NIS2, mancano sette settimane: il 31 ottobre le misure devono essere operative, non pianificate

Il 31 ottobre 2026 scade il tempo per migliaia di imprese italiane che quasi certamente non sanno di averlo. Entro quella data devono essere operative — non pianificate, non deliberate: operative, con le prove documentali da mostrare a un ispettore — le misure di sicurezza di base previste dalla direttiva NIS2.

Mancano sette settimane.

L’obbligo nasce dal decreto legislativo 138 del 2024, che ha portato la NIS2 in Italia, e prende la forma concreta negli allegati della determinazione dell’Agenzia per la cybersicurezza nazionale numero 379907 del 2025. Riguarda i soggetti già iscritti negli elenchi ACN dal 2025, divisi in due categorie: essenziali e importanti.

Chi deve fare cosa

Ai soggetti importanti si chiede il pacchetto di base: gestione del rischio, controllo degli accessi, continuità operativa, sicurezza della catena di fornitura, procedure per la gestione degli incidenti.

Ai soggetti essenziali si chiede tutto questo e in più il monitoraggio continuo, i test di penetrazione e le verifiche di vulnerabilità, la sicurezza delle risorse umane e la resilienza dell’infrastruttura. È una distanza che, per un’azienda che parte da zero, non si copre in sette settimane.

Le due scadenze che sono già passate

Questa non è la prima data del calendario NIS2, ed è utile ricordare le due che l’hanno preceduta, perché chi le ha mancate arriva a ottobre con un problema più grande.

Da gennaio 2026 è già in vigore l’obbligo di notifica degli incidenti significativi al CSIRT Italia: una pre-notifica entro 24 ore dalla scoperta, la notifica completa entro 72 ore. Un’impresa che in questi mesi ha subito un incidente e non l’ha notificato ha già una violazione alle spalle, indipendentemente da cosa farà entro ottobre.

Fra il 1° maggio e il 30 giugno 2026 si è chiusa la finestra per comunicare sulla piattaforma ACN le proprie attività e i propri servizi. Era la fotografia che l’Agenzia usa per sapere chi è chi.

Cosa succede il 1° novembre

Non scatta una sanzione automatica. Scatta la possibilità, per l’Agenzia, di avviare le attività ispettive — cioè di andare a vedere. La differenza è sostanziale e spiega perché la parola chiave della determinazione è evidenze documentali: la conformità non si dichiara, si dimostra con le carte, ed è quello che un’ispezione va a cercare.

Il punto che quasi nessuno racconta è chi si trova dentro questo perimetro senza essersene accorto. La NIS2 non riguarda solo banche, ospedali e utility: si estende lungo la catena di fornitura, e ci finiscono aziende manifatturiere di media dimensione, fornitori di servizi digitali, produttori di componenti. Molte di queste sono imprese in cui la sicurezza informatica non ha un responsabile a tempo pieno.

Quello che questo pezzo non sa

Non sappiamo quante imprese italiane siano oggi effettivamente in ritardo: l’elenco dei soggetti registrati non è pubblico nella sua interezza, e l’ACN non ha diffuso dati aggregati sullo stato di adeguamento. Chiunque scriva un numero, a oggi, se lo sta inventando.

Non sappiamo nemmeno quale sarà l’intensità effettiva delle ispezioni da novembre in poi, né con quale criterio verranno scelti i primi soggetti da controllare. È la domanda che conta di più per chi deve decidere quanto correre nelle prossime sette settimane, ed è quella su cui l’Agenzia non si è pronunciata.