La NIS2 (scadenza ottobre 2026 per molte aziende italiane) è la direttiva europea sulla sicurezza delle reti e dei sistemi informativi, recepita in Italia dal D.Lgs. 138/2024. Le organizzazioni entrate nell’elenco dei soggetti NIS nel 2025 hanno 18 mesi dalla notifica dell’ACN per adottare le misure di sicurezza di base. Il termine è individuale, e le misure vanno dimostrate nella pratica, non solo scritte in una policy.
NIS2 scadenza ottobre 2026: chi riguarda
Le organizzazioni inserite nell’elenco dei soggetti NIS nel corso del 2025 hanno 18 mesi dalla data di notifica dell’Agenzia per la Cybersicurezza Nazionale (ACN) per implementare le misure di sicurezza di base previste dalla Determinazione ACN 379907/2025.
Il punto da non sottovalutare: il termine è individuale. Non c’è una data unica per tutti: va verificata sulla propria comunicazione ACN.
Quali misure di sicurezza vanno dimostrate?
Le misure sono differenziate tra soggetti “importanti” ed “essenziali” e, come sottolineano gli operatori del settore, non si esauriscono in una policy scritta: vanno dimostrate nella pratica. Gli ambiti principali sono:
- governance e gestione del rischio: ruoli, responsabilità, valutazione dei rischi;
- inventario di asset, sistemi e fornitori: sapere cosa si ha e chi vi accede;
- gestione di vulnerabilità e incidenti: aggiornamenti, monitoraggio, procedure di risposta e notifica;
- continuità operativa: backup, piani di ripristino, test periodici;
- sicurezza della catena di fornitura: requisiti e verifiche sui fornitori;
- formazione del personale.
Cosa si rischia se non si è in regola?
Oltre alle sanzioni previste dal decreto, il rischio più immediato segnalato dagli addetti ai lavori è commerciale: chi non è in regola può essere escluso da gare e forniture verso soggetti che devono dimostrare la sicurezza della propria filiera.
La NIS2 riguarda anche i fornitori?
Sì, in modo indiretto. La NIS2 dà molto peso alla catena di fornitura: le aziende soggette chiederanno ai propri fornitori garanzie documentate. Come vengono aggiornati i sistemi, chi ha accesso, dove sono i backup, come si gestisce un incidente. Vale anche per chi sviluppa e gestisce siti web, e-commerce, gestionali e servizi cloud.
Per una piccola impresa fornitrice, essere pronta a rispondere a queste domande diventa un vantaggio competitivo. Tra le garanzie più semplici da dare ci sono gli accessi protetti con doppio fattore o passkey.
Come si prepara un fornitore alle richieste NIS2?
Un fornitore si prepara mettendo per iscritto quello che già fa. Le domande dei clienti soggetti arrivano di solito sotto forma di questionario, e rispondere in fretta e con documenti fa la differenza. Conviene avere pronti:
- l’elenco degli accessi: chi entra nei sistemi del cliente, con quali account e con quale autenticazione;
- la procedura di aggiornamento: ogni quanto si aggiornano sito, plugin e server, e chi lo fa;
- la politica di backup: dove sono conservati, per quanto tempo, quando sono stati provati l’ultima volta;
- la gestione degli incidenti: chi avvisare, in che tempi, con quali informazioni.
Quali sono le prossime scadenze NIS2?
Dopo le misure di base, la scadenza successiva è l’aggiornamento annuale della registrazione sul portale ACN:
| Adempimento | Termine | Chi riguarda |
|---|---|---|
| Misure di sicurezza di base | 18 mesi dalla notifica ACN (per molte aziende ottobre 2026) | Soggetti inseriti nell’elenco NIS nel 2025 |
| Aggiornamento annuale della registrazione | Dal 1° gennaio al 28 febbraio 2027 | Soggetti registrati sul portale ACN |
L’aggiornamento va fatto ogni volta che cambiano servizi, sistemi o fornitori rilevanti.
Le basi, anche per chi non è soggetto
Molte misure NIS2 coincidono con le buone pratiche che ogni impresa dovrebbe avere: aggiornamenti costanti, accessi controllati, backup verificabili, formazione contro il phishing. I numeri del Rapporto Clusit 2026 mostrano perché non sono più rinviabili. Se il tuo sito è su WordPress, cosa comprende una gestione fatta bene lo trovi in manutenzione sito WordPress.
In sintesi
Per molte aziende la NIS2 ha la prima scadenza concreta a ottobre 2026, ma il termine è individuale e le misure vanno dimostrate. Chi non è in elenco riceverà comunque richieste come fornitore. Tech To Business, web agency di Catanzaro, realizza e gestisce siti aggiornati, con accessi controllati e backup verificabili, per attività in Calabria: trovi come lavoriamo nella pagina realizzazione siti web a Catanzaro.
Questo articolo ha scopo informativo e non sostituisce una consulenza legale o di compliance.