E-time | the software company
INDICE
- Scadenza NIS2 del 31 ottobre 2026: quali soggetti devono completare l’adeguamento
- Misure di sicurezza NIS2: i controlli da completare entro ottobre 2026
- NIS2 dopo il 31 ottobre 2026: come funzionano i controlli dell’ACN
- Adeguamento NIS2 incompleto: sanzioni, responsabilità e rischi per le aziende
- NIS2 nel 2027: le prossime scadenze e gli adempimenti da programmare
Scadenza NIS2 del 31 ottobre 2026: quali soggetti devono completare l'adeguamento
Il 31 ottobre 2026 rappresenta una scadenza rilevante per la prima coorte di organizzazioni inserite nell’elenco nazionale NIS nel 2025. Per questi soggetti, il termine di 18 mesi previsto per l’adozione delle misure di sicurezza di base decorre dalla ricezione della comunicazione individuale trasmessa dall’Agenzia per la Cybersicurezza Nazionale (ACN).
La normativa interessa enti pubblici e imprese private attivi nei 18 settori strategici individuati dalla direttiva, che rientrano nei criteri dimensionali previsti oppure che forniscono determinati servizi digitali indipendentemente dalle dimensioni. In base alla rilevanza delle attività svolte, le organizzazioni sono classificate come soggetti essenziali o importanti. Gli effetti della NIS2 si estendono anche alla catena di approvvigionamento (supply chain): i fornitori delle organizzazioni coinvolte possono essere chiamati a rispettare specifici requisiti di sicurezza. Per i soggetti inseriti nell’elenco nel 2026, il termine per l’implementazione delle misure di base è invece fissato al 31 luglio 2027.
Misure di sicurezza NIS2: i controlli da completare entro ottobre 2026
In vista della scadenza, le organizzazioni interessate devono verificare di aver implementato concretamente le misure di sicurezza di base previste dalla Determinazione ACN n. 379907/2025. Il livello degli adempimenti varia in funzione della classificazione: per i soggetti importanti sono previste 37 misure articolate in 87 requisiti, mentre per i soggetti essenziali il riferimento è costituito da 43 misure e 116 requisiti, secondo quanto stabilito rispettivamente dagli Allegati 1 e 2.
La verifica deve comprendere le dieci aree di sicurezza individuate dall’articolo 24 del D.Lgs. 138/2024. Tra queste rientrano l’analisi e la gestione dei rischi informatici, la risposta agli incidenti, la continuità operativa attraverso piani di business continuity e disaster recovery (BCP e DRP), la sicurezza dei fornitori, la protezione delle attività di sviluppo e manutenzione dei sistemi, la valutazione dell’efficacia delle misure tramite audit e vulnerability assessment, la formazione del personale e le pratiche di igiene informatica. Completano il quadro la crittografia, la sicurezza delle risorse umane e la gestione degli accessi, compreso l’impiego dell’autenticazione a più fattori (MFA).
NIS2 dopo il 31 ottobre 2026: come funzionano i controlli dell'ACN
Il termine per l’adozione delle misure di sicurezza di base non conclude il percorso di adeguamento alla NIS2. Dopo la scadenza, le organizzazioni devono essere in grado di mantenere i controlli attivi, documentare le procedure adottate e dimostrare nel tempo il rispetto degli obblighi. L’Agenzia per la Cybersicurezza Nazionale (ACN) svolge attività di vigilanza e verifica secondo le modalità previste per le diverse categorie di soggetti.
Il modello di controllo distingue i soggetti essenziali, per i quali sono previste verifiche anche proattive e ispezioni periodiche, dai soggetti importanti, sottoposti principalmente a controlli successivi e ad attività di vigilanza mirate. Le verifiche possono riguardare l’effettiva adeguatezza delle misure di sicurezza, la tracciabilità dei processi interni e la corretta gestione e documentazione delle notifiche degli incidenti. Per le organizzazioni, questo significa prepararsi non soltanto a rispettare la scadenza iniziale, ma anche a dimostrare la solidità del proprio sistema di gestione della cybersicurezza.
Adeguamento NIS2 incompleto: sanzioni, responsabilità e rischi per le aziende
Il mancato rispetto degli obblighi previsti dalla NIS2 può comportare conseguenze economiche e organizzative significative. Il D.Lgs. 138/2024 disciplina, all’articolo 38, il regime sanzionatorio applicabile alle violazioni, con importi che variano in base alla classificazione del soggetto e alla natura dell’inadempimento.
Per le violazioni più gravi relative alla governance, alle misure di sicurezza e alla notifica degli incidenti, le sanzioni amministrative pecuniarie possono arrivare, per i soggetti essenziali, fino a 10 milioni di euro o al 2% del fatturato mondiale annuo; per i soggetti importanti, fino a 7 milioni di euro o all’1,4% del fatturato mondiale annuo. Nei casi previsti dalla normativa possono inoltre essere applicate misure nei confronti delle persone che ricoprono incarichi direttivi, compresa la sospensione temporanea dalle funzioni. A queste conseguenze si aggiungono i potenziali impatti commerciali: un livello di sicurezza insufficiente può compromettere i rapporti con clienti e partner, soprattutto nelle filiere in cui la conformità NIS2 costituisce un requisito rilevante per la selezione dei fornitori.
NIS2 nel 2027: le prossime scadenze e gli adempimenti da programmare
Anche nel 2027 le organizzazioni soggette alla NIS2 dovranno rispettare gli adempimenti periodici previsti attraverso la piattaforma dell’ACN. Pianificare per tempo queste attività permette di mantenere aggiornate le informazioni richieste e di integrare gli obblighi normativi nei processi aziendali.
Il calendario degli adempimenti comprende le seguenti finestre temporali:
- Dal 1° gennaio al 28 febbraio: registrazione o rinnovo annuale sulla piattaforma ACN.
- Dal 15 aprile al 31 maggio: aggiornamento delle informazioni e dell’elenco dei fornitori rilevanti ai fini NIS.
- Dal 1° maggio al 30 giugno: comunicazione e aggiornamento della categorizzazione delle attività e dei servizi, secondo l’articolo 30 del D.Lgs. 138/2024.
Scopri tutte le soluzioni della suite E-time
