anche i fornitori rispettino standard adeguati
-
Autenticazione multifattore e crittografia, dove servono
-
Governance e formazione, con il coinvolgimento dei vertici aziendali e percorsi formativi per il personale
Non basta avere un documento che descrive queste misure. L’ACN chiede un sistema applicato, documentato e verificabile.
Cosa succede dopo la scadenza
Superato il termine, l’ACN passa alla vigilanza. Per i soggetti essenziali sono previsti controlli anche preventivi. Per i soggetti importanti le verifiche sono soprattutto successive, per esempio dopo un incidente.
Chi non è in regola rischia sanzioni significative. Per le violazioni più gravi il massimo è di 10 milioni di euro o il 2% del fatturato mondiale annuo per i soggetti essenziali, e di 7 milioni di euro o l’1,4% per quelli importanti. Il rischio non è solo economico: sempre più clienti chiedono ai propri fornitori di dimostrare la conformità NIS2, e chi non riesce a farlo rischia di uscire dalla catena di fornitura.
Come adeguarsi alla NIS2 in tempo
A poche settimane dalla scadenza conviene procedere per priorità. Prima si fotografa la situazione attuale con un assessment, poi si interviene sulle lacune più rischiose, infine si produce la documentazione che dimostra quanto è stato fatto.
Noi di Unite, in collaborazione con Cybe, abbiamo costruito un servizio chiavi in mano per l’adeguamento NIS2. Ci occupiamo di ogni fase, dall’analisi dei rischi alla messa in sicurezza tecnica, fino alla documentazione. Offriamo supporto consulenziale, così non ti perdi tra gli adempimenti burocratici, e supporto operativo, così tu e i tuoi responsabili potete continuare a pensare al business.
Domande frequenti sulla scadenza NIS2
La scadenza del 31 ottobre vale per tutte le aziende?
No. Il termine è di 18 mesi dalla comunicazione di inserimento ricevuta dall’ACN, quindi la data cambia da azienda ad azienda. Per chi ha ricevuto la comunicazione ad aprile 2025 cade a ottobre 2026.
La notifica degli incidenti è già obbligatoria?
Sì, da gennaio 2026. Serve una pre-notifica entro 24 ore, una notifica completa entro 72 ore e una relazione finale entro un mese.
La mia azienda non è soggetta alla NIS2. Devo preoccuparmi?
Se sei fornitore di un’azienda soggetta, probabilmente ti verrà chiesto di dimostrare misure di sicurezza adeguate, con questionari o clausole contrattuali.
Arriva al 31 ottobre con le carte in regola
Se non sai a che punto è la tua azienda, contattaci per una consulenza. Ti aiutiamo a capire cosa manca e a sistemarlo prima che scada il termine.
