Entro ottobre 2026, i soggetti NIS inseriti per la prima volta nell'elenco nazionale nel 2025 devono completare l'adozione delle misure di sicurezza di base previste dalla normativa NIS2. Il termine deriva dalla Determinazione ACN n. 379907 del 19 dicembre 2025 e, più precisamente, dall'obbligo di completare le misure entro 18 mesi dalla ricezione della comunicazione di inserimento nell'elenco dei soggetti NIS.

Si tratta di una delle scadenze più importanti del percorso di attuazione della NIS2 in Italia nel 2026. La verifica deve riguardare non soltanto gli aspetti tecnologici, ma anche governance, processi, gestione del rischio, incidenti, continuità operativa, fornitori, formazione e documentazione.

In questa guida vediamo cosa devono fare i soggetti NIS inseriti nell'elenco nel 2025, quali sono le misure di sicurezza di base da verificare e come prepararsi alla scadenza di ottobre 2026.

NIS2: cosa devono fare entro ottobre 2026 i soggetti NIS inseriti nel 2025?

Il punto di partenza è la Determinazione ACN n. 379907 del 19 dicembre 2025, che disciplina le modalità e le specifiche di base per l'adempimento di diversi obblighi previsti dal D.Lgs. 138/2024.

Per i soggetti inseriti nell'elenco NIS nel 2025, il termine per l'adozione delle misure di sicurezza di base è pari a 18 mesi dalla ricezione della comunicazione di inserimento nell'elenco. Per la platea inserita nel 2025, il termine ricade nell'ottobre 2026.

La scadenza riguarda sia:

1. soggetti importanti, ovvero aziende private di piccole-medie dimensioni.

2. soggetti essenziali, ovvero organizzazioni ed enti di importanza strategica.

Le misure applicabili sono riportate negli specifici allegati alla Determinazione ACN e differiscono in funzione della categoria del soggetto.

Cosa sono le misure di sicurezza di base NIS2?

Le misure di sicurezza di base rappresentano il set di misure tecniche e operative che i soggetti NIS devono adottare per gestire i rischi per la sicurezza dei sistemi informatici e delle reti, non si tratta quindi di una semplice lista di strumenti informatici da installare.

L'adeguamento comprende infatti aspetti relativi a:

1. gestione del rischio;

2. governance;

3. sicurezza dei sistemi;

4. gestione degli accessi;

5. protezione dei dati;

6. gestione delle vulnerabilità;

7. gestione degli incidenti;

8. continuità operativa;

9. sicurezza della catena di approvvigionamento;

10. formazione;

11. procedure;

12. monitoraggio e verifica.

Quante misure di sicurezza devono essere adottate?

Il numero delle misure dipende dalla categoria del soggetto NIS. Secondo le specifiche richiamate dalla documentazione relativa alla Determinazione ACN:

1. per i soggetti importanti sono previste 37 misure e 87 requisiti;

2. per i soggetti essenziali sono previste 43 misure e 116 requisiti.

Questo rende evidente che l'adeguamento non può essere affrontato come un semplice progetto IT. Per arrivare alla scadenza di ottobre 2026 occorre verificare ogni misura applicabile, identificare eventuali gap e produrre le necessarie evidenze dell'implementazione.

Come prepararsi alla scadenza NIS2 di ottobre 2026

1. 1. Identificare la propria categoria NIS

   Il primo passo è verificare se l’organizzazione è classificata come soggetto importante o soggetto essenziale. La distinzione è importante perché determina quali misure di sicurezza di base devono essere adottate.

2. 2. Fare una gap analysis

   Una volta individuate le misure applicabili, è necessario verificare cosa è già stato fatto e cosa manca. La gap analysis permette di individuare le carenze e stabilire le priorità di intervento.

3. 3. Chiudere i gap prioritari

   Il risultato della gap analysis deve diventare un vero e proprio piano di adeguamento. Non è necessario affrontare tutti gli interventi nello stesso momento: è opportuno però partire dalle carenze più rilevanti per la sicurezza dell’organizzazione e per la continuità dei servizi.

4. 4. Verificare che le misure di sicurezza siano operative

   L’adeguamento non consiste semplicemente nell’acquistare strumenti o introdurre nuove tecnologie, ma occorre verificare che le principali misure di sicurezza siano effettivamente presenti e funzionanti. Il punto fondamentale è poter dimostrare che le misure adottate funzionino anche nella pratica e non solo sulla carta.

   A seconda delle esigenze dell’organizzazione, questo può riguardare, ad esempio:

   1. protezione dei sistemi e delle reti;

   2. gestione degli accessi;

   3. aggiornamento dei sistemi;

   4. backup;

   5. monitoraggio e registrazione degli eventi;

   6. gestione delle vulnerabilità;

   7. protezione dei dati;

   8. sicurezza dei servizi cloud.

5. 5. Mettere in ordine policy e procedure e dimostrarle

   La NIS2 non riguarda soltanto la tecnologia: infatti l’organizzazione deve anche avere regole e procedure chiare per gestire la sicurezza, gli incidenti, i fornitori, la continuità operativa e le situazioni di emergenza.

   È quindi importante verificare che siano definite le responsabilità, con policy formalizzate e procedure conosciute e applicate dall’intero team, grazie a una formazione mirata.

   Non basta dire che una misura è stata adottata, va anche dimostrata: per questo è opportuno raccogliere e organizzare la documentazione relativa alle misure implementate. L'obiettivo è avere una documentazione coerente con ciò che l'organizzazione applica realmente.

6. 6. Coinvolgere il management

   La NIS2 non riguarda solo il reparto IT ma l’intera azienda: la sicurezza informatica deve essere considerata una responsabilità dell’organizzazione, per questo il management deve essere coinvolto nella valutazione dei rischi e nell'approvazione delle misure necessarie. Avere responsabilità definite, risorse adeguate e un monitoraggio periodico dello stato di avanzamento è importante per l’adeguamento alla normativa.

7. 7. Verificare i fornitori

   La sicurezza dell’organizzazione dipende anche dai propri fornitori: prima della scadenza è quindi opportuno verificare i fornitori che hanno accesso ai sistemi perché forniscono servizi essenziali per la continuità aziendale. La verifica dovrebbe considerare anche la gestione degli incidenti e gli eventuali requisiti di sicurezza previsti nei contratti.

Quindi come ci si adegua al NIS2?

Per un soggetto inserito nell’elenco NIS nel 2025, la scadenza non dovrebbe essere affrontata come un semplice adempimento burocratico, ma come un percorso organizzato di adeguamento alla sicurezza informatica.

Il primo passo è capire quali misure si applicano alla propria organizzazione e verificare quali siano già operative e quali, invece, debbano ancora essere completate. Da qui è possibile definire un piano di interventi, assegnando le responsabilità e monitorando i progressi fino alla scadenza. È altrettanto importante non arrivare alla scadenza con la sola documentazione pronta: le misure devono essere realmente applicate e verificabili.

L’adeguamento NIS2 è un percorso che coinvolge tecnologia, organizzazione e persone: l’obiettivo è quello di costruire un sistema di sicurezza in grado di prevenire e gestire meglio i rischi informatici, che negli anni stanno sempre più prendendo piede.

FAQ NIS2

Cosa devono fare entro ottobre 2026 i soggetti NIS inseriti nell’elenco nel 2025?

Devono completare l’adozione delle misure di sicurezza di base previste dalla Determinazione ACN n. 379907/2025, entro il termine previsto per la propria organizzazione. Per i soggetti inseriti nell’elenco nel 2025, tale termine ricade nell’ottobre 2026.

Qual è la scadenza esatta del NIS2?

Non è necessariamente la stessa per tutti, infatti il termine è collegato ai 18 mesi dalla ricezione della comunicazione di inserimento nell’elenco NIS. Ogni organizzazione deve quindi verificare la propria comunicazione ACN.

Quali misure di sicurezza devono essere adottate?

Devono essere adottate le misure di sicurezza di base previste dalla Determinazione ACN n. 379907/2025 e dai relativi allegati, con requisiti differenti per soggetti importanti e soggetti essenziali.

Basta implementare le misure tecniche?

No, perché l’adeguamento riguarda anche organizzazione, procedure, responsabilità e governance. È inoltre importante poter dimostrare che le misure adottate sono effettivamente operative e con procedure a conoscenza dell’intera azienda.

La scadenza di ottobre 2026 vale per tutte le aziende soggette alla NIS2?

No, la scadenza non è uguale per tutti. Alcuni soggetti sono entrati nell’elenco per la prima volta nel 2026, con tempistiche differenti rispetto alla platea del 2025. È necessario verificare gli obblighi e le relative scadenze applicabili alla propria organizzazione. I soggetti inseriti successivamente possono avere scadenze differenti.

Qual è il primo passo per un’azienda che non ha ancora completato l’adeguamento?

Il primo passo è effettuare una gap analysis rispetto alle misure di sicurezza di base applicabili. L’obiettivo è capire rapidamente cosa è già conforme, cosa manca e quali interventi devono essere completati prima della scadenza per adeguarsi correttamente alla normativa.