Risposta rapida
La scadenza NIS2 del 31 ottobre 2026 è il termine ultimo entro cui i soggetti rientranti nel campo di applicazione del D.Lgs. 138/2024 devono aver adottato le misure di sicurezza di base previste dalla normativa. In pratica: entro quella data, l'organizzazione deve dimostrare di aver implementato un framework di gestione del rischio cyber conforme agli articoli 23 e seguenti del decreto, con misure tecniche e organizzative adeguate e proporzionate al proprio profilo di rischio. Non si tratta di un adempimento cartolare: l'ACN, in qualità di Autorità competente NIS, potrà verificare l'effettiva implementazione in sede di vigilanza.
Perché questo tema è importante
La direttiva (UE) 2022/2555, recepita in Italia con il D.Lgs. 138/2024, ha cambiato radicalmente il perimetro della cybersecurity obbligatoria. Rispetto al vecchio quadro NIS del 2018, il nuovo decreto:
- amplia i settori coperti (Allegati I e II del decreto), includendo anche produzione alimentare, chimica, farmaceutica, gestione dei rifiuti, fornitura digitale e molti altri;
- estende i soggetti coinvolti: non solo grandi imprese ma, in alcuni casi, anche medie e piccole;
- allarga l'oggetto degli obblighi: non più solo la disponibilità dei servizi essenziali, ma l'intera infrastruttura ICT dell'ente, secondo un approccio multi-rischio che copre riservatezza, integrità e disponibilità.
Il 31 ottobre 2026 non è una data "di bandiera": è il momento in cui l'ACN inizierà a valutare la conformità sostanziale. Chi non ha ancora avviato un percorso strutturato di adeguamento rischia di trovarsi scoperto sia sotto il profilo sanzionatorio sia sotto quello della resilienza reale agli attacchi.
Quadro normativo e fonti ufficiali
Il riferimento normativo primario è il D.Lgs. 4 settembre 2024, n. 138, pubblicato in Gazzetta Ufficiale n. 230 del 1° ottobre 2024 ed entrato in vigore il 16 ottobre 2024. Il decreto recepisce la direttiva (UE) 2022/2555 e abroga il precedente D.Lgs. 65/2018.
Le fonti ufficiali da monitorare sono:
- ACN – Agenzia per la Cybersicurezza Nazionale: autorità competente NIS per l'Italia. Sul portale istituzionale pubblica le indicazioni operative su registrazione, aggiornamento annuale e misure di sicurezza;
- Normattiva: testo vigente del D.Lgs. 138/2024, con articolazione in Capi e Allegati;
- Gazzetta Ufficiale: per verifiche sulla pubblicazione e su eventuali atti correttivi.
I punti chiave del quadro temporale sono:
- Registrazione: dal 1° gennaio al 28 febbraio di ogni anno (primo adempimento per i soggetti NIS);
- Aggiornamento annuale delle informazioni: entro il 31 maggio di ogni anno;
- Notifica degli incidenti significativi: obbligatoria a partire da gennaio 2026;
- Misure di sicurezza di base: da adottare entro ottobre 2026.
Cosa significa per l'azienda
Se la tua organizzazione rientra nel campo di applicazione NIS2, il 31 ottobre 2026 rappresenta il termine per avere in produzione un sistema di gestione della sicurezza informatica effettivamente operativo. Non basta un documento di policy: servono evidenze di implementazione.
Gli obblighi in materia di misure di sicurezza coprono almeno questi ambiti (art. 23 del D.Lgs. 138/2024 e specifiche tecniche ACN):
- analisi del rischio e politiche di sicurezza delle informazioni;
- gestione degli incidenti e continuità operativa (backup, disaster recovery, gestione delle crisi);
- sicurezza della catena di approvvigionamento, inclusi i rapporti con fornitori e service provider;
- sicurezza delle reti e dei sistemi informativi, acquisizione, sviluppo e manutenzione;
- politiche di autenticazione e controllo degli accessi, crittografia;
- formazione del personale e consapevolezza;
- uso della crittografia e, ove previsto, della multi-factor authentication.
Inoltre, la responsabilità non è solo del CISO o dell'IT: il vertice aziendale (amministratori, legali rappresentanti) è chiamato a rispondere dell'adozione delle misure. Il decreto introduce espressamente la responsabilità degli organi di gestione, che devono approvare le misure e possono essere soggetti a conseguenze in caso di inadempimento.
Cosa deve fare concretamente l'organizzazione
Per arrivare preparati al 31 ottobre 2026, il percorso suggerito è il seguente:
- Verifica di applicabilità: determina se rientri tra i soggetti essenziali o importanti (Allegati I e II del D.Lgs. 138/2024). Considera anche le piccole e micro imprese nei settori coperti, se superano le soglie previste.
- Registrazione: se non l'hai già fatto, completa la registrazione sul portale ACN nella finestra 1° gennaio – 28 febbraio. L'aggiornamento annuale va fatto entro il 31 maggio.
- Gap analysis: confronta le misure attuali con i requisiti dell'art. 23 e con le "Modalità e specifiche di base" pubblicate dall'ACN. Identifica le lacune prioritarie.
- Piano di adeguamento: definisci un progetto con scadenze intermedie, responsabili e risorse. Non concentrare tutto negli ultimi mesi del 2026.
- Implementazione tecnica e organizzativa: applica le misure (controlli di accesso, monitoraggio, backup, gestione patch, formazione, gestione fornitori).
- Documentazione e evidenze: conserva le evidenze delle attività svolte (verbali, report, policy approvate, log di formazione). Serviranno in caso di vigilanza.
- Preparazione alla notifica incidenti: entro gennaio 2026 devi avere un processo operativo per notificare gli incidenti significativi all'ACN (e, se del caso, al CSIRT Italia).
Esempio pratico
Un'azienda manifatturiera media (circa 300 dipendenti) operante nel settore chimico – rientrante tra i soggetti importanti – ha completato la registrazione a febbraio 2025. A giugno 2025 ha svolto una gap analysis interna scoprendo di non avere:
- un inventario aggiornato degli asset ICT;
- procedure formalizzate di gestione degli incidenti;
- controlli di accesso con autenticazione multifattoriale per i sistemi critici;
- clausole di sicurezza nei contratti con i fornitori IT.
L'azienda ha quindi avviato un progetto in tre fasi: entro dicembre 2025 ha implementato l'MFA e l'inventario degli asset; entro marzo 2026 ha formalizzato le procedure di incident response e formato il personale; entro settembre 2026 ha completato la revisione dei contratti con i fornitori e condotto un test di continuità operativa. A ottobre 2026 l'azienda è in grado di dimostrare all'ACN l'adozione effettiva delle misure, con evidenze documentali.
Errori comuni da evitare
- Sottovalutare l'applicabilità: credere che NIS2 riguardi solo banche, energia e telecomunicazioni. Il perimetro è molto più ampio e include settori come la produzione alimentare, i rifiuti, la chimica e il farmaceutico.
- Concentrarsi solo sulla registrazione: la registrazione è il primo passo, non l'obiettivo finale. Le misure di sicurezza richiedono un lavoro di implementazione che non si improvvisa.
- Produrre documenti senza sostanza: policy firmate ma mai applicate non costituiscono conformità. L'ACN verifica l'effettiva implementazione.
- Ignorare la catena di fornitura: la sicurezza dei fornitori è un obbligo esplicito. Se i tuoi service provider non hanno standard adeguati, la tua conformità è a rischio.
- Dimenticare la formazione: le misure tecniche senza consapevolezza del personale lasciano aperte le principali vie di attacco (phishing, social engineering).
- Non prepararsi alla notifica incidenti: il processo di notifica va testato prima di gennaio 2026, non scoperto a incidente avvenuto.
Come GAPOFF aiuta
La piattaforma GAPOFF supporta le organizzazioni nel percorso di adeguamento alla NIS2 con il modulo NIS2 Compliance, che guida l'analisi dei requisiti, la gestione delle evidenze e il monitoraggio delle scadenze. Il modulo aiuta a strutturare la gap analysis rispetto all'art. 23 del D.Lgs. 138/2024 e a tenere traccia delle azioni correttive.
Per un approccio integrato, il modulo si collega ad altri strumenti della piattaforma: la gestione dei rischi cyber, il monitoraggio dei fornitori e la gestione degli incidenti di sicurezza, che sono ambiti direttamente richiamati dalla normativa. Puoi inoltre consultare l'hub delle risorse per approfondimenti operativi su singoli requisiti.
La piattaforma è provabile gratuitamente per 14 giorni: uno strumento che supporta il lavoro di conformità, non un certificatore automatico. La responsabilità dell'implementazione e della dimostrazione all'ACN resta dell'organizzazione.
Checklist operativa
- Verificare se l'organizzazione rientra nel campo di applicazione del D.Lgs. 138/2024 (soggetti essenziali o importanti)
- Completare la registrazione sul portale ACN (finestra 1° gennaio – 28 febbraio)
- Nominare il referente NIS e definire le responsabilità interne
- Effettuare una gap analysis rispetto all'art. 23 e alle specifiche ACN
- Redigere un piano di adeguamento con scadenze intermedie e budget
- Implementare le misure tecniche prioritarie (accessi, MFA, backup, monitoraggio)
- Formalizzare le procedure di gestione incidenti e continuità operativa
- Rivedere i contratti con i fornitori ICT e inserire clausole di sicurezza
- Erogare formazione di base sulla sicurezza a tutto il personale
- Predisporre il processo di notifica degli incidenti significativi (attivo da gennaio 2026)
- Conservare evidenze documentali di tutte le attività svolte
- Pianificare l'aggiornamento annuale delle informazioni entro il 31 maggio
FAQ
Chi è obbligato ad adottare le misure di sicurezza entro il 31 ottobre 2026?
Tutti i soggetti rientranti nel campo di applicazione del D.Lgs. 138/2024, ossia le imprese medie e grandi (e in alcuni casi piccole e micro) che operano nei settori elencati negli Allegati I e II del decreto, nonché le Pubbliche Amministrazioni individuate. La distinzione tra soggetti essenziali e importanti determina il regime di vigilanza applicabile, ma l'obbligo di adottare misure di sicurezza adeguate riguarda entrambe le categorie.
Cosa succede se non ho completato le misure entro ottobre 2026?
L'ACN, in qualità di Autorità competente NIS, esercita poteri di vigilanza e supervisione. In caso di inadempimento, possono essere applicate sanzioni amministrative e, nei casi più gravi, misure che incidono sull'operatività. Inoltre, la responsabilità degli organi di gestione è espressamente prevista dal decreto: i vertici aziendali possono essere chiamati a rispondere personalmente della mancata adozione delle misure.
Le misure di sicurezza NIS2 si sovrappongono al GDPR?
Le due normative hanno finalità diverse ma complementari. Il GDPR (Regolamento UE 2016/679) protegge i dati personali; la NIS2 protegge la sicurezza di reti e sistemi informativi in senso ampio. Le misure tecniche e organizzative richieste possono sovrapporsi (ad esempio crittografia, controllo accessi, gestione incidenti), ma gli obblighi di notifica sono distinti: un incidente di sicurezza può richiedere sia la notifica all'ACN (se significativo ai sensi NIS2) sia la notifica al Garante (se comporta una violazione di dati personali). È opportuno coordinare i due processi.
Gestisci nis2 in GAPOFF: workflow guidati, registri, scadenzari, evidenze e report pronti per l'audit. Prova gratis 14 giorni, senza carta di credito.
FAQ
Chi è obbligato ad adottare le misure di sicurezza entro il 31 ottobre 2026?
Tutti i soggetti rientranti nel campo di applicazione del D.Lgs. 138/2024, ossia le imprese medie e grandi (e in alcuni casi piccole e micro) che operano nei settori elencati negli Allegati I e II del decreto, nonché le Pubbliche Amministrazioni individuate. La distinzione tra soggetti essenziali e importanti determina il regime di vigilanza applicabile, ma l'obbligo di adottare misure di sicurezza adeguate riguarda entrambe le categorie.
Cosa succede se non ho completato le misure entro ottobre 2026?
L'ACN, in qualità di Autorità competente NIS, esercita poteri di vigilanza e supervisione. In caso di inadempimento, possono essere applicate sanzioni amministrative e, nei casi più gravi, misure che incidono sull'operatività. Inoltre, la responsabilità degli organi di gestione è espressamente prevista dal decreto: i vertici aziendali possono essere chiamati a rispondere personalmente della mancata adozione delle misure.
Le misure di sicurezza NIS2 si sovrappongono al GDPR?
Le due normative hanno finalità diverse ma complementari. Il GDPR (Regolamento UE 2016/679) protegge i dati personali; la NIS2 protegge la sicurezza di reti e sistemi informativi in senso ampio. Le misure tecniche e organizzative richieste possono sovrapporsi (ad esempio crittografia, controllo accessi, gestione incidenti), ma gli obblighi di notifica sono distinti: un incidente di sicurezza può richiedere sia la notifica all'ACN (se significativo ai sensi NIS2) sia la notifica al Garante (se comporta una violazione di dati personali). È opportuno coordinare i due processi.
Ultima revisione: 2026-09-02.