NIS2: la scadenza del 31 ottobre 2026 che (forse) ti riguarda

Il 31 ottobre 2026 non è una scadenza come le altre. Da quel giorno, l’Agenzia per la Cybersicurezza Nazionale (ACN) potrà ispezionare e sanzionare circa 20.000 soggetti italiani per mancato adeguamento alla Direttiva NIS2. Per le aziende già inserite nell’elenco NIS nel 2025, quella data segna il termine ultimo per avere operative e documentabili le misure di sicurezza di base. Dopo il 31 ottobre, si passa dall’accompagnamento alle verifiche ispettive. E le sanzioni possono arrivare fino a 10 milioni di euro o al 2% del fatturato mondiale.

• Chi rientra nel perimetro NIS2
• Cosa scade il 31 ottobre 2026
• Le sanzioni: quanto puoi pagare
• Come capire se sei nel perimetro (test rapido)
• Cosa fare se la scadenza ti riguarda
• Il consiglio pratico

Chi rientra nel perimetro NIS2

La prima domanda è: la NIS2 mi riguarda? La risposta dipende da tre fattori: settore, dimensione, ruolo nella supply chain.

• Settore: la NIS2 copre 18 settori critici, divisi in due allegati. L’Allegato I (alta criticità) include energia, trasporti, settore bancario, mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione servizi ICT B2B, spazio. L’Allegato II (altri settori critici) include poste, gestione rifiuti, chimico, alimentare, manifatturiero (dispositivi medici, computer, elettronica, macchinari, autoveicoli), ricerca, fornitori servizi digitali.
• Dimensione: rientrano nel perimetro le organizzazioni con almeno 50 dipendenti OPPURE fatturato/bilancio annuo superiore a 10 milioni di euro, che operano in uno dei settori elencati. Le micro e piccole imprese (<50 dipendenti e <10 milioni €) sono generalmente fuori perimetro, salvo eccezioni.
• Eccezioni che tirano dentro anche i piccoli: fornitori di reti e servizi di comunicazione elettronica accessibili al pubblico, prestatori di servizi fiduciari, gestori di registri di nomi di dominio e servizi DNS, pubbliche amministrazioni, soggetti critici ai fini della direttiva CER (Critical Entities Resilience). Inoltre, l’ACN può designare soggetti essenziali indipendentemente dalle soglie dimensionali.
• Supply chain: se sei fornitore critico di un soggetto essenziale o importante, puoi rientrare nel perimetro anche se sei una PMI sotto soglia. La NIS2 impone ai soggetti obbligati di valutare la cybersecurity dei propri fornitori rilevanti.

Cosa scade il 31 ottobre 2026

Per i soggetti già inseriti nell’elenco NIS nel 2025, il 31 ottobre 2026 è il termine ultimo per adottare le misure di sicurezza di base previste dall’art. 21 del D.Lgs. 138/2024. Queste misure non devono essere solo “adottate”, ma operative, funzionanti e dimostrabili con evidenze documentali.

Le 10 aree di sicurezza dell’art. 21:

1. Politiche di analisi e gestione del rischio cyber: documentare come identifichi, valuti e tratti i rischi informatici.
2. Gestione degli incidenti: procedure per prevenire, rilevare e rispondere agli incidenti, con piani di response e recovery.
3. Continuità operativa: backup, disaster recovery, piani di business continuity testati periodicamente.
4. Sicurezza della supply chain: valutazione dei fornitori critici, clausole contrattuali di sicurezza, monitoraggio continuo.
5. Igiene informatica di base: patch management, hardening dei sistemi, segmentazione di rete, principio del minimo privilegio.
6. Crittografia: uso di crittografia per dati sensibili in transito e a riposo, gestione delle chiavi.
7. Autenticazione a più fattori (MFA): obbligatoria per accessi remoti, privilegiati e a sistemi critici.
8. Formazione del personale: programmi di security awareness per dipendenti, dirigenti e organi di gestione, con simulazioni periodiche.
9. Politiche di gestione delle vulnerabilità: processo strutturato per identificare, valutare e remediate le vulnerabilità.
10. Valutazione dell’efficacia delle misure: audit, test, metriche per verificare che le misure funzionino davvero.

Le sanzioni: quanto puoi pagare

L’art. 38 del D.Lgs. 138/2024 prevede sanzioni amministrative pecuniarie differenziate per categoria di soggetto, applicando sempre l’importo più elevato tra la cifra fissa e la percentuale di fatturato.

• Per i soggetti essenziali: fino a 10 milioni di euro OPPURE fino al 2% del fatturato mondiale annuo dell’esercizio precedente.
• Per i soggetti importanti: fino a 7 milioni di euro OPPURE fino al 1,4% del fatturato mondiale annuo.
• Violazioni sanzionate: mancata registrazione o aggiornamento informazioni sulla piattaforma ACN, inosservanza degli obblighi degli organi di vertice, inosservanza delle misure di gestione del rischio, violazione degli obblighi di notifica incidenti, mancata collaborazione con il CSIRT Italia.bergamonews+1
• Misure accessorie: sospensione temporanea di certificazioni o autorizzazioni, pubblicazione della violazione, interdizione temporanea dall’esercizio di funzioni dirigenziali per le persone fisiche responsabili (in caso di inadempimento reiterato). Per le pubbliche amministrazioni il regime è distinto.

Come capire se sei nel perimetro (test rapido)

Fatti queste tre domande:

1. Operi in uno dei 18 settori NIS2? (energia, trasporti, sanità, manifatturiero critico, servizi digitali, ecc.) Se no, sei fuori (salvo eccezioni).
2. Hai almeno 50 dipendenti OPPURE fatturato/bilancio >10 milioni €? Se no, sei fuori (salvo eccezioni come fornitori di servizi fiduciari, DNS, pubbliche amministrazioni).
3. Sei fornitore critico di un soggetto essenziale o importante? Se sì, puoi essere incluso anche se sotto soglia.

Se hai risposto sì a 1 e 2, o sì a 1 e 3, molto probabilmente rientri nel perimetro. La conferma arriva solo con la comunicazione ACN, ma puoi fare un’autovalutazione.

Cosa fare se la scadenza ti riguarda

Se rientri nella prima coorte (inserito nel 2025, scadenza 31 ottobre 2026), il tempo è poco. Concentrati su tre priorità assolute:

1. Attiva il MFA su tutto (accessi remoti, privilegiati, sistemi critici). È la misura più efficace e più controllata.
2. Metti in ordine backup e incident response. Backup immutabili o offline, testati. Una procedura scritta di cosa fare in caso di attacco (chi chiamare, come isolare, come notificare).
3. Documenta l’essenziale. Una policy di gestione del rischio cyber, un registro fornitori critici, un piano di formazione base. Non serve un dossier di 200 pagine, serve poter mostrare all’ispettore che le misure ci sono e funzionano.

Il resto viene dopo. Meglio tre misure fatte bene che dieci abbozzate.

Il consiglio pratico

La NIS2 non è un adempimento burocratico. È un framework di cybersecurity che, se implementato bene, riduce concretamente il rischio di incidenti. Le aziende che hanno trattato la NIS2 come “un’altra compliance” stanno scoprendo a ottobre che le misure di base richiedono tempo, budget e cambiamento culturale.

Fai questo esercizio: prendi l’art. 21 del D.Lgs. 138/2024 e per ciascuna delle 10 misure chiediti: “Posso dimostrare a un ispettore ACN che questa misura è operativa?”. Se la risposta è “più o meno” o “dovremmo farlo”, hai un gap da chiudere.