In sintesi. Entro il 31 ottobre 2026 i soggetti essenziali e importanti inseriti nell'elenco NIS nel corso del 2025 devono avere operative e documentate le misure di sicurezza di base fissate dalla Determinazione ACN n. 379907/2025. La scadenza riguarda quella prima coorte e coinvolge di riflesso le imprese che la servono come fornitrici. Superato il termine, l'Agenzia per la Cybersicurezza Nazionale può avviare le verifiche.
Dalla registrazione alla conformità operativa
Il 2026 è l'anno in cui la disciplina NIS italiana entra nella fase sostanziale. Il decreto legislativo 4 settembre 2024, n. 138, che recepisce la direttiva (UE) 2022/2555, ha scandito un percorso graduale: registrazione sulla piattaforma ACN, inserimento nell'elenco nazionale dei soggetti NIS, avvio degli obblighi di notifica degli incidenti significativi, adozione delle misure di sicurezza di base. Le prime tappe sono alle spalle e resta l'ultima, con un termine ormai ravvicinato. La posta in gioco è la continuità dei servizi e l'affidabilità verso clienti, partner e istituzioni: alla scadenza, le misure devono risultare attive e verificabili.
A chi si applica la scadenza del 31 ottobre 2026?
Si applica ai soggetti essenziali e importanti inseriti per la prima volta nell'elenco NIS nel corso del 2025. Per loro il termine è di diciotto mesi dalla ricezione della comunicazione di inserimento, trasmessa da ACN ai domicili digitali a partire dal 12 aprile 2025: il 31 ottobre 2026 è la data ultima applicabile a questa prima coorte.
Il perimetro resta selettivo. La disciplina copre i settori elencati negli allegati al D.Lgs. 138/2024 (fra gli altri energia, trasporti, sanità, acqua, infrastrutture digitali, servizi ICT gestiti, pubblica amministrazione), combinati con criteri dimensionali, e la qualifica di soggetto essenziale o importante determina il livello degli obblighi. Le imprese entrate in elenco per la prima volta nel 2026 seguono un calendario proprio: misure di base entro il 31 luglio 2027 e obbligo di notifica dal 1° gennaio 2027 (Determinazione ACN n. 127434/2026).
Che cosa sono le misure di sicurezza di base?
Sono le specifiche minime definite da ACN per adempiere, in fase di prima applicazione, agli obblighi di governance (art. 23), gestione del rischio (art. 24) e notifica degli incidenti (art. 25) del decreto NIS. Il riferimento vigente è la Determinazione ACN n. 379907/2025, applicabile dal 15 gennaio 2026, che ha sostituito la precedente n. 164179/2025.
Gli obblighi sono modulati per categoria: l'Allegato 1 riguarda i soggetti importanti (37 misure, 87 requisiti), l'Allegato 2 i soggetti essenziali (43 misure, 116 requisiti). L'impianto segue il Framework Nazionale per la Cybersecurity e la Data Protection e presidia sette aree.
- Governance. L'articolo 23 del decreto assegna agli organi di amministrazione l'approvazione e la supervisione delle misure di gestione del rischio, insieme a obblighi di formazione. La delega operativa resta ammessa, mentre la responsabilità rimane in capo al vertice.
- Gestione del rischio. Analisi periodica, misure proporzionate al contesto, riesame documentato.
- Controllo degli accessi. Governo delle identità, principio del privilegio minimo, autenticazione a più fattori dove prevista.
- Protezione delle reti. Segmentazione degli ambienti per contenere la propagazione di un incidente.
- Backup e ripristino. Copie protette e prove di ripristino effettivamente eseguite.
- Gestione delle vulnerabilità. Individuazione, valutazione e correzione con tempi coerenti al livello di rischio.
- Continuità operativa e gestione degli incidenti. Piani, ruoli e capacità di reazione, allineati agli obblighi di notifica al CSIRT Italia già attivi dal gennaio 2026.
Un principio attraversa tutte le aree: la misura va resa operativa e dimostrabile.
Come capire se una misura è davvero attiva
La griglia che segue aiuta a distinguere una misura funzionante da una dichiarata. Orienta l'autovalutazione e rinvia agli allegati tecnici e alle Linee guida NIS di ACN per il dettaglio operativo.
- Esiste una politica di sicurezza approvata dall'organo di amministrazione, con data e verbale?
- I ruoli di sicurezza sono assegnati a persone identificate, con un sostituto designato?
- Gli accessi privilegiati sono censiti, revocati alla cessazione del rapporto e protetti da autenticazione a più fattori?
- L'ultimo test di ripristino da backup ha una data, un esito registrato e un responsabile?
- Le vulnerabilità rilevate sono tracciate con tempi di chiusura verificabili?
- La formazione del personale e degli organi apicali risulta documentata?
- I fornitori rilevanti sono censiti e i contratti prevedono obblighi di sicurezza e di notifica?
Ogni risposta affermativa dovrebbe poggiare su un documento, un registro o un log.
Che cosa cambia per i fornitori?
La NIS2 estende l'attenzione alla catena di fornitura. Con la Determinazione ACN n. 127437/2026 i soggetti NIS elencano i propri fornitori rilevanti sulla piattaforma digitale dell'Agenzia, all'interno dell'aggiornamento annuale delle informazioni (finestra 15 aprile – 31 maggio), indicando dati anagrafici, codici CPV e criterio di rilevanza applicato. Un fornitore è rilevante quando ricade nella fornitura ICT richiamata dall'allegato I, punti 8 e 9, del decreto NIS, oppure quando la sua fornitura risulta non fungibile, cioè quando un'interruzione inciderebbe in modo significativo sui servizi del soggetto NIS anche per l'assenza di alternative praticabili.
L'effetto pratico si vede a valle: le imprese fornitrici ricevono richieste su standard di sicurezza, tempi di comunicazione degli incidenti, diritti di audit e documentazione a supporto. Un'impresa fuori dal perimetro diretto entra così nel processo di conformità del proprio cliente.
Che cosa succede dopo il 31 ottobre 2026?
Si apre la fase di verifica: da quel momento l'Agenzia può esercitare i poteri di supervisione previsti dal decreto e, nei casi disciplinati, il regime sanzionatorio dell'articolo 38. Tre equivoci ricorrono spesso nelle settimane finali.
- La registrazione in piattaforma attesta l'esistenza del soggetto nel perimetro; la conformità si misura sulle misure adottate.
- L'affidamento dell'IT a un fornitore esterno sposta le attività, mentre la responsabilità dell'articolo 23 resta agli organi di amministrazione.
- Una policy firmata descrive un'intenzione; l'evidenza vive nel registro, nel log, nel verbale.
Dove si documentano le evidenze
La conformità si dimostra con documenti che abbiano data certa e origine verificabile: quando una politica è stata approvata, quando una comunicazione è stata inviata e ricevuta, quando un registro è stato prodotto e conservato senza alterazioni.
È il terreno dei servizi fiduciari. La posta elettronica certificata dà valore probatorio alle comunicazioni formali verso fornitori e autorità, la conservazione a norma mantiene nel tempo integrità e reperibilità dei documenti, la marcatura temporale attribuisce a un file una data opponibile. Sono strumenti che Aruba mette a disposizione insieme a un'infrastruttura di data center in Italia e nell'Unione europea, un elemento che i soggetti NIS considerano quando qualificano i propri fornitori. Il percorso di adeguamento resta in capo all'impresa: questi strumenti servono a renderlo documentabile.
Fonti
Direttiva (UE) 2022/2555 – EUR-Lex
D.Lgs. 4 settembre 2024, n. 138 – Gazzetta Ufficiale
ACN – Modalità e specifiche di base (Determinazione n. 379907/2025 e Linee guida NIS)
ACN – Domande frequenti: misure di sicurezza e notifica di incidenti
ACN – La normativa NIS
ENISA – NIS2 Directive