Contatti Sedi

Bacheca | Login

L'impresa al centro
Benvenuti

Legale d'impresa

Condividi Aggiungi ai preferiti Stampa Pdf

News - 15/09/2026

NIS2: pubblicato il Vademecum ACN con adempimenti, scadenze e indicazioni operative per i soggetti NIS

La prima scadenza riguarda i soggetti inseriti nell’elenco NIS nel 2025, chiamati a completare entro il prossimo ottobre l’attuazione delle misure di sicurezza di base. Dal 1° gennaio 2027 si aprirà invece la nuova finestra annuale di registrazione

L’Agenzia per la Cybersicurezza Nazionale (ACN) ha reso disponibile il Vademecum NIS, documento che raccoglie le principali indicazioni di carattere generale sugli adempimenti previsti dal decreto legislativo 4 settembre 2024, n. 138, di recepimento della direttiva (UE) 2022/2555 (NIS2), sulle relative scadenze e su alcuni specifici passaggi del percorso di attuazione.

Il documento assume particolare rilievo nell’attuale fase di applicazione della disciplina. Dopo la registrazione, l’inserimento nell’elenco dei soggetti NIS, l’aggiornamento delle informazioni e la categorizzazione delle attività e dei servizi, per i soggetti entrati nell’elenco nel 2025 si avvicina infatti il termine per la completa attuazione delle misure di sicurezza di base.

Il Vademecum consente quindi di leggere unitariamente un sistema di adempimenti che non deve essere considerato come una successione di comunicazioni amministrative indipendenti, ma come un processo continuativo di gestione del rischio cyber e di interlocuzione tra i soggetti regolati e ACN.

La scadenza di ottobre 2026 e l'attuazione delle misure di sicurezza di base

La scadenza temporalmente più vicina riguarda i soggetti NIS inseriti per la prima volta nell’elenco nel corso del 2025.

La Determinazione ACN n. 379907 del 19 dicembre 2025, che ha aggiornato e sostituito la precedente Determinazione n. 164179 del 14 aprile 2025, disciplina le modalità e le specifiche di base per l’adempimento degli obblighi previsti dagli articoli 23, 24, 25, 29 e 32 del D.Lgs. n. 138/2024.

In particolare, per i soggetti della prima annualità il termine per l’adozione delle misure di sicurezza di base è stato fissato in 18 mesi dalla ricezione della comunicazione di inserimento nell’elenco dei soggetti NIS.

Per la maggior parte dei soggetti inseriti nell’elenco nel 2025 tale termine cade pertanto nel corso del mese di ottobre 2026.

È opportuno sottolineare che ottobre non costituisce, tecnicamente, una scadenza unica e indistinta per tutti: ciascuna organizzazione deve verificare la data di ricezione della propria comunicazione di inserimento nell’elenco NIS e calcolare da questa il termine dei diciotto mesi.

Le misure di sicurezza sono differenziate in funzione della qualificazione del soggetto:

i soggetti importanti devono attuare le misure previste dall’Allegato 1 alla Determinazione ACN n. 379907/2025;
i soggetti essenziali devono attuare quelle previste dall’Allegato 2.

Le specifiche sono costruite sulla base del Framework Nazionale per la Cybersecurity e la Data Protection – edizione 2025 e comprendono misure organizzative, procedurali e tecniche.

Non si tratta, pertanto, del semplice aggiornamento della documentazione aziendale. L’adeguamento richiede, tra l’altro, che siano effettivamente definiti e documentati il sistema di governo della sicurezza informatica, la gestione del rischio, gli inventari degli asset e dei servizi, le politiche e procedure di sicurezza, la gestione delle vulnerabilità e degli incidenti, la continuità operativa, la sicurezza della supply chain, la formazione e le misure tecniche richieste dalle specifiche ACN.

Per le imprese interessate la scadenza di ottobre rappresenta quindi il passaggio dalla fase prevalentemente ricognitiva della NIS2 alla dimostrabilità dell’effettiva attuazione del sistema di gestione della cybersicurezza.

Dal 1° gennaio 2027 decorre la nuova registrazione annuale

Il Vademecum richiama inoltre la prossima finestra annuale di registrazione.

Ai sensi dell’articolo 7 del D.Lgs. n. 138/2024, la registrazione sulla piattaforma digitale NIS non costituisce un adempimento effettuato una tantum.

Dal 1° gennaio al 28 febbraio di ogni anno i soggetti rientranti nel campo di applicazione della disciplina devono effettuare o aggiornare la registrazione attraverso il Portale dei servizi di ACN, secondo le modalità previste dall’Agenzia.

La prossima finestra sarà pertanto quella compresa tra il 1° gennaio e il 28 febbraio 2027.

La registrazione rappresenta il primo passaggio attraverso il quale l’organizzazione entra formalmente nella constituency dei soggetti NIS, consentendo l’avvio e il mantenimento del rapporto con l’Autorità nazionale competente NIS.

La funzione dell’adempimento non si esaurisce quindi nell’individuazione dei soggetti sottoposti alla disciplina. L’inserimento nel sistema NIS consente anche di accedere alle attività di supporto svolte da ACN e CSIRT Italia, secondo un modello che l’Agenzia riconduce a una logica di regolazione partecipata e compliance cooperativa.

L’aggiornamento delle informazioni

Un ulteriore focus del Vademecum riguarda l’aggiornamento delle informazioni comunicate ad ACN.

Il sistema previsto dal decreto NIS presuppone infatti che le informazioni disponibili all’Autorità non rimangano cristallizzate al momento della prima registrazione.

Attraverso l’aggiornamento, il soggetto NIS condivide con ACN le informazioni previste dalla disciplina, consentendo all’Autorità di disporre di una rappresentazione aggiornata dei soggetti regolati, delle loro caratteristiche e della loro esposizione al rischio.

L’adempimento assume una rilevanza che supera la dimensione della singola organizzazione.

Le informazioni raccolte concorrono infatti a migliorare la capacità di ACN di effettuare analisi a livello nazionale, anche in relazione alla rilevanza sistemica della catena di approvvigionamento e alle interdipendenze tra soggetti, servizi e fornitori.

La disciplina NIS2 adotta, sotto questo profilo, una prospettiva che non considera più la sicurezza informatica della singola impresa come un fenomeno isolato: la vulnerabilità di un’organizzazione o di un fornitore può propagarsi lungo la supply chain e produrre conseguenze su servizi e soggetti ulteriori.

La qualità e l’aggiornamento delle informazioni trasmesse diventano pertanto parte del sistema complessivo di conoscenza e prevenzione del rischio cyber nazionale.

La categorizzazione delle attività e dei servizi

Il Vademecum dedica specifica attenzione anche alla categorizzazione delle attività e dei servizi, uno dei passaggi più significativi del modello italiano di attuazione della NIS2.

Attraverso la categorizzazione il soggetto NIS effettua, secondo il modello definito da ACN, una analisi di impatto semplificata delle proprie attività e dei propri servizi e ne condivide gli esiti con l’Agenzia.

L’obiettivo è individuare il livello di rilevanza delle attività e dei servizi effettivamente erogati e consentire una applicazione degli obblighi di sicurezza coerente con il principio di proporzionalità.

La categorizzazione non deve quindi essere interpretata come un ulteriore censimento formale.

Essa costituisce il collegamento tra:

attività e servizi → impatto → sistemi e risorse che li supportano → rischio → misure di sicurezza.

È attraverso questa sequenza che la disciplina tende progressivamente ad abbandonare una logica uniforme di compliance per costruire un modello nel quale le misure richieste siano commisurate alla rilevanza effettiva dei servizi e ai rischi associati.

La categorizzazione assume inoltre particolare importanza per la successiva individuazione del perimetro dei sistemi informativi e di rete, degli asset, dei dati, delle persone e dei fornitori necessari all’erogazione delle attività e dei servizi rilevanti.

Registrazione e governance continuativa del rischio cyber

La lettura complessiva del Vademecum evidenzia un elemento particolarmente importante per le imprese.

La disciplina NIS non si esaurisce in una sequenza annuale di scadenze – registrazione, aggiornamento, categorizzazione, notifiche e misure di sicurezza – ma tende a costruire un ciclo permanente di governo della cybersicurezza.

Registrazione, aggiornamento delle informazioni e categorizzazione svolgono infatti funzioni differenti ma complementari.

La registrazione identifica il soggetto e lo inserisce nel sistema NIS.

L’aggiornamento mantiene allineata nel tempo la rappresentazione dell’organizzazione e delle informazioni rilevanti.

La categorizzazione permette di valutare l’importanza delle attività e dei servizi e costituisce uno degli elementi attraverso i quali applicare concretamente il principio di proporzionalità.

Le misure di sicurezza, infine, traducono questa conoscenza in presidi organizzativi e tecnici concretamente verificabili.

Ne deriva un modello nel quale l’adempimento non può essere affidato esclusivamente alla funzione IT o alla produzione di documentazione formale. La NIS2 richiede il coinvolgimento degli organi di amministrazione e direttivi, chiamati dall’articolo 23 del D.Lgs. n. 138/2024 ad approvare le modalità di implementazione delle misure di gestione dei rischi per la sicurezza informatica, a sovrintendere alla loro attuazione e ad adempiere agli specifici obblighi formativi previsti dalla disciplina.

Le prossime attività per le imprese

In vista della scadenza di ottobre, i soggetti inseriti nell’elenco NIS nel 2025 dovrebbero quindi verificare prioritariamente la data esatta della propria comunicazione di inserimento, dalla quale decorrono i diciotto mesi, e completare la gap analysis rispetto alle misure previste dalla Determinazione ACN n. 379907/2025.

Particolare attenzione deve essere riservata non soltanto all’esistenza delle policy e delle procedure richieste, ma alla possibilità di fornire evidenze dell’effettiva implementazione delle misure.

Parallelamente, le organizzazioni dovranno mantenere aggiornate le informazioni comunicate all’Autorità e presidiare gli eventuali cambiamenti intervenuti nelle attività, nei servizi, nei sistemi e nella catena dei fornitori.

Dal 1° gennaio 2027 inizierà quindi il nuovo ciclo annuale, con l’apertura della finestra di registrazione che si concluderà il 28 febbraio 2027.

Il Vademecum costituisce, in questo quadro, uno strumento di orientamento utile per ricondurre i diversi adempimenti a una visione unitaria: la NIS2 sta progressivamente trasformando la cybersicurezza da insieme di obblighi prevalentemente tecnici in un processo continuativo di governance, gestione del rischio e resilienza dell’organizzazione e della sua catena di approvvigionamento.

Riferimenti e fonti