News - 15/09/2026

NIS2: i soggetti inseriti nell’elenco NIS nel 2025 devono completare le misure di sicurezza di base entro ottobre 2026

Una delle principali scadenze della fase di prima applicazione cade a ottobre 2026

Entro diciotto mesi dalla ricezione della comunicazione di inserimento nell’elenco devono essere adottate le misure di sicurezza di base previste dal D.Lgs. 4 settembre 2024, n. 138 e specificate dalla Determinazione ACN n. 379907 del 19 dicembre 2025. Per la platea 2025 il termine cade, in concreto, nell’ottobre 2026, fermo restando che ciascun soggetto deve verificare la propria data puntuale sulla comunicazione ricevuta dall’ACN.

In sintesi, per i Soggetti importanti: 37 misure e 87 requisiti;  Soggetti essenziali: 43 misure e 116 requisiti. L’adempimento coinvolge direttamente gli organi di amministrazione e direttivi e richiede non soltanto presidi tecnici, ma anche governance, documentazione, approvazioni, formazione ed evidenze verificabili.

1. Dalla registrazione all’effettiva implementazione della sicurezza

La scadenza delle misure di sicurezza segna un passaggio sostanziale nell’attuazione della NIS2. La registrazione e l’aggiornamento annuale consentono di individuare e mantenere aggiornata la platea dei soggetti sottoposti alla disciplina; gli obblighi di notifica assicurano la tempestiva gestione degli incidenti significativi; le misure di cui agli articoli 23 e 24 del Decreto NIS incidono invece direttamente sull’organizzazione e sul livello di sicurezza dei sistemi informativi e di rete.

L’articolo 24 del D.Lgs. n. 138/2024 impone ai soggetti essenziali e importanti di adottare misure tecniche, operative e organizzative adeguate e proporzionate per gestire i rischi posti alla sicurezza dei sistemi informativi e di rete utilizzati nelle attività o nella fornitura dei servizi e per prevenire o ridurre al minimo l’impatto degli incidenti.

2. Le specifiche di base definite dall’ACN

Le specifiche applicabili sono contenute nella Determinazione del Direttore generale ACN n. 379907 del 19 dicembre 2025, recante le specifiche di base per l’adempimento agli obblighi di cui agli articoli 23, 24, 25, 29 e 32 del Decreto NIS. Il provvedimento distingue il livello applicabile in funzione della qualificazione del soggetto.

• Allegato 1 – soggetti importanti: 37 misure di sicurezza articolate in 87 requisiti.
• Allegato 2 – soggetti essenziali: 43 misure di sicurezza articolate in 116 requisiti.

Le misure coprono l’intero ciclo di governo del rischio cyber: governance e responsabilità, valutazione e trattamento del rischio, gestione degli asset, sicurezza della catena di approvvigionamento, gestione delle vulnerabilità, controllo degli accessi, protezione e monitoraggio, continuità operativa, backup e ripristino, gestione degli incidenti e formazione. Ne deriva un modello che non può essere ridotto a un adeguamento dell’infrastruttura IT: il soggetto deve poter dimostrare un sistema organizzato, documentato e verificabile.

3. Il ruolo degli organi di amministrazione e direttivi

La NIS2 attribuisce al vertice dell’organizzazione un ruolo diretto. Ai sensi dell’articolo 23, comma 1, del D.Lgs. n. 138/2024, gli organi di amministrazione e direttivi approvano le modalità di implementazione delle misure di gestione dei rischi per la sicurezza informatica, sovrintendono alla loro attuazione e sono responsabili delle violazioni del decreto.

Il comma 2 prevede inoltre l’obbligo di formazione dei componenti degli organi e richiede che questi promuovano un’offerta periodica di formazione coerente con quanto previsto dal decreto. Il comma 3 impone che gli organi siano informati periodicamente e, ove opportuno, tempestivamente sugli incidenti e sulle notifiche effettuate. La cybersicurezza viene così collocata nel sistema di governo dell’impresa e non può essere affidata esclusivamente alla funzione IT.

4. Documenti, approvazioni ed evidenze

L’attuazione delle misure richiede la predisposizione e l’aggiornamento di un sistema documentale coerente con i requisiti applicabili. Assumono rilievo, tra l’altro, l’organizzazione della sicurezza informatica, le politiche di sicurezza, la valutazione e il trattamento dei rischi, le procedure di gestione degli incidenti e delle vulnerabilità, i processi relativi alla supply chain, la continuità operativa e il disaster recovery.

Particolare attenzione deve essere riservata agli atti per i quali le specifiche richiedono un coinvolgimento del vertice. Non è sufficiente che una misura tecnica risulti materialmente presente: occorre poter ricostruire responsabilità, decisioni, approvazioni, verifiche e risultati, conservando evidenze idonee a dimostrare l’effettività del presidio in sede di vigilanza.

5. La categorizzazione e il passaggio verso misure proporzionate alla rilevanza

Il quadro attuativo si è ulteriormente sviluppato nel 2026. La Determinazione ACN n. 155238 del 13 aprile 2026 ha definito categorie di rilevanza, processo, modalità e criteri per l’elencazione, la caratterizzazione e la categorizzazione delle attività e dei servizi. La Determinazione ACN n. 127437/2026 ha previsto che, dal 1° maggio al 30 giugno di ogni anno, i soggetti NIS comunichino e aggiornino tramite il Portale ACN l’elenco categorizzato delle attività e dei servizi.

La categorizzazione svolta nel 2026 costituisce quindi un passaggio ulteriore rispetto alle misure di base e consente di graduare il sistema di sicurezza in funzione della rilevanza delle attività e dei servizi. È preferibile, allo stato, parlare di ulteriori misure o misure di lungo termine proporzionate alla rilevanza, senza attribuire una specifica data di emanazione in assenza di un termine ufficiale già definito.

6. Il regime sanzionatorio

L’articolo 38 del D.Lgs. n. 138/2024 prevede, per le violazioni degli obblighi richiamati dal decreto, un regime sanzionatorio particolarmente significativo. Per i soggetti essenziali diversi dalle pubbliche amministrazioni, le sanzioni possono arrivare fino a 10 milioni di euro o, se superiore, al 2% del totale del fatturato annuo su scala mondiale relativo all’esercizio precedente. Per i soggetti importanti diversi dalle pubbliche amministrazioni, il limite è pari a 7 milioni di euro o, se superiore, all’1,4% del fatturato annuo mondiale. Per le pubbliche amministrazioni il decreto prevede una disciplina sanzionatoria specifica.

Il sistema di responsabilità deve essere letto insieme all’articolo 23, che attribuisce agli organi di amministrazione e direttivi compiti espressi di approvazione e supervisione. La scadenza delle misure di base assume pertanto rilievo non soltanto sul piano tecnico, ma anche sul piano della governance e della responsabilità degli organi.

7. Le verifiche da completare entro la scadenza

• verificare la data esatta del termine applicabile, calcolata sulla base della comunicazione ACN di inserimento nell’elenco NIS;
• completare la gap analysis rispetto all’Allegato 1 o all’Allegato 2 applicabile;
• chiudere gli interventi tecnici, organizzativi e procedurali ancora aperti;
• verificare l’esistenza, l’aggiornamento e la coerenza della documentazione richiesta;
• assicurare le approvazioni degli organi di amministrazione e direttivi previste dalla disciplina e dalle specifiche applicabili;
• conservare evidenze verificabili dell’effettiva implementazione delle misure;
• verificare i processi relativi a fornitori e supply chain e il raccordo con l’elenco dei fornitori rilevanti NIS;
• completare formazione, flussi informativi e meccanismi di supervisione del vertice;
• verificare il raccordo tra misure di sicurezza, rilevazione degli eventi e processo di notifica degli incidenti significativi.

Per i soggetti della prima platea NIS, l’ottobre 2026 rappresenta pertanto un passaggio dalla fase di costruzione del sistema alla sua piena operatività. La priorità è arrivare al termine con misure non soltanto dichiarate o pianificate, ma concretamente implementate, approvate ove necessario e supportate da evidenze.

Fonti e riferimenti

• Direttiva (UE) 2022/2555 (NIS2) – EUR-Lex, testo ufficiale in italiano
• D.Lgs. 4 settembre 2024, n. 138 – Normattiva
• Determinazione ACN n. 379907/2025 – specifiche di base per gli artt. 23, 24, 25, 29 e 32 del Decreto NIS (pagina documentale)
• Determinazione ACN n. 155238/2026 – categorizzazione di attività e servizi (pagina con documento e Allegati)
• Determinazione ACN n. 127437/2026 – piattaforma, aggiornamento informazioni, fornitori rilevanti e categorizzazione
• Art. 20 Determinazione ACN n. 127437/2026 – processo per l’elencazione e la categorizzazione
• Determinazioni ACN di aprile 2026 – quadro degli adempimenti per i nuovi soggetti NIS