Da adempimento formale a sistema di sicurezza verificabile. La Direttiva NIS2 trasforma la compliance e si avvia verso la scadenza della suo periodo teorico e preparatorio, fissata per il 31 ottobre 2026. Con il coinvolgimento di oltre 20mila organizzazioni italiane, e una serie di adempimenti variabili a seconda degli obbligati.
Si avvicina il momento di dimostrare l’adozione di un sistema di cybersicurezza realmente operativo, documentato e verificabile. L’ACN, dunque, passerà dalla fase di accompagnamento a quella di vigilanza. Con la facoltà di avviare controlli e ispezioni, e verificare il rispetto degli obblighi imposti dalla normativa.
Inizia, quindi, il last mile per le imprese, che dovranno arrivare preparate all’appuntamento di fine ottobre. Tracciando un percorso che richiede di consolidare gli investimenti già avviati e definire responsabilità interne. Andranno completati tutti gli adeguamenti organizzativi e tecnici necessari, con l’obiettivo di trasformare la gestione della sicurezza informatica in un processo strutturato e continuo.
Le due Determinazioni operative per la NIS2
Recepita in Italia con il D. Lgs. 138/2024, la Direttiva 2022/2555, ai più nota come NIS2, è entrata in vigore nell’ottobre del 2024. Con il recepimento italiano, sono estesi gli obblighi di sicurezza informatica a 18 settori. Di questi, 11 indicati come altamente critici (Allegato I) e 7 critici (Allegato II). I soggetti coinvolti sono pubblici e privati: sono circa 80 e sono stati classificati come essenziali o importanti.
Da un punto di vista operativo, la Direttiva si è avvalsa di due determinazioni del Direttore Generale dell’ACN, entrambe del 15 dicembre 2025.
La prima determinazione: regole operative della piattaforma ACN
La prima, la Determinazione n. 379887/2025, applicabile dal 31 dicembre 2025, stabilisce le regole operative della piattaforma digitale gestita dall’ACN.
Attraverso la piattaforma NIS i soggetti coinvolti devono registrarsi, comunicare le informazioni richieste, indicare eventuali soggetti designati come responsabili e aggiornare periodicamente i dati relativi alle proprie attività e ai servizi forniti.
La seconda determinazione: livello minimo di sicurezza e incidenti significativi
La seconda, la Determinazione n. 379907/2025, invece, definisce il livello minimo di sicurezza che le organizzazioni devono garantire. Chiarendo quali eventi devono essere considerati “incidenti significativi” e quindi notificati.
È applicabile dal 15 gennaio 2026. È affiancata dal Regolamento europeo 2024/2690, che introduce requisiti tecnici destinati a specifici fornitori digitali. Come nel caso di cloud, data center e servizi online, considerati strategici per la sicurezza dell’ecosistema digitale. Infine, ci sono le Linee Guida, destinate alle imprese e redatte sempre dall’ACN.
Gli adempimenti (temporali) della NIS2
Le due Determinazioni, quindi, mappano le varie fasi operative, in linea con quanto stabilito dalla normativa. Con l’imposizione di un rapporto continuativo con l’ACN. Non basta la registrazione iniziale, ma occorre mantenere aggiornate le informazioni durante tutto l’anno.
Dal 1° gennaio al 28 febbraio si procede con la registrazione o il rinnovo dei soggetti. Mentre nella finestra 15 aprile – 31 maggio è previsto l’aggiornamento informativo annuale. Confermando o modificando i dati relativi alla governance aziendale, agli indirizzi IP e ai domini utilizzati. Ma anche indicando il sostituto del punto di contatto.
È comunque previsto l’obbligo di aggiornamento continuo, per ogni cambiamento significativo delle informazioni fornite all’ACN. Con una comunicazione entro e non oltre 14 giorni dall’evento.
Attenzione, quindi, a rispettare i tre adempimenti, autonomi tra loro. Registrazione, comunicazione e aggiornamento sono infatti obblighi distinti. E il mancato rispetto renderà più critica la posizione dell’organizzazione, in caso di incidente o ispezione.
La NIS2, dalle linee guida alla fase tre
Da febbraio a settembre 2026 l’ACN ha previsto la pubblicazione di linee guida settoriali, con Determinazioni che aggiornano il quadro attuativo della NIS2. Le pubblicazioni seguono i diversi contesti operativi, e le imprese saranno tenute a pianificare gli impegni di pari passo alle indicazioni.
Intanto, dal 1° maggio al 30 giugno di ogni anno, i soggetti essenziali e importanti sono obbligati a comunicare ed aggiornare, tramite la piattaforma digitale, l’elenco delle proprie attività e dei propri servizi. Lo ha stabilito la Determinazione n. 155238 del 20 aprile 2026.
L’art. 4 della Determinazione 379907/2025 fissa, poi, al 31 ottobre 2026 il termine ultimo per l’adozione delle misure di sicurezza di base, da parte dei soggetti NIS già inseriti nell’elenco ACN durante il 2025. La cosiddetta “prima ondata”, ai sensi del D.lgs. 138/2024, sia essenziali che importanti. I soggetti NIS inseriti per la prima volta nell’elenco nel 2026 non hanno, invece, come scadenza il 31 ottobre 2026, bensì il 31 luglio 2027.
Da novembre 2026, quindi, l’ACN avrà la facoltà di avviare l’attività ispettiva. Dunque, da settembre al fine ottobre parte il terzo step. Cambia la fase di applicazione della NIS2: finisce il periodo in cui le imprese possono essere accompagnate nell’adeguamento e inizia la fase di verifica. L’Agenzia, dopo aver fornito indicazioni, strumenti e supporto per consentire ai soggetti di organizzarsi, avvierà i controlli partendo dal riscontro dell’effettiva applicazione degli obblighi.
Il modello di gestione della sicurezza nella NIS2
E allora, non basta aver adottato alcune misure di sicurezza “sulla carta”: dal 31 ottobre 2026 le imprese devono essere in grado di dimostrare che il sistema di gestione della cybersecurity funzioni realmente. Le diligenti, quindi, avranno implementato un percorso strutturato, dove ogni elemento risulta connesso al successivo. Partendo dalla definizione dei ruoli (con la governance) e arrivando alle priorità individuate con la valutazione del rischio.
Con le misure tecniche e organizzative si gestiscono i rischi individuati. E con test e verifiche si appura il funzionamento delle misure. Per correggere e migliorare il sistema, si utilizzano le evidenze raccolte. Che possono essere formali (attraverso documenti, nomine, procedure) o sostanziali (quando le misure adottate risultano adeguate al profilo di rischio dell’organizzazione, e supportate da scelte operative motivate). Tutto questo, assieme, rappresenta il modello complessivo di gestione della sicurezza.
31 ottobre 2026: inizia la fase ispettiva
La scadenza di fine ottobre è vicina, e manca poco all’inizio di una nuova fase. Quella in cui l’ACN potrà avviare le attività di verifica. È quindi importante agire subito (e già da prima) per ridurre il rischio sanzionatorio. Nei prossimi giorni, e fino al 31 ottobre 2026, la tensione sarà alta. Il fattore tempo diventa allora un elemento strategico. Perché rimandare è rischioso: si finisce per dover gestire i complessi adeguamenti in una fase di forte pressione, con maggiori costi e difficoltà operative.
La parola d’ordine ora è: pianificazione progressiva. Responsabili, interventi, evidenze documentali.
Tutto deve essere al proprio posto, non come esercizio burocratico ma come prova concreta della capacità dell’organizzazione di gestire e dimostrare il proprio livello di sicurezza. Perché la cybersecurity, da novembre, diventa una responsabilità permanente di governance. Non una questione tecnica, prettamente del comparto IT.
E chi saprà trasformare gli obblighi NIS2 in un modello organizzativo concreto non avrà solo evitato un rischio normativo. Avrà garantito, alla propria azienda, la competitività per il futuro.
