Direttiva NIS 2 : scadenze 2026, soggetti e obblighi

Entro il 31 ottobre 2026 le aziende soggette alla NIS2 (Network and Information Security 2) devono attuare le misure di base. Poi le ispezioni ACN.

• Scadenza chiave: 31 ottobre 2026 per le misure di base dei soggetti in elenco dal 2025.
• Nuovi soggetti 2026: termine spostato al 31 luglio 2027.
• Perimetro: oltre 20.000 organizzazioni, di cui 5.000 essenziali e circa 15.000 importanti.
• Notifica incidenti: pre-allerta entro 24 ore e notifica entro 72 ore al CSIRT Italia.
• Svolta 2026: l’ACN passa dalla fase di accompagnamento alla fase ispettiva.

La direttiva NIS2 non è più un adempimento futuro, ma una scadenza concreta. Nel 2026 le organizzazioni italiane entrano nella fase attuativa vera e propria. Il calendario definito dall’Agenzia per la Cybersicurezza Nazionale (ACN) fissa termini precisi e non più rinviabili. Inoltre, la nuova Determinazione ACN 379907/2025, in vigore dal 15 gennaio 2026, aggiorna e consolida le misure di sicurezza richieste. Il quadro di attuazione a luglio 2026 si presenta articolato tra scadenze da rispettare, soggetti coinvolti e obblighi operativi ormai vigenti. Comprenderne lo stato di avanzamento è essenziale per chi ha la responsabilità di governare la sicurezza informatica delle aziende soggette agli obblighi normativi.

Direttiva NIS2 per le aziende: cosa cambia nel 2026

Nel 2026 la NIS2 entra nella fase operativa. Le aziende devono attuare le misure di sicurezza secondo il calendario stabilito dall’ACN.

NIS2 (Network and Information Security 2): direttiva europea 2022/2555 sulla cybersicurezza. Innalza la protezione di imprese e Pubbliche Amministrazioni nei settori critici.

Il 2026 è l’anno della messa a terra. Dopo la registrazione dei soggetti sulla piattaforma ACN, arrivano gli obblighi sostanziali. In particolare, la Determinazione ACN 379907/2025 sostituisce il precedente provvedimento di aprile 2025. Essa definisce le misure di base e le procedure di notifica in modo vincolante. Pertanto, ogni organizzazione deve tradurre i requisiti in progetti concreti. La spinta normativa incontra anche una spinta di mercato. Le imprese aumentano gli investimenti in sicurezza per rispondere alle minacce e alle regole europee. Tuttavia, il tempo a disposizione si è ridotto sensibilmente.

Secondo IDC, la spesa europea in cybersecurity toccherà 84 miliardi di dollari entro il 2027, trainata da NIS2 e DORA (Digital Operational Resilience Act).

Quali sono le scadenze NIS2 entro ottobre 2026?

Il calendario 2026 scandisce adempimenti diversi per categoria e anno di ingresso. Di seguito, le tappe principali da presidiare.

• 1 gennaio – 28 febbraio 2026: finestra di registrazione e aggiornamento sulla piattaforma ACN.
• 1 maggio – 30 giugno: comunicazione annuale dell’elenco di attività e servizi.
• 31 ottobre 2026: misure di base operative per i soggetti in elenco dal 2025.
• 31 luglio 2027: termine per i soggetti inseriti per la prima volta nel 2026.

Chi deve adeguarsi e quali misure sono richieste

Devono adeguarsi i soggetti essenziali e importanti individuati dall’ACN. Le misure coprono governance, gestione del rischio, catena di fornitura e risposta agli incidenti.

L’ACN ha già individuato e comunicato lo status ai soggetti coinvolti. Il perimetro supera le 20.000 organizzazioni. I soggetti essenziali operano in settori altamente critici e forniscono servizi vitali per l’economia. I soggetti importanti svolgono attività rilevanti in settori comunque critici. Inoltre, gli obblighi si estendono di fatto lungo la filiera produttiva. Infatti, i soggetti NIS2 devono richiedere garanzie di sicurezza ai propri fornitori. Di conseguenza, anche le aziende non direttamente designate subiscono l’effetto della direttiva. Chi non si adegua rischia di uscire dalle forniture strategiche.

• Soggetti essenziali: 116 requisiti articolati in 43 misure di sicurezza.
• Soggetti importanti: 87 requisiti articolati in 37 misure di sicurezza.
• Notifica incidenti: pre-allerta entro 24 ore e notifica entro 72 ore al CSIRT Italia.

Chi sono i soggetti essenziali e importanti NIS2?

La distinzione dipende dal settore e dalla criticità del servizio erogato. I soggetti essenziali subiscono un regime di vigilanza più stringente. I soggetti importanti seguono controlli prevalentemente successivi. Entrambi, tuttavia, devono gestire il rischio della catena di approvvigionamento.

I 16 ambiti richiesti dalla direttiva NIS2

La direttiva NIS2 organizza le misure in 16 ambiti. Coprono aspetti tecnologici, organizzativi, di governance e di conformità.

I requisiti non sono solo di natura tecnologica. Riguardano anche processi, ruoli e controlli interni. Per i soggetti essenziali sono previsti 116 requisiti. Per i soggetti importanti se ne contano 87. In entrambi i casi, si distribuiscono nei seguenti ambiti.

• Gestione del rischio: identificazione, valutazione e trattamento dei rischi cyber, integrati nei processi e aggiornati sulle minacce emergenti.
• Ruoli e responsabilità: definiti formalmente, approvati dagli organi direttivi e aggiornati per garantire accountability ed efficienza.
• Affidabilità delle risorse umane: personale selezionato per esperienza e affidabilità, con obblighi di sicurezza validi anche dopo la fine del rapporto.
• Conformità e audit di sicurezza: politiche e misure riesaminate con regolarità e sottoposte a verifica per assicurare la conformità normativa.
• Rischi della catena di approvvigionamento: requisiti di sicurezza nei contratti con i fornitori, con monitoraggio e valutazione lungo tutta la filiera.
• Gestione degli asset: asset rilevanti identificati, inventariati e gestiti in base al valore per il business e alla strategia di rischio.
• Gestione delle vulnerabilità: processi strutturati per identificare, risolvere e monitorare le vulnerabilità, con misure correttive tempestive.
• Continuità operativa: piani di disaster recovery e gestione della crisi documentati, mantenuti e testati per la resilienza operativa.
• Identità digitali e controllo accessi: gestione basata su minimo privilegio, separazione dei compiti e autenticazione multi-fattore.
• Sicurezza fisica: ambienti protetti da accessi non autorizzati con controlli coerenti ai livelli di rischio.
• Formazione e consapevolezza: formazione continua per tutto il personale, amministratori compresi, sui rischi informatici.
• Sicurezza dei dati: protezione dei dati a riposo e in transito, tramite cifratura sicura e adeguate misure di backup.
• Ciclo di vita dei sistemi: sviluppo, configurazione, manutenzione e dismissione sicuri, con aggiornamenti tempestivi e rimozione delle tecnologie obsolete.
• Protezione di reti e comunicazioni: misure di sicurezza perimetrali adeguate e controlli rigorosi sugli accessi remoti.
• Monitoraggio degli eventi: sistemi di monitoraggio continuo per rilevare tempestivamente anomalie e incidenti.
• Risposta agli incidenti e ripristino: piano operativo con procedure chiare di notifica, risposta e ripristino.

L’ampiezza degli ambiti garantisce una copertura completa. Tuttavia, introduce una forte complessità e richiede competenze tecnologiche, organizzative e di governance.

Dalla fase di accompagnamento alla verifica: come prepararsi

Da ottobre 2026 l’ACN può avviare le ispezioni. Le aziende dovrebbero completare una gap analysis e chiudere le lacune prima delle verifiche.

Il passaggio più rilevante del 2026 riguarda il metodo di controllo. Finora l’ACN ha accompagnato le organizzazioni verso la conformità. Da ottobre, invece, potrà avviare attività ispettive e di verifica documentale. Pertanto, le evidenze devono essere pronte, tracciabili e dimostrabili. Un percorso ordinato parte da un’analisi dello scostamento rispetto ai requisiti. Poi prosegue con un piano di rientro su governance, tecnologie e processi.

Anticipare le verifiche conviene: pianificare per tempo riduce rischi, costi e tempi di adeguamento alla direttiva NIS2.

Come Retelit affianca le aziende nel percorso NIS2

Retelit accompagna imprese ed enti lungo tutto il percorso NIS2. Interviene sia in fase preventiva sia in fase attuativa.

Affrontare la NIS2 non significa solo rispettare una direttiva europea. È anche l’occasione per ripensare la postura di sicurezza in chiave moderna. Retelit opera come un hub di competenze. Unisce risorse interne, partner strategici di compliance e governance e tecnologie selezionate. In fase preventiva conduce una Gap Analysis. Essa individua il percorso più breve ed efficace verso la conformità. In fase attuativa supporta le attività a copertura dei 16 ambiti descritti. Di conseguenza, l’organizzazione affronta la complessità con un supporto continuativo e integrato.

Vuoi valutare il tuo livello di conformità NIS2? Una gap analysis di cybersecurity è il primo passo verso la piena aderenza alla direttiva.

Domande frequenti sulla direttiva NIS2 per le organizzazioni

In collaborazione con Andrea Priviero, Product Marketing Retelit