Ottobre 2026 rappresenta un passaggio importante per molte organizzazioni soggette alla NIS2: per i soggetti inseriti nell’elenco ACN nel 2025 giunge a scadenza, in molti casi, il termine per adottare le misure di sicurezza di base.
Attorno a questo appuntamento si sovrappongono però informazioni diverse: il riferimento al 31 ottobre, le aspettative di proroga, la documentazione da predisporre, le evidenze dell’attuazione e i possibili controlli.
Per orientarsi occorre partire da tre domande: qual è il termine applicabile alla propria organizzazione, quali obblighi riguarda e che cosa deve essere concretamente realizzato entro quella data?
Perché si parla tanto di ottobre 2026
Il percorso italiano di attuazione della NIS2, recepita con il D.Lgs. 138/2024, prevede diversi adempimenti e termini. Registrazione al portale ACN, aggiornamento delle informazioni, obblighi degli organi direttivi, notifica degli incidenti e adozione delle misure di sicurezza devono essere distinti.
Il riferimento a ottobre 2026 riguarda, per molti soggetti inseriti nell’elenco nel 2025, il completamento dell’adozione delle misure di sicurezza di base. Anche il Vademecum pubblicato da ACN a settembre 2026 richiama questo passaggio.
Parlare genericamente di “scadenza della NIS2” può quindi generare confusione: alcuni obblighi hanno termini diversi e il percorso di sicurezza prosegue anche dopo l’adozione iniziale delle misure.
L’inutile attesa di una proroga NIS2
Alcune organizzazioni hanno purtroppo confidato in una proroga dei termini che, alla data di pubblicazione di questo articolo, non è intervenuta. Questa aspettativa ha contribuito a rinviare decisioni e attività, dilatando i tempi del percorso di adeguamento e riducendo quelli disponibili per completarlo.
L’avvicinarsi del termine rende ora necessario verificare quanto sia stato effettivamente attuato, individuare le carenze ancora presenti e organizzare gli interventi necessari, con il coinvolgimento della direzione e delle funzioni interessate.
Il 31 ottobre è una scadenza uguale per tutti?
Per i soggetti inseriti nell’elenco NIS nel 2025, il termine è di diciotto mesi dalla ricezione della comunicazione ACN di inserimento. Occorre dunque verificare la data della propria comunicazione: il richiamo al mese di ottobre non consente di assumere automaticamente il 31 ottobre come termine valido per ogni organizzazione.
Al momento della pubblicazione di questo articolo, il termine individuale potrebbe quindi essere prossimo oppure già superato.
È inoltre necessario distinguere questa situazione da quella dei soggetti inseriti per la prima volta nell’elenco nel 2026, per i quali ACN ha previsto l’adozione delle misure di sicurezza di base entro il 31 luglio 2027. Si tratta di un calendario riferito a soggetti diversi, non di una proroga per quelli già inseriti nel 2025.
La verifica della propria posizione e della comunicazione ricevuta costituisce pertanto il primo passo per ricostruire correttamente gli obblighi applicabili.
Che cosa deve essere attuato entro il termine
Il riferimento corrente per le specifiche di base è la Determinazione ACN n. 379907 del 19 dicembre 2025.
I soggetti importanti devono adottare le misure dell’Allegato 1, mentre i soggetti essenziali quelle dell’Allegato 2.
L’adeguamento coinvolge aspetti organizzativi, procedurali e tecnici. Per ogni requisito applicabile occorre comprendere quali attività siano richieste, chi debba svolgerle e come verificarne l’attuazione.
Predisporre una procedura, acquistare un prodotto o affidare un incarico può contribuire al percorso, ma il risultato deve essere valutato rispetto al requisito concreto. Una procedura di gestione degli incidenti, ad esempio, deve poter essere utilizzata dalle persone coinvolte; una soluzione di protezione deve essere configurata e operativa nell’ambito previsto.
Anche la direzione ha un ruolo preciso: gli organi di amministrazione e direttivi sono chiamati ad approvare le modalità di implementazione delle misure e a sovrintendere alla loro attuazione.
L’organizzazione deve quindi conoscere lo stato del proprio percorso, comprese le attività ancora incomplete e le decisioni necessarie per completarle.
Documentazione, attuazione ed evidenze: facciamo chiarezza
La documentazione è una componente necessaria dell’adeguamento: politiche, procedure, piani e registrazioni descrivono decisioni, responsabilità e attività. La loro presenza deve però trovare riscontro nel funzionamento dell’organizzazione.
Le evidenze permettono di verificare questo collegamento. Possono comprendere, secondo il requisito considerato, configurazioni tecniche, risultati di prove, verbali, registri formativi, rapporti di analisi o tracciamento degli interventi.
Proponiamo una distinzione di tre diverse situazioni:
- Misura pianificata: l’attività è prevista, ma deve ancora essere realizzata.
- Misura attuata: quanto richiesto è stato concretamente realizzato ed è verificabile.
- Misura mantenuta nel tempo: le attività ricorrenti proseguono e vengono riesaminate secondo le modalità applicabili.
Da questa distinzione non discende un obbligo generale di possedere, alla scadenza, tre o sei mesi di registrazioni pregresse. Un simile requisito deve trovare fondamento nelle disposizioni applicabili alla specifica misura: la raccomandazione di avviare per tempo i processi non equivale a una scadenza normativa anticipata.
Se un requisito richiede l’esecuzione di una prova, alla scadenza non basta averla programmata. D’altra parte, un’attività effettivamente eseguita in prossimità del termine non diventa irrilevante soltanto perché recente.
La valutazione deve considerare il singolo requisito, le evidenze disponibili e gli eventuali obblighi già applicabili in precedenza. Una volta attuate le misure, sarà necessario assicurarne la continuità e conservarne gli opportuni riscontri.
Che cosa fare se l’adeguamento è incompleto
Assumendo come riferimento la scadenza del 31 ottobre, dal prossimo 1° novembre 2026 ACN potrà svolgere controlli sull’effettiva adozione delle misure di sicurezza di base da parte delle organizzazioni interessate. Resta fermo il termine individuale applicabile a ciascun soggetto, calcolato dalla ricezione della comunicazione ACN di inserimento nell’elenco NIS: il riferimento a novembre non concede tempo aggiuntivo a chi aveva una scadenza precedente.
Le organizzazioni che non hanno completato l’adeguamento devono verificare senza ulteriori rinvii quali misure siano effettivamente operative, quali risultino attuate solo parzialmente e quali siano ancora mancanti.
La valutazione deve fornire alla direzione un quadro attendibile delle carenze e dei rischi associati, consentendo di definire priorità, responsabilità, risorse e tempi di completamento. Occorre coinvolgere le funzioni aziendali interessate e i fornitori, verificare l’avanzamento degli interventi e conservare le evidenze delle attività svolte.
L’approvazione di un piano di intervento non sostituisce l’attuazione delle misure mancanti né modifica i termini applicabili. Il piano deve tradursi in attività concrete, il cui completamento sia seguito e verificato.
Una GAP analysis NIS2 consente di confrontare lo stato effettivo dell’organizzazione con i requisiti ACN applicabili, valorizzando quanto già realizzato e individuando gli interventi necessari per completare l’adeguamento.
Il nostro Studio supporta le organizzazioni in questa valutazione, integrando competenze giuridiche, organizzative e di sicurezza delle informazioni, per fornire alla direzione indicazioni concrete sulle priorità da affrontare.