In breve: il 31 ottobre 2026 è l’ultimo giorno utile perché le aziende entrate nell’elenco NIS nel 2025 abbiano operative le misure di sicurezza di base fissate dall’ACN. Da novembre l’Agenzia esce dalla fase di accompagnamento ed entra in quella di verifica: non basterà avere le procedure scritte, servirà dimostrare che funzionano. E anche chi non è in elenco, se fornisce un soggetto NIS, inizierà a sentirne gli effetti.
Cosa scade il 31 ottobre, e per chi
Il decreto NIS (D.Lgs. 138/2024, che recepisce la direttiva europea NIS2) concede diciotto mesi dalla comunicazione di inserimento nell’elenco per mettere in funzione le misure di sicurezza di base. Per la gran parte delle organizzazioni registrate nel 2025 quella comunicazione è arrivata in primavera: i conti portano a fine ottobre 2026.
Due precisazioni che evitano equivoci:
- Il 31 ottobre è il limite massimo, non una data uguale per tutti. Chi ha ricevuto la comunicazione prima ha un termine precedente; chi l’ha ricevuta dopo, uno successivo.
- Chi è entrato in elenco nel 2026 ha più tempo: per i nuovi soggetti il termine per le misure di base è fissato a luglio 2027.
Se non sapete con certezza se la vostra azienda è in elenco e da quando, è la prima cosa da verificare oggi, sul portale ACN, con chi ha fatto la registrazione.
Quante sono le misure di base
Le misure sono definite dalla Determinazione ACN 379907/2025, in vigore da gennaio 2026, che ha sostituito la precedente determinazione dell’aprile 2025. Molte gap analysis fatte l’anno scorso citano ancora il testo vecchio: vale la pena controllare.
- Soggetti importanti (Allegato 1): 37 misure, 87 requisiti.
- Soggetti essenziali (Allegato 2): 43 misure, 116 requisiti.
Dietro i codici c’è una lista molto concreta: autenticazione a più fattori, gestione degli accessi, inventario degli asset, gestione delle vulnerabilità e delle patch, backup e continuità operativa, gestione e notifica degli incidenti, sicurezza dei fornitori, formazione del personale, sicurezza fisica degli ambienti che ospitano i sistemi.
“Operativo” non vuol dire “documentato”
È il punto su cui si giocherà la maggior parte delle verifiche. Una policy sul backup firmata a settembre dice che avete deciso di fare i backup. Non dice che funzionano. Quello che un ispettore chiederà di vedere sono le evidenze, cioè le tracce lasciate dai processi mentre girano:
- Backup: il registro dei test di ripristino, con data, esito e tempi. Un backup mai ripristinato è un’ipotesi. Qui i sette errori più frequenti.
- Accessi: la prova che l’MFA è attiva su tutti gli account, non solo su quelli degli amministratori. Perché su Microsoft 365 è la prima porta da chiudere.
- Vulnerabilità: lo storico delle patch applicate e i tempi medi tra rilascio e installazione.
- Incidenti: log conservati, correlati e consultabili, più una procedura di notifica che qualcuno ha già provato almeno una volta in simulazione.
- Formazione: presenze, contenuti e date delle sessioni svolte.
Ne consegue una cosa scomoda: le evidenze si accumulano nel tempo. Chi accende un processo il 30 ottobre avrà un solo giorno di storico da mostrare.
Notifica degli incidenti: le tre scadenze da avere in mente
L’obbligo di notificare gli incidenti significativi al CSIRT Italia è già in vigore da gennaio 2026 per i soggetti in elenco dal 2025. Le finestre sono strette:
- entro 24 ore dalla scoperta, una pre-notifica;
- entro 72 ore, la notifica vera e propria con una prima valutazione;
- entro un mese, la relazione finale.
Rispettarle senza un sistema che raccolga i log di server, firewall, endpoint e Active Directory in un unico posto è difficile. Nelle prime ore di un incidente si perde tempo soprattutto a capire cosa è successo, ed è proprio il tempo che la norma non concede. È il problema per cui abbiamo costruito ARGO, che correla i log e li spiega in italiano.
La responsabilità è dei vertici, non dell’IT
Il decreto mette la sicurezza in capo agli organi di amministrazione: sono loro ad approvare le misure e a risponderne. Un documento firmato solo dal responsabile informatico non copre l’obbligo. Per i soggetti essenziali, oltre alle sanzioni amministrative proporzionate al fatturato, sono previste anche misure interdittive nei confronti dei dirigenti apicali.
Non siete in elenco? Potrebbe riguardarvi lo stesso
Molte PMI piemontesi non rientrano direttamente nella NIS2, ma lavorano per aziende che ci rientrano. La normativa chiede ai soggetti NIS di gestire il rischio della propria catena di fornitura, e nel 2026 l’ACN ha già chiesto loro di censire i fornitori rilevanti sul portale.
In pratica, nei prossimi mesi è probabile ricevere dai clienti più strutturati questionari di sicurezza, richieste di clausole contrattuali o di evidenze su backup, accessi e gestione degli incidenti. Chi può rispondere in modo ordinato e documentato si trova in vantaggio rispetto a chi deve improvvisare.
Cosa fare nelle prossime due settimane
Se siete in elenco e non avete ancora chiuso il lavoro, conviene concentrarsi su ciò che produce evidenze verificabili:
- Verificate data di inserimento e classificazione (essenziale o importante) sul portale ACN: da qui dipendono termine e allegato da applicare.
- Riprendete la gap analysis e controllate che sia basata sulla Determinazione 379907/2025.
- Attivate subito ciò che lascia tracce: MFA ovunque, raccolta centralizzata dei log, test di ripristino documentato.
- Portate le misure in consiglio di amministrazione e fatele approvare formalmente.
- Provate la procedura di notifica con una simulazione: chi decide, chi scrive, chi invia, in quanto tempo.
- Raccogliete le evidenze in un unico posto, ordinate per misura, pronte da mostrare.
E dopo il 31 ottobre?
Il percorso non si chiude. Entro fine 2026 l’ACN pubblicherà le misure a lungo termine, modulate sulla categoria di rilevanza che ogni soggetto ha dichiarato con la categorizzazione delle attività e dei servizi. La logica sarà la stessa: meno dichiarazioni, più processi che funzionano e si possono dimostrare.
Domande frequenti
Il 31 ottobre 2026 è una scadenza per tutti i soggetti NIS?
No. Riguarda i soggetti inseriti nell’elenco NIS nel 2025, che hanno diciotto mesi dalla comunicazione di inserimento. Per chi è entrato in elenco nel 2026 il termine per le misure di base è luglio 2027.
Cosa succede dopo il 31 ottobre 2026?
L’ACN passa dalla fase di accompagnamento a quella di verifica e può avviare attività ispettive, chiedendo di dimostrare che le misure di base sono attuate e funzionanti.
Basta avere policy e procedure scritte?
No. Le misure devono essere operative: servono evidenze come registri dei test di ripristino, storico delle patch, log conservati e prove di formazione svolta.
Una PMI non in elenco NIS deve preoccuparsi della scadenza?
Non direttamente, ma se fornisce servizi o software a un soggetto NIS è probabile che il cliente le chieda garanzie e evidenze di sicurezza nell’ambito della gestione della catena di fornitura.
Vi serve una seconda opinione prima del 31?
Se volete capire in fretta dove siete scoperti, partiamo da un assessment gratuito di 90 minuti con un consulente senior: guardiamo insieme backup, accessi, log e procedura di notifica, e vi lasciamo una lista di priorità, non un preventivo. Prenotate una call oppure chiamateci allo 011.730525.
Fonti: D.Lgs. 138/2024; Determinazione ACN 379907/2025 e relative linee guida di lettura; Vademecum NIS ACN, settembre 2026. Per i testi ufficiali: acn.gov.it. Questo articolo ha scopo informativo e non sostituisce una consulenza legale.