Scadenza NIS2 31 ottobre 2026: cosa devono fare le aziende

Il calendario di applicazione della NIS2 in Italia

La Direttiva UE 2022/2555 è entrata in vigore il 16 gennaio 2023 e doveva essere recepita dagli Stati membri entro il 17 ottobre 2024. In Italia il recepimento è avvenuto con il D.Lgs. 138/2024, in vigore dal 16 ottobre 2024. Il decreto ha però previsto un'applicazione progressiva delle regole, con scadenze diverse per adempimenti diversi:

Cosa succede il 31 ottobre 2026

Da questa data l'ACN potrà avviare ispezioni sistematiche sui soggetti registrati. Le aziende devono aver completato tre pilastri operativi:

1. Governance del CdA formalizzata

Gli organi di amministrazione e direttivi devono aver approvato formalmente:

• Le politiche di sicurezza informatica
• Il registro dei rischi cyber e la relativa valutazione
• Il piano di gestione degli incidenti
• Il piano di continuità operativa e disaster recovery
• Il piano di gestione del rischio di supply chain

Ognuno di questi documenti deve avere data, firma e traccia delibera. Non basta averli: devono essere documentalmente approvati dal CdA.

2. Formazione degli amministratori

Amministratori e dirigenti devono aver seguito percorsi di formazione specifica in materia di:

• Minacce cyber attuali e scenari di attacco
• Gestione del rischio e valutazione delle vulnerabilità
• Sicurezza della supply chain
• Gestione degli incidenti e comunicazione di crisi

La formazione deve essere documentata con evidenza tracciabile: data, contenuti, partecipanti, esiti valutativi.

3. Misure tecniche operative

Le misure tecniche di gestione del rischio devono essere effettivamente implementate, non solo pianificate. L'articolo 21 della direttiva elenca le aree minime:

• Politiche di analisi e valutazione dei rischi
• Gestione degli incidenti (rilevamento, risposta, ripristino)
• Continuità operativa (backup, disaster recovery, crisis management)
• Sicurezza della catena di approvvigionamento
• Sicurezza nell'acquisizione, sviluppo e manutenzione dei sistemi informativi
• Politiche di valutazione dell'efficacia delle misure
• Pratiche di igiene informatica di base e formazione del personale
• Politiche di crittografia e cifratura
• Sicurezza delle risorse umane, controllo degli accessi, gestione degli asset
• Autenticazione multi-fattore, comunicazioni voce/video/testo sicure

Notifica incidenti: la nuova regola delle 24 ore

Dal 31 ottobre 2026 sarà pienamente vigente l'obbligo di notifica degli incidenti significativi all'ACN secondo una tempistica stringente:

• Entro 24 ore: notifica di preallarme con la valutazione iniziale
• Entro 72 ore: notifica dettagliata dell'incidente con analisi tecnica preliminare
• Entro 1 mese: relazione finale con cause radice, misure adottate, impatti transfrontalieri

Un incidente è considerato "significativo" se causa gravi perturbazioni operative o perdite finanziarie, o se ha ripercussioni su altre persone fisiche o giuridiche causando danni materiali o immateriali. Il non-adempimento delle tempistiche di notifica è di per sé una violazione sanzionabile.

Cosa fare adesso: piano d'azione a 60 giorni

Se sei un'azienda soggetta agli obblighi NIS2 e non hai ancora completato gli adempimenti, questo è il piano minimo per arrivare pronti al 31 ottobre 2026:

1. Settimane 1-2: assessment del perimetro. Verifica formale se l'azienda rientra tra soggetti essenziali o importanti secondo gli allegati del D.Lgs. 138/2024. Se non l'hai già fatto, iscriviti alla piattaforma ACN.
2. Settimane 3-4: gap analysis tecnica. Confronta le misure di sicurezza attualmente in essere con quelle richieste dall'articolo 21. Identifica priorità e budget.
3. Settimane 5-6: documentazione governance. Scrivi le policy mancanti, prepara il registro dei rischi, definisci il piano di risposta agli incidenti. Predisponi il materiale per l'approvazione del CdA.
4. Settimane 7-8: delibera del CdA e formazione. Convoca il CdA per l'approvazione formale del pacchetto documentale. Organizza la formazione obbligatoria degli amministratori (esistono corsi accreditati di 8-16 ore).

Il ruolo del monitoraggio remoto sicuro

Molte aziende manifatturiere si troveranno impreparate su due fronti tecnici cruciali:

• Accesso remoto dei manutentori: spesso avviene via TeamViewer/AnyDesk senza tracciabilità, senza segmentazione, senza autenticazione forte. La NIS2 richiede l'opposto.
• Monitoraggio delle macchine industriali: le macchine con PLC datati sono i punti più vulnerabili della rete OT. Serve visibilità continua su chi accede, cosa modifica, quali anomalie si verificano.

Soluzioni come ConnectBox OEM (gateway con VPN certificate-based e permessi granulari per tecnici) e IoT Hub (piattaforma di monitoraggio centralizzato multi-tier) implementano direttamente i requisiti tecnici NIS2 su accesso, tracciabilità e segmentazione.

Conclusioni

Il 31 ottobre 2026 non è una scadenza teorica: è la data da cui l'ACN inizierà le prime ispezioni sistematiche. Le aziende che arrivano preparate — con documentazione, formazione e misure tecniche in ordine — trattano la NIS2 come opportunità di rafforzamento organizzativo. Chi arriva impreparato rischia sanzioni pesanti sia per l'azienda sia per gli amministratori personalmente.

Il tempo per rimettersi in pari c'è, ma va utilizzato subito. Aspettare che l'ACN "bussi alla porta" per iniziare l'assessment significa esporre l'azienda e il suo management a rischi che si potevano evitare con qualche mese di preparazione strutturata.