Ottobre 2026 ha chiuso la finestra di adeguamento per la prima tornata di soggetti NIS, quella che ha ricevuto la comunicazione di inserimento nell’elenco nella primavera del 2025. Da quella comunicazione decorrevano i 18 mesi previsti per adottare le misure di sicurezza di base NIS2: scaduto quel termine, l’Agenzia per la Cybersicurezza Nazionale può avviare le verifiche.
Il contenuto degli obblighi è lo stesso da mesi. A cambiare è il modo in cui vengono valutati: da adesso devono reggere il confronto con una verifica, e un documento di intenzioni non basta.
Da cosa dipende la data e quando ACN può verificare
Il termine non è uguale per tutti. Le comunicazioni di inserimento sono partite a metà aprile 2025 e sono proseguite nelle settimane successive, quindi la data esatta è quella che risulta dalla propria comunicazione. Chi è stato inserito nell’elenco nel 2026 segue un calendario diverso, con il termine per le misure di base fissato a luglio 2027.
Il riferimento tecnico è la Determinazione ACN n. 379907/2025, applicabile dal 15 gennaio 2026, che ha sostituito la precedente Determinazione n. 164179 del 14 aprile 2025. Vale la pena verificarlo, perché molto materiale ancora in circolazione cita il testo superato: i soggetti importanti rispondono all’allegato 1, con 37 misure articolate in 87 requisiti, i soggetti essenziali all’allegato 2, con 43 misure e 116 requisiti.
La vigilanza funziona in modo diverso per le due categorie
Sui soggetti essenziali l’Agenzia può intervenire in via preventiva, con attività di controllo che non richiedono un fatto scatenante. Sui soggetti importanti l’intervento è successivo, legato a segnalazioni, incidenti o elementi che facciano ritenere che gli obblighi non siano rispettati.
Sul fronte sanzionatorio il decreto prevede massimali fino a 10 milioni di euro o al 2% del fatturato annuo mondiale per i soggetti essenziali, e fino a 7 milioni o all’1,4% per quelli importanti. Sono i massimali previsti dalla norma, non una previsione di quello che accadrà: servono a dare l’idea di quanto la materia sia considerata seria. Va detto che l’Agenzia ha costruito tutto il percorso di questi due anni sull’accompagnamento dei soggetti coinvolti, e che la fase di verifica serve prima di tutto a fotografare lo stato reale dell’attuazione.
Cosa rende una misura dimostrabile
Qui si concentra la parte di lavoro che molte organizzazioni scoprono in ritardo. Una misura di sicurezza può essere perfettamente descritta in una procedura approvata, firmata e archiviata, e risultare comunque non verificabile. Serve la traccia di quello che è stato fatto, non solo la descrizione di quello che si intende fare.
La differenza si vede meglio su casi reali.
Sugli accessi, il documento che stabilisce l’uso dell’autenticazione a più fattori descrive una regola. L’estrazione che mostra quali utenze la usano davvero, comprese quelle amministrative e quelle dei fornitori esterni, dimostra che la regola è attiva.
Sulle vulnerabilità, la policy che prevede scansioni periodiche vale poco da sola. I report delle scansioni, con le vulnerabilità rilevate, quelle corrette, i tempi impiegati e le decisioni prese su quelle rimaste aperte, raccontano un processo che esiste.
Sui backup, l’elenco dei salvataggi pianificati dice che i dati vengono copiati. Il registro dei test di ripristino, con data, perimetro, esito e responsabile, dice che quei dati tornano indietro.
Sugli incidenti, la procedura di gestione descrive chi fa cosa. Il registro degli incidenti trattati, anche di quelli chiusi senza conseguenze, dimostra che la procedura viene usata.
Nella maggior parte delle aziende queste tracce esistono già, sparse tra ticket dell’helpdesk, console di gestione, report dei sistemi di monitoraggio e caselle di posta. Raramente il problema è produrle: più spesso è raccoglierle in un punto solo, datarle e sapere chi può recuperarle nel momento in cui servono. Un’evidenza che nessuno sa dove sia stata archiviata, in sede di verifica, equivale a un’evidenza che non c’è.
La formazione dei dipendenti è la misura che si verifica per prima
Tra le misure di base, la formazione del personale occupa una posizione particolare. Rientra nella funzione di protezione insieme alla gestione delle identità e alla sicurezza dei dati, e il decreto la estende anche agli organi di amministrazione e direttivi, che rispondono in prima persona dell’adeguatezza delle misure adottate.
Il motivo per cui finisce subito sotto esame è operativo: la formazione è l’unica misura che attraversa l’intera organizzazione, dall’amministrazione al magazzino, e non si può delegare a un fornitore né risolvere con un acquisto. In compenso produce evidenze semplici da raccogliere e da esibire, perché il piano formativo con destinatari e contenuti, i registri di partecipazione, le date, gli esiti dei test, i risultati delle simulazioni di phishing e le azioni prese su chi è rimasto indietro esistono già in forma documentale.
C’è anche una ragione meno formale, e riguarda quanto lo stato della formazione riveli in poco tempo sul livello di maturità di un’organizzazione. Dove si è svolta una sessione generica tre anni fa e da allora non si è più misurato niente, difficilmente gli altri fronti saranno gestiti meglio; dove invece le persone vengono formate con continuità, i risultati vengono misurati e qualcuno interviene sui casi critici, di solito è stato costruito anche il resto.
Dal punto di vista della sicurezza, poi, resta il fatto che la quota più rilevante degli incidenti nasce da un comportamento umano: un allegato aperto, una credenziale inserita sulla pagina sbagliata, una richiesta di pagamento eseguita senza verifica. Formare le persone è la misura che incide su quella quota, e il registro che la documenta è anche la prova che l’azienda se ne sta occupando.
Quando la NIS2 arriva dai clienti
Tra le aree coperte dalle misure di base c’è anche la sicurezza della catena di fornitura, che obbliga un soggetto NIS a dimostrare con quali criteri valuta e controlla chi gli fornisce beni e servizi. Il modo più diretto per farlo è rivolgersi a loro.
Da qui arrivano i questionari di sicurezza che molte PMI si trovano a compilare, le clausole aggiunte in fase di rinnovo contrattuale, le richieste di dichiarare come vengono gestiti accessi, backup e incidenti. Chi fornisce servizi, componenti o software a un’azienda in elenco entra nel perimetro per via indiretta, anche restando fuori dall’ambito di applicazione della normativa.
Per queste realtà non c’è un obbligo di legge da rispettare, ma c’è un requisito commerciale che pesa sul rinnovo di una fornitura. Arrivare preparati a quelle richieste è diventato parte del lavoro di chi vende a imprese strutturate.
Le misure rafforzate: cosa si sa oggi
Il 18 settembre 2026 ACN ha avviato con i tavoli settoriali la consultazione sulle misure di sicurezza rafforzate, destinate a integrare e sostituire quelle di base adottate nella prima fase di applicazione del decreto. Saranno modulate secondo criteri di proporzionalità e gradualità, in relazione alla categoria di rilevanza assegnata a ciascun soggetto.
Allo stato attuale non esiste un testo definitivo e non è stata indicata una data di applicazione. Chiunque sostenga il contrario sta anticipando qualcosa che l’Agenzia non ha ancora pubblicato.
La conseguenza operativa è però già chiara: l’adeguamento appena completato non va archiviato come un capitolo chiuso. Tenere versionate e datate le politiche, le valutazioni del rischio e le evidenze raccolte significa poter costruire sopra quello che già esiste quando le misure rafforzate arriveranno, invece di ricominciare a leggere tutto da capo.
Il lavoro che comincia adesso
Con la scadenza di ottobre si è chiusa la fase in cui era sufficiente dimostrare di aver avviato il percorso di adeguamento. Da qui in avanti la NIS2 somiglia meno a un progetto con una data di consegna e più a un modo di lavorare: misure che restano attive nel tempo, evidenze che si accumulano mentre le attività vengono svolte, formazione che non si esaurisce in una sessione.
In EasytechGroup seguiamo le aziende su questo percorso con servizi di security awareness, vulnerability assessment, gestione dei backup e monitoraggio continuo, affiancando chi deve mantenere le misure nel tempo e raccogliere ordinatamente le evidenze che le documentano.
Se vuoi capire a che punto è la tua organizzazione, contattaci.