Per le organizzazioni inserite nel 2025 nell’elenco dei soggetti NIS, ottobre 2026 è il mese in cui scade il termine per adottare le misure di sicurezza di base. Il percorso di adeguamento previsto dal D.Lgs. 138/2024, il decreto che recepisce in Italia la direttiva europea NIS2, prosegue però con altre scadenze già fissate dall’Agenzia per la cybersicurezza nazionale (ACN) per tutto il 2027.
Il termine è di 18 mesi dalla comunicazione individuale con cui l’ACN ha confermato l’inserimento nell’elenco, inviata a partire da metà aprile 2025. Per la maggior parte dei soggetti la scadenza cade quindi a fine ottobre 2026, ma il riferimento corretto resta la data della propria comunicazione.
Le misure di base sono definite dalla determinazione ACN n. 379907/2025, che si richiama al Framework nazionale per la cybersecurity e la data protection. I requisiti cambiano a seconda che l’organizzazione sia classificata come soggetto importante o come soggetto essenziale.
Gli ambiti coperti vanno dall’analisi dei rischi alla gestione degli incidenti, dalla continuità operativa alla sicurezza della catena di fornitura, fino al controllo degli accessi, all’autenticazione a più fattori e alla formazione. Una panoramica operativa è nella checklist pratica NIS2 pubblicata a settembre.
Cosa succede dopo la scadenza?
Superato il termine, le misure diventano oggetto delle attività di verifica e vigilanza dell’ACN. Per le organizzazioni il lavoro non si chiude con l’adozione: la NIS2 chiede un presidio continuativo, fatto di revisione periodica dell’efficacia delle misure e di formazione per gli organi di vertice e per il personale.
Anche i dati comunicati all’ACN vanno tenuti aggiornati. L’articolo 7 del D.Lgs. 138/2024 prevede che le variazioni rilevanti siano segnalate sulla piattaforma dell’Agenzia entro 14 giorni.
Per chi non ha completato l’adozione nei tempi, il punto di partenza resta una ricognizione documentata delle misure già in essere e di quelle ancora mancanti, con un piano che indichi priorità e responsabili.
Il ruolo della direzione resta centrale, perché la normativa attribuisce agli organi di amministrazione la responsabilità delle misure adottate. Il tema è stato approfondito nell’articolo su perché la responsabilità è del management.
Il calendario del 2027 per tutti i soggetti NIS
Il 2027 si apre con una serie di finestre annuali che riguardano sia chi è già nell’elenco sia chi vi entra per la prima volta:
- dal 1° gennaio al 28 febbraio, registrazione o aggiornamento annuale sulla piattaforma ACN;
- dal 15 aprile al 31 maggio, aggiornamento delle informazioni richieste, compreso l’elenco dei fornitori rilevanti;
- dal 1° maggio al 30 giugno, comunicazione e aggiornamento dell’elenco di attività e servizi, la cosiddetta categorizzazione, prevista dall’articolo 30 del decreto.
Trattandosi di finestre che si ripetono ogni anno, conviene inserirle nel calendario dell’organizzazione e assegnare a ciascun adempimento un responsabile interno.
L’aggiornamento dei fornitori conferma il peso della catena di approvvigionamento nella NIS2, già trattato nell’articolo dedicato a fornitori e supply chain.
Quali tempi per chi è entrato nell’elenco nel 2026?
Per i soggetti inseriti nell’elenco nel 2026 valgono termini diversi, fissati dalle determinazioni ACN n. 127434 e n. 127437 del 2026. Entro il 31 dicembre 2026 devono designare il referente CSIRT, la persona di contatto con il gruppo nazionale di risposta agli incidenti informatici.
Dal 1° gennaio 2027 scatta per loro l’obbligo di notificare gli incidenti significativi, mentre il termine per adottare le misure di sicurezza di base è fissato al 31 luglio 2027. Chi si trova in questa situazione ha quindi circa nove mesi per completare un lavoro che, per i soggetti del 2025, è appena arrivato a scadenza.
La scadenza di ottobre chiude la prima fase della NIS2 per i soggetti del 2025, ma apre un ciclo di adempimenti annuali che richiede organizzazione e aggiornamento costanti.
Per una prima fotografia della propria situazione, Dadonet Academy mette a disposizione un auto-assessment NIS2 gratuito, utile per individuare le aree su cui intervenire. Per percorsi di formazione o di supporto dedicati è disponibile la pagina Contatti.
