NIS 2 dopo il 31 ottobre: cosa cambia per le aziende

Il 31 ottobre 2026 si è chiusa, per i soggetti NIS già inseriti nell’elenco dell’Agenzia per la Cybersicurezza Nazionale, la fase di adeguamento alle misure di sicurezza di base previste dal D.Lgs. 138/2024. Secondo le analisi di settore aggiornate a fine ottobre, l’ACN non ha concesso proroghe: si passa dall’accompagnamento alla vigilanza. Per molte organizzazioni la domanda cambia natura. Non è più che cosa occorra fare, ma come dimostrare di averlo fatto. E il tema non riguarda soltanto chi rientra nel perimetro NIS.

Che cosa è scaduto, e per chi

La scadenza del 31 ottobre non vale per tutti allo stesso modo. Ecco il quadro, in sintesi:

• Destinatari: soggetti essenziali e importanti già inseriti nell’elenco ACN, che hanno ricevuto la comunicazione di inclusione ad aprile 2025.
• Termine: diciotto mesi dalla comunicazione di inclusione, quindi entro ottobre 2026.
• Obbligo: rendere operative le misure di sicurezza di base definite dalla determinazione ACN n. 379907/2025, che ha sostituito la n. 164179/2025. Secondo le analisi di settore, si tratta di 37 misure e 87 requisiti per i soggetti importanti, 43 misure e 116 requisiti per gli essenziali.
• Già in vigore dal 15 gennaio 2026: l’obbligo di notificare gli incidenti significativi al CSIRT Italia, con pre-notifica entro 24 ore, notifica entro 72 ore e relazione finale entro un mese.

Per chi è entrato nell’elenco nel 2026 i termini decorrono dalla propria comunicazione: referente CSIRT da designare entro il 31 dicembre 2026, notifica degli incidenti dal 1° gennaio 2027, misure di base entro il 31 luglio 2027.

Che cosa significa “fase delle verifiche”

La vigilanza non è uguale per tutti. Per i soggetti essenziali sono previsti controlli anche preventivi, in assenza di incidenti; per i soggetti importanti le verifiche sono di norma successive, a seguito di un incidente o di una segnalazione.

In entrambi i casi il punto di attenzione è lo stesso: le analisi pubblicate in vista della scadenza concordano sul fatto che una procedura scritta non basta. Conta l’evidenza che la misura sia attuata e funzioni. Tra gli esempi citati:

• il registro dei test di ripristino dei backup, con data, esito e tempi;
• la prova che l’autenticazione a più fattori sia attiva su tutti gli account;
• lo storico degli aggiornamenti di sicurezza applicati;
• log conservati e consultabili;
• una procedura di notifica degli incidenti già provata;
• i registri della formazione svolta.

In altre parole, una misura di sicurezza esiste quando lascia traccia. Il calendario resta intenso anche nel 2027: registrazione o rinnovo sulla piattaforma ACN dal 1° gennaio al 28 febbraio, aggiornamento annuale delle informazioni, comprensivo dell’elenco dei fornitori rilevanti, dal 15 aprile al 31 maggio, categorizzazione di attività e servizi dal 1° maggio al 30 giugno.

Anche per chi non è un soggetto NIS

Molte aziende non rientrano nel perimetro della NIS 2, ma sono fornitrici di soggetti che vi rientrano. La Direttiva include tra le misure di gestione del rischio la sicurezza della catena di approvvigionamento: i soggetti NIS devono valutare i rischi legati ai propri fornitori, e dal 2027 l’aggiornamento annuale all’ACN comprende l’elenco dei fornitori rilevanti.

Nella pratica, la NIS 2 arriva ai fornitori sotto forma di questionari di sicurezza, clausole contrattuali e richieste di evidenze su backup, gestione degli accessi e risposta agli incidenti. Prepararle in anticipo è più semplice che ricostruirle quando un cliente le chiede. Un fornitore che vuole farsi trovare pronto può partire da tre documenti:

• una descrizione aggiornata di backup e ripristino, con la data e l’esito dell’ultimo test;
• la politica di gestione degli accessi, compresa l’autenticazione a più fattori e la revoca degli account non più necessari;
• la procedura di gestione degli incidenti, con i referenti e le modalità di comunicazione verso i clienti.

Sono gli stessi temi che questa serie affronta, una misura alla volta.

La soluzione MPF

I Servizi IT di MPF affiancano le aziende sulla parte tecnica della sicurezza, partendo dallo stato attuale. Mappare. Colmare. Dimostrare.

Mappare. L’assessment di cybersecurity fotografa la situazione di identità, endpoint, backup e gestione degli incidenti, e individua le priorità di intervento.

Colmare. Architettura Zero Trust, monitoraggio MDR/XDR, Backup e BCDR, Incident Response: gli strumenti con cui le misure diventano operative.

Dimostrare. Log, report e registri prodotti dai servizi costituiscono le evidenze che la fase di verifica richiede.

La conformità alla NIS 2 coinvolge anche responsabilità organizzative e legali che spettano all’azienda: il supporto di MPF riguarda la componente tecnologica e operativa.

Conclusione

Il 31 ottobre non è stato un traguardo, ma un cambio di fase: da qui in avanti la sicurezza si misura con le evidenze che si è in grado di produrre. Che la sua organizzazione sia un soggetto NIS o un suo fornitore, la domanda utile è la stessa: se oggi le venisse chiesto di dimostrare una misura di sicurezza, quale evidenza potrebbe mostrare?

Richieda l’assessment di cybersecurity dei Servizi IT MPF.

Fonti: ICT Security Magazine, NIS2: adempimenti e scadenze dopo ottobre 2026; ICT Security Magazine, NIS2 e D.Lgs. 138/2024: obblighi e scadenze del 2026; Seti, NIS2, 31 ottobre: cosa deve essere operativo e cosa verificherà l’ACN; Direttiva (UE) 2022/2555 (NIS 2). Informazioni aggiornate al 2 novembre 2026.