Con la NIS2 il 2026 procede per tappe. La finestra di categorizzazione delle attività e dei servizi sulla piattaforma ACN si è chiusa a fine giugno 2026; il prossimo appuntamento — quello operativo — è fissato al 31 ottobre 2026: entro tale data i soggetti nel perimetro (essenziali e importanti) devono aver implementato le misure di sicurezza di base definite dall’Agenzia per la Cybersicurezza Nazionale.
Non è più “registrarsi” o “classificarsi”: è avere le misure attive e dimostrabili. Ed è qui che molte PMI arrivano impreparate.
C’è un aspetto di quella data che viene raccontato male quasi sempre: non è una scadenza di calendario scritta nella norma. La determinazione ACN sulle specifiche di base fissa il termine in diciotto mesi dalla ricezione, da parte del soggetto NIS, della comunicazione di inserimento nell’elenco — e in nove mesi, dalla stessa comunicazione, il termine per l’obbligo di notifica degli incidenti significativi. Il 31 ottobre 2026 è la conseguenza di quel conteggio per i soggetti inseriti nel 2025: chi è stato inserito per la prima volta nel 2026 ha termini propri, fissati dalla Determinazione ACN 127434/2026.
La conseguenza pratica è che la domanda giusta non è «quando scade» ma «quando è arrivata la nostra comunicazione di inserimento»: senza quella data nessun calendario generico dice se siete in ritardo.
Una premessa, perché in giro si legge di tutto
La NIS2 non riguarda tutte le aziende italiane. Riguarda i soggetti essenziali e importanti individuati dal decreto, cioè un perimetro definito per settore, dimensione e ruolo. Se qualcuno vi dice che siete obbligati senza avervi prima chiesto in quale settore operate e quanto fatturate, non vi sta informando: vi sta vendendo qualcosa.
Vale però anche il contrario, e vale la pena dirlo con la stessa chiarezza: essere fuori dal perimetro non significa essere fuori dagli effetti. Chi fornisce un soggetto in perimetro riceve richieste contrattuali di sicurezza a cascata — è il tema dell’effetto filiera per le PMI non direttamente soggette.
Quante sono, esattamente, le misure
Le determinazioni ACN non chiedono “misure adeguate” in astratto: le elencano, e in numero preciso.
| Categoria di soggetto | Misure | Requisiti |
|---|---|---|
| Importanti | 37 | 87 |
| Essenziali | 43 | 116 |
I soggetti essenziali partono dalle stesse 37 misure degli importanti e ne aggiungono 6, per 29 requisiti in più. Le misure sono raccolte negli allegati tecnici alla determinazione — l’Allegato 1 per gli importanti, l’Allegato 2 per gli essenziali — e sono sviluppate in coerenza con il Framework Nazionale per la Cybersecurity e la Data Protection.
Il numero conta per una ragione pratica: trasforma “essere conformi” da giudizio in verifica. Ogni requisito è un punto su cui rispondere sì o no, con un’evidenza. È anche il motivo per cui una gap analysis fatta a occhio non serve: sono 87 o 116 punti, non un’impressione generale.
Cosa significa “misure di base”
L’insieme richiesto è coerente con l’art. 24 della direttiva e con le determinazioni ACN. In pratica, per una PMI, si traduce in:
- Gestione del rischio e degli asset — sapere cosa si ha (IT e, dove presente, OT) e quali rischi corre.
- Controllo degli accessi + MFA — autenticazione a più fattori su tutti gli account, privilegi minimi.
- Backup e continuità — copie testate, piano di ripristino, resilienza.
- Gestione degli incidenti — procedura e capacità di notifica ad ACN entro 24 e 72 ore (ne abbiamo fatto un runbook operativo).
- Sicurezza di endpoint e posta — protezione, hardening, anti-phishing.
- Gestione fornitori e formazione — sicurezza nella filiera e consapevolezza del personale.
La buona notizia: gran parte di queste misure si realizza con strumenti Microsoft che molte PMI hanno già — Microsoft Defender, Intune, Entra ID, Purview — configurati correttamente. Il divario, quasi sempre, non è di licenze ma di configurazione ed evidenze.
Le due misure su cui quasi tutti sono indietro (e non sono tecniche)
Fra i requisiti ce ne sono due che non si comprano, non si configurano in una settimana e non lasciano traccia se non le si documenta. Sono anche quelle che a ottobre risulteranno mancanti più spesso.
La formazione dei vertici, non dell’IT
L’art. 23 del D.Lgs. 138/2024 stabilisce che gli organi di amministrazione e direttivi devono seguire formazione in materia di sicurezza informatica, e devono promuovere la sensibilizzazione del personale. Il soggetto dell’obbligo non è il reparto IT: è chi governa l’azienda.
È un punto che passa inosservato perché contro-intuitivo. In molte PMI la sicurezza è delegata per intero a chi la gestisce tecnicamente, e la formazione viene erogata a chi già la conosce. Qui la norma chiede l’opposto: che chi decide i budget e approva i rischi sappia di cosa sta decidendo.
La domanda operativa da porsi non è “abbiamo fatto formazione”, ma: esiste un documento che attesta chi l’ha fatta, quando, su quali contenuti? Una sessione tenuta senza registro non è dimostrabile, e su un requisito verificabile “non dimostrabile” e “non fatto” coincidono.
Su questo punto abbiamo scritto una guida a sé: cosa deve contenere la formazione per gli amministratori e come si documenta, inclusi i quattro obblighi dell’art. 23 e le evidenze che servono in caso di ispezione.
La mappa dei fornitori rilevanti
L’art. 24 include fra le misure minime la sicurezza della catena di approvvigionamento, e le determinazioni ACN chiedono di mappare e classificare i fornitori critici. Tradotto in pratica: sapere chi accede ai vostri sistemi, con quali privilegi, con quali garanzie contrattuali, e cosa accade se uno di loro subisce un incidente.
È il lavoro che nessuno vuole fare, perché non si vede, non si acquista in un giorno e obbliga a chiedere in giro — ai fornitori stessi, che spesso non hanno la risposta pronta. Ed è simmetrico: se siete voi il fornitore di un soggetto in perimetro, prima o poi il questionario arriva a voi. Un punto di partenza concreto è l’inventario degli asset IT, da cui l’elenco degli accessi di terzi si ricava.
Cosa si rischia
Le sanzioni sono commisurate alla categoria e sono di ordine di grandezza tale da non essere assorbibili:
| Massimo | |
|---|---|
| Soggetti essenziali | 10 milioni di euro o il 2% del fatturato mondiale annuo |
| Soggetti importanti | 7 milioni di euro o l’1,4% del fatturato mondiale |
Si applica l’importo più elevato fra i due. Va però tenuto presente che il rischio realistico per una PMI non è la sanzione massima: è la combinazione fra un rilievo ispettivo, la perdita di una fornitura verso un cliente in perimetro e il costo di rimettersi in regola sotto pressione.
Cosa fare adesso (piano a 90 giorni)
- Gap analysis — dove sei rispetto alle misure di base. Puoi partire dal nostro strumento gratuito di autovalutazione NIS2 per una prima fotografia.
- Prioritizzazione — chiudi prima le lacune ad alto rischio (MFA mancante, backup non testati, nessun piano incidenti).
- Implementazione — attiva/configura le misure, sfruttando la baseline Microsoft (vedi la checklist di hardening del tenant).
- Evidenze documentali — la parte che tutti sottovalutano: policy, registri, log, verbali. In caso di controllo, contano quanto le misure stesse.
Tre domande per capire dove siete
Prima di qualsiasi piano, queste tre risposte dicono già quasi tutto:
- Sapete con certezza se la vostra azienda è nel perimetro NIS? Non “credo di sì” o “il consulente aveva detto”: la categorizzazione sulla piattaforma ACN è un fatto verificabile.
- I vertici hanno fatto formazione documentata, o la si è data per scontata perché “sono persone attente”?
- Esiste un elenco aggiornato dei fornitori che accedono ai vostri sistemi, con il livello di accesso di ciascuno?
Se anche una sola risposta è no, il tempo utile è quello che separa oggi dal 31 ottobre — e le due lacune non tecniche sono proprio quelle che richiedono più calendario, non più budget.
Non solo scadenza: è gestione continua
La NIS2 non è un adempimento “una tantum” ma un presidio continuo (categorizzazione annuale, aggiornamento delle misure, notifiche in caso di incidente). Per questo molte PMI scelgono di appoggiarsi a un servizio gestito.
Se vuoi arrivare al 31 ottobre con le misure attive e documentate, la nostra cybersecurity gestita copre gap analysis, implementazione ed evidenze. Il quadro completo degli obblighi 2026 è nel nostro hub compliance NIS2/DORA/AI Act/GDPR. Parliamone finché c’è margine.
Stato delle informazioni: aggiornate l’11 agosto 2026. I riferimenti normativi citati sono il D.Lgs. 138/2024 e le determinazioni ACN, inclusi i termini di nove e diciotto mesi dalla comunicazione di inserimento fissati dalle determinazioni ACN sulle specifiche di base. Su una normativa in attuazione le indicazioni operative possono essere integrate da provvedimenti successivi: prima di prendere decisioni, verificate gli elenchi delle misure e le scadenze sui documenti pubblicati da ACN.