Con la NIS2 il 2026 procede per tappe, e conviene non confonderle. La registrazione sulla piattaforma ACN si apre il 1° gennaio e si chiude il 28 febbraio di ogni anno (art. 7 del decreto); la categorizzazione delle attività e dei servizi si è chiusa il 30 giugno 2026. La tappa operativa è un’altra ancora: entro il proprio termine i soggetti nel perimetro (essenziali e importanti) devono aver implementato le misure di sicurezza di base definite dall’Agenzia per la Cybersicurezza Nazionale. Qual è quel termine, e perché non è lo stesso per tutti, è il punto di questo articolo.
Non è più “registrarsi” o “classificarsi”: è avere le misure attive e dimostrabili. Ed è qui che molte PMI arrivano impreparate.
C’è un aspetto di quella data che viene raccontato male quasi sempre: non è una scadenza di calendario scritta nella norma. La determinazione ACN sulle specifiche di base fissa il termine in diciotto mesi dalla ricezione, da parte del soggetto NIS, della comunicazione di inserimento nell’elenco — e in nove mesi, dalla stessa comunicazione, il termine per l’obbligo di notifica degli incidenti significativi. Ottobre 2026 è la conseguenza di quel conteggio per i soggetti inseriti nel 2025: ACN ha trasmesso le comunicazioni del primo ciclo, scrive lei stessa, «a cavallo del 12 e 13 aprile 2025», ai domicili digitali delle organizzazioni registrate; i soggetti per i quali non è stato possibile accertare la ricezione della PEC sono stati contattati direttamente, quindi la data di ricezione non è identica per tutti. Diciotto mesi dopo si arriva alla prima metà di ottobre 2026, ed è lì che ACN colloca il termine: «entro 18 mesi (ottobre 2026) dalla ricezione della comunicazione», senza indicare un giorno.
E allora il 31 ottobre da dove viene? Esiste, ma è un’altra scadenza. Compare in un avviso dell’Agenzia del 23 ottobre 2026, dove è l’ultimo giorno utile per trasmettere le dichiarazioni di registrazione tardiva — un adempimento diverso, che riguarda chi non si è registrato nella finestra di gennaio-febbraio. Chi l’ha letta come la scadenza delle misure di base non si è inventato una data: ha guardato la data sbagliata, e si è regalato fino a tre settimane che non aveva.
Per chi è stato inserito per la prima volta nel 2026 vale invece una data fissa uguale per tutta la coorte, il 31 luglio 2027: la fissa l’art. 1 comma 1 della determinazione del direttore generale di ACN firmata il 13 aprile 2026, e la ripete la FAQ NIS MSB.3.
La conseguenza pratica è che la domanda giusta non è «quando scade» ma «quando è arrivata la nostra comunicazione di inserimento»: senza quella data nessun calendario generico dice se siete in ritardo.
Una premessa, perché in giro si legge di tutto
La NIS2 non riguarda tutte le aziende italiane. Riguarda i soggetti essenziali e importanti individuati dal decreto, cioè un perimetro definito per settore, dimensione e ruolo. Se qualcuno vi dice che siete obbligati senza avervi prima chiesto in quale settore operate e quanto fatturate, non vi sta informando: vi sta vendendo qualcosa.
Vale però anche il contrario, e vale la pena dirlo con la stessa chiarezza: essere fuori dal perimetro non significa essere fuori dagli effetti. Chi fornisce un soggetto in perimetro riceve richieste contrattuali di sicurezza a cascata — è il tema dell’effetto filiera per le PMI non direttamente soggette.
Quante sono, esattamente, le misure
Le determinazioni ACN non chiedono “misure adeguate” in astratto: le elencano, e in numero preciso.
| Categoria di soggetto | Misure | Requisiti |
|---|---|---|
| Importanti | 37 | 87 |
| Essenziali | 43 | 116 |
I soggetti essenziali partono dalle stesse 37 misure degli importanti e ne aggiungono 6, per 29 requisiti in più. Le misure sono raccolte negli allegati tecnici alla determinazione — l’Allegato 1 per gli importanti, l’Allegato 2 per gli essenziali — e sono sviluppate in coerenza con il Framework Nazionale per la Cybersecurity e la Data Protection.
Il numero conta per una ragione pratica: trasforma “essere conformi” da giudizio in verifica. Ogni requisito è un punto su cui rispondere sì o no, con un’evidenza. È anche il motivo per cui una gap analysis fatta a occhio non serve: sono 87 o 116 punti, non un’impressione generale.
Cosa significa “misure di base”
L’insieme richiesto è quello dell’art. 24, comma 2, lettere a)-i) e l), del D.Lgs. 138/2024 — dieci elementi, perché la numerazione italiana salta la j e la k — che recepisce l’art. 21 della direttiva (UE) 2022/2555 riprendendone i dieci elementi minimi nello stesso ordine, declinato in requisiti puntuali dalla Determinazione ACN 379907/2025. In pratica, per una PMI, si traduce in:
- Gestione del rischio e degli asset — sapere cosa si ha (IT e, dove presente, OT) e quali rischi corre.
- Controllo degli accessi + MFA — autenticazione a più fattori su tutti gli account, privilegi minimi.
- Backup e continuità — copie testate, piano di ripristino, resilienza.
- Gestione degli incidenti — procedura e capacità di notifica ad ACN entro 24 e 72 ore (ne abbiamo fatto un runbook operativo).
- Sicurezza di endpoint e posta — protezione, hardening, anti-phishing.
- Gestione fornitori e formazione — sicurezza nella filiera e consapevolezza del personale.
La buona notizia: gran parte di queste misure si realizza con strumenti Microsoft che molte PMI hanno già — Microsoft Defender, Intune, Entra ID, Purview — configurati correttamente. Il divario, quasi sempre, non è di licenze ma di configurazione ed evidenze.
Le due misure su cui quasi tutti sono indietro (e non sono tecniche)
Fra i requisiti ce ne sono due che non si comprano, non si configurano in una settimana e non lasciano traccia se non le si documenta. Sono anche quelle che a ottobre risulteranno mancanti più spesso.
La formazione dei vertici, non dell’IT
L’art. 23 del D.Lgs. 138/2024 stabilisce che gli organi di amministrazione e direttivi devono seguire formazione in materia di sicurezza informatica, e devono promuovere la sensibilizzazione del personale. Il soggetto dell’obbligo non è il reparto IT: è chi governa l’azienda.
È un punto che passa inosservato perché contro-intuitivo. In molte PMI la sicurezza è delegata per intero a chi la gestisce tecnicamente, e la formazione viene erogata a chi già la conosce. Qui la norma chiede l’opposto: che chi decide i budget e approva i rischi sappia di cosa sta decidendo.
La domanda operativa da porsi non è “abbiamo fatto formazione”, ma: esiste un documento che attesta chi l’ha fatta, quando, su quali contenuti? Una sessione tenuta senza registro non è dimostrabile, e su un requisito verificabile “non dimostrabile” e “non fatto” coincidono.
Su questo punto abbiamo scritto una guida a sé: cosa deve contenere la formazione per gli amministratori e come si documenta, inclusi i quattro obblighi dell’art. 23 e le evidenze che servono in caso di ispezione.
La mappa dei fornitori rilevanti
L’art. 24 include fra le misure minime la sicurezza della catena di approvvigionamento, nell’aggiornamento annuale delle informazioni ACN chiede di comunicare i fornitori rilevanti NIS. Rilevante non vuol dire “chi accede ai nostri sistemi”: i criteri sono due, alternativi o congiunti — la fornitura è ICT (allegato I, punti 8 e 9), oppure è non fungibile, cioè non sostituibile senza un impatto significativo sui servizi per cui siete in perimetro. Una fornitura non digitale ma insostituibile rientra; un fornitore ICT marginale rientra comunque. E c’è un passaggio a monte che decide quali misure vi verranno chieste: l’elencazione e categorizzazione dei servizi dell’articolo 30.
È il lavoro che nessuno vuole fare, perché non si vede, non si acquista in un giorno e obbliga a chiedere in giro — ai fornitori stessi, che spesso non hanno la risposta pronta. Ed è simmetrico: se siete voi il fornitore di un soggetto in perimetro, prima o poi il questionario arriva a voi. Un punto di partenza concreto è l’inventario degli asset IT, da cui l’elenco degli accessi di terzi si ricava.
Cosa si rischia
Le sanzioni sono commisurate alla categoria e sono di ordine di grandezza tale da non essere assorbibili:
| Massimo | |
|---|---|
| Soggetti essenziali | 10 milioni di euro o il 2% del fatturato mondiale annuo |
| Soggetti importanti | 7 milioni di euro o l’1,4% del fatturato mondiale |
Si applica l’importo più elevato fra i due. Va però tenuto presente che il rischio realistico per una PMI non è la sanzione massima: è la combinazione fra un rilievo ispettivo, la perdita di una fornitura verso un cliente in perimetro e il costo di rimettersi in regola sotto pressione.
Cosa fare adesso (piano a 90 giorni)
- Gap analysis — dove sei rispetto alle misure di base. Puoi partire dal nostro strumento gratuito di autovalutazione NIS2 per una prima fotografia.
- Prioritizzazione — chiudi prima le lacune ad alto rischio (MFA mancante, backup non testati, nessun piano incidenti).
- Implementazione — attiva/configura le misure, sfruttando la baseline Microsoft (vedi la checklist di hardening del tenant).
- Evidenze documentali — la parte che tutti sottovalutano: policy, registri, log, verbali. In caso di controllo, contano quanto le misure stesse.
Tre domande per capire dove siete
Prima di qualsiasi piano, queste tre risposte dicono già quasi tutto:
- Sapete con certezza se la vostra azienda è nel perimetro NIS? Non “credo di sì” o “il consulente aveva detto”: la categorizzazione sulla piattaforma ACN è un fatto verificabile.
- I vertici hanno fatto formazione documentata, o la si è data per scontata perché “sono persone attente”?
- Esiste un elenco aggiornato dei fornitori che accedono ai vostri sistemi, con il livello di accesso di ciascuno?
Se anche una sola risposta è no, il tempo utile è quello che separa oggi dal vostro termine — e le due lacune non tecniche sono proprio quelle che richiedono più calendario, non più budget.
Se il vostro termine è già passato
Per chi è stato inserito nell’elenco nel 2025 i diciotto mesi sono scaduti in ottobre 2026. Se le misure non sono tutte attive e documentate, la domanda non è più «come arrivo in tempo» ma «cosa faccio adesso» — e la risposta non è aspettare la prossima scadenza, perché per le misure di base non ce n’è un’altra. Il decreto non prevede, a oggi, alcuna proroga né sanatoria: dal giorno dopo il termine si è in una condizione di inadempienza, e resta tale fino a quando non viene colmata.
Questo cambia le priorità, non il piano. Tre cose, in quest’ordine:
- Datate il lavoro che fate. Finché il termine era davanti contava arrivarci; adesso conta poter dimostrare quando ogni misura è entrata in funzione. Un registro con le date di attivazione, i verbali, le configurazioni e le delibere dell’organo amministrativo è ciò che distingue un ritardo gestito da un’inadempienza scoperta in sede ispettiva: un’azienda che documenta di aver chiuso il gap a novembre sta in una posizione molto diversa da una che a novembre non sa dire dove sia.
- Tenete in piedi gli obblighi che non scadono. La notifica degli incidenti significativi ad ACN — pre-notifica entro 24 ore e notifica entro 72 ore, con i termini e il loro decorrere spiegati nel runbook dedicato — è un obbligo a sé, e ha una decorrenza propria: nove mesi dalla comunicazione di inserimento per chi è entrato nel 2025, dal 1° gennaio 2027 per chi è entrato nel 2026. Vale ogni giorno, indipendentemente dallo stato delle misure di base. Un incidente non notificato è una contestazione autonoma, e si somma a quella sulle misure. Lo stesso vale per la categorizzazione annuale delle attività e dei servizi, che torna ogni anno.
- Chiudete prima ciò che si verifica dall’esterno. Autenticazione a più fattori, backup con un ripristino provato e verbalizzato, formazione documentata dell’organo amministrativo, elenco dei fornitori rilevanti: sono le misure che un controllo guarda per prime, perché sono quelle in cui una dichiarazione si confronta con un’evidenza in pochi minuti.
Un punto conviene dirlo con precisione, perché cambia il modo di affrontare il ritardo: allo scadere del termine non scatta nessuna sanzione automatica. L’art. 38 presuppone un procedimento — accertamento della violazione, contestazione notificata, e un invito a conformarsi che, se il soggetto adegua la propria condotta nel termine perentorio assegnato, arresta il procedimento sanzionatorio. Per chi è fuori termine è probabilmente l’informazione più utile di tutto l’articolo: una via d’uscita esiste ancora, e passa dal fare le cose, non dal giustificarle.
Non per questo conviene aspettare, e per ragioni precise. La sanzione non è l’esito della vigilanza: è uno dei suoi quattro strumenti, accanto al monitoraggio, alle verifiche e ispezioni e alle misure di esecuzione — quindi non serve un incidente o una segnalazione perché l’Agenzia si muova. E la soglia non è la stessa per tutti: verso i soggetti essenziali le ispezioni, compresi i controlli casuali, possono essere disposte anche ex ante; verso gli importanti servono elementi che suggeriscano possibili violazioni. Restano infine le due ragioni più concrete di tutte: un incidente dopo il termine fa trovare l’inadempienza nel momento peggiore possibile, e il committente che vi chiede evidenze NIS2 in sede di gara non aspetta un’ispezione per decidere.
Non solo scadenza: è gestione continua
La NIS2 non è un adempimento “una tantum” ma un presidio continuo (categorizzazione annuale, aggiornamento delle misure, notifiche in caso di incidente). Per questo molte PMI scelgono di appoggiarsi a un servizio gestito.
Se vuoi arrivare al tuo termine con le misure attive e documentate, la nostra cybersecurity gestita copre gap analysis, implementazione ed evidenze. Il quadro completo degli obblighi 2026 è nel nostro hub compliance NIS2/DORA/AI Act/GDPR. Parliamone: se il vostro termine è già passato, la cosa che conta di più è poter documentare quando avete colmato il gap.
Stato delle informazioni: riverificate il 29 ottobre 2026 sul testo vigente del D.Lgs. 138/2024 (Normattiva e Gazzetta Ufficiale), sulle determinazioni ACN e sulle FAQ NIS dell’Agenzia. Gli articoli citati sono il 7 (registrazione), il 24 (misure, che recepisce l’art. 21 della direttiva UE 2022/2555), il 34 (strumenti della vigilanza), il 36 (verifiche e ispezioni), il 38 (sanzioni e invito a conformarsi) e il 42 comma 1 lettera c) (termine di adeguamento); fra le determinazioni, la 379907/2025 per le specifiche di base e i termini di nove e diciotto mesi, la 155238/2026 per il modello di categorizzazione. Il termine del 31 luglio 2027 per la coorte 2026 è nella FAQ NIS MSB.3 e nella determinazione del direttore generale firmata il 13 aprile 2026.
Due precisazioni che valgono più di una nota. Il termine decorre dalla ricezione della comunicazione di inserimento, non da una data di calendario, quindi non è lo stesso per tutti. E il «31 ottobre 2026» che circola come scadenza delle misure di base non lo è: esiste in un avviso ACN del 23 ottobre 2026, ma come ultimo giorno per le dichiarazioni di registrazione tardiva. Questo articolo è stato corretto su questo punto il 29 ottobre 2026. Su una normativa in attuazione le indicazioni operative possono essere integrate da provvedimenti successivi: prima di prendere decisioni, verificate gli elenchi delle misure e i termini sui documenti pubblicati da ACN.
Domande frequenti
Quando scade il termine NIS2 per le misure di base?
Non a una data uguale per tutti: la determinazione ACN sulle specifiche di base fissa il termine in diciotto mesi dalla ricezione della comunicazione di inserimento nell’elenco dei soggetti NIS, quindi dipende da quando ciascun soggetto è stato inserito. Entro quel termine le misure di sicurezza di base definite dall’Agenzia per la Cybersicurezza Nazionale devono essere attive e documentabili: non è più la fase di registrazione o di categorizzazione, ma quella operativa. ACN ha trasmesso le comunicazioni del primo ciclo «a cavallo del 12 e 13 aprile 2025», quindi per chi è stato inserito nel 2025 i diciotto mesi sono maturati in ottobre 2026 — per molti sono già passati. La data del 31 ottobre, molto citata, è un’altra scadenza: in un avviso ACN del 23 ottobre 2026 è l’ultimo giorno per le dichiarazioni di registrazione tardiva. Per chi è stato inserito per la prima volta nel 2026 il termine è invece una data fissa uguale per tutta la coorte: il 31 luglio 2027.
Quante sono le misure di sicurezza di base richieste?
Sono 37 misure declinate in 87 requisiti per i soggetti importanti, e 43 misure in 116 requisiti per i soggetti essenziali: gli essenziali partono dalle stesse 37 e ne aggiungono 6, per 29 requisiti in più. Gli elenchi sono negli allegati tecnici alla determinazione ACN e sono coerenti con il Framework Nazionale per la Cybersecurity e la Data Protection.
Chi deve fare la formazione richiesta dalla NIS2?
L’art. 23 del D.Lgs. 138/2024 la richiede agli organi di amministrazione e direttivi, non al reparto IT: chi governa l’azienda deve seguire formazione in sicurezza informatica e promuovere la sensibilizzazione del personale. La formazione va inoltre documentata — chi, quando, su quali contenuti — perché su un requisito verificabile una sessione non tracciata equivale a una sessione non svolta.
Quali sono le sanzioni previste dalla NIS2?
Fino a 10 milioni di euro o il 2% del fatturato mondiale annuo per i soggetti essenziali, fino a 7 milioni o l’1,4% per i soggetti importanti, applicando l’importo più elevato. Per una PMI il rischio concreto è però un altro: un rilievo in sede ispettiva, la perdita di una fornitura verso un cliente in perimetro e il costo di rimettersi in regola sotto pressione.
La mia PMI è soggetta alla NIS2?
Dipende da settore, dimensione e ruolo nella filiera. Rientrano molti settori (energia, trasporti, sanità, acqua e rifiuti, infrastrutture digitali, PA, fornitori ICT e manifattura strategica). Attenzione anche all’effetto filiera: anche una PMI non direttamente soggetta può ricevere requisiti contrattuali di sicurezza dai clienti soggetti. In caso di dubbio, una gap analysis chiarisce subito la posizione.
Cosa sono le ‘misure di base’ che devo avere pronte?
In sintesi: gestione del rischio e degli asset, controllo degli accessi con autenticazione a più fattori, backup e continuità operativa, gestione degli incidenti (con le notifiche ad ACN a 24 e 72 ore), sicurezza degli endpoint e della posta, gestione dei fornitori e formazione del personale. Molte si implementano con strumenti Microsoft già in possesso (Defender, Intune, Entra ID, Purview) configurati correttamente.
Siamo fuori termine: cosa si fa adesso?
Se siete stati inseriti nell’elenco nel 2025 il termine dei diciotto mesi è scaduto in ottobre 2026, e il decreto non prevede, a oggi, alcuna proroga né sanatoria: la condizione di inadempienza resta fino a quando non viene colmata. Non scatta però nessuna sanzione automatica alla scadenza: l’art. 38 presuppone un procedimento, con accertamento, contestazione notificata e un invito a conformarsi che, se vi adeguate nel termine assegnato, ferma il procedimento sanzionatorio. Questo cambia le priorità: non «arrivare in tempo» ma documentare con le date il recupero, tenere in piedi gli obblighi che non scadono (prima di tutto la notifica degli incidenti ad ACN) e chiudere per prime le misure che si verificano dall’esterno. Un piano a 90 giorni ben gestito (gap analysis → priorità → implementazione → evidenze) resta realistico per una PMI, soprattutto partendo da una baseline Microsoft già presente. La cosa da evitare è non avere evidenze documentali.