NIS2: ACN richiama la scadenza di ottobre 2026
L’Agenzia per la cybersicurezza nazionale ha richiamato i soggetti NIS alla fase decisiva dell’attuazione italiana della NIS2. Per la prima platea inserita nell’elenco nazionale, il 31 ottobre 2026 rappresenta il termine ultimo per rendere operative le misure di sicurezza di base.
La scadenza non riguarda soltanto la presenza di policy e procedure. Le organizzazioni devono poter dimostrare che governance, gestione del rischio, protezione, rilevamento, risposta e ripristino funzionano concretamente e producono evidenze verificabili.
Cosa scade il 31 ottobre
Il D.Lgs. 138/2024 prevede che i soggetti essenziali e importanti adottino misure tecniche, operative e organizzative adeguate e proporzionate. Le specifiche di base sono state definite da ACN e il termine di attuazione è collegato alla comunicazione di inserimento nell’elenco dei soggetti NIS.
Per i soggetti della prima platea, l’articolo 4 della Determinazione ACN n. 379907/2025 fissa al 31 ottobre 2026 il termine ultimo per l’adozione delle misure di sicurezza di base. Per le organizzazioni inserite successivamente, la scadenza deve invece essere verificata in relazione alla data della comunicazione ricevuta.
Dall’adempimento alla dimostrabilità
Il richiamo ACN rende centrale un punto: la conformità non coincide con una raccolta di documenti approvati a ridosso della scadenza.
Le misure devono essere integrate nei processi aziendali, assegnate a responsabili identificati, sottoposte a test e sostenute da evidenze. Delibere degli organi di amministrazione, analisi del rischio, registri di formazione, verbali di esercitazioni, risultati di audit e tracciamento delle azioni correttive devono raccontare un sistema effettivamente operativo.
Le responsabilità del management
La NIS2 attribuisce agli organi di amministrazione e direttivi responsabilità dirette. Il vertice deve approvare le modalità di attuazione delle misure, sovraintendere alla loro implementazione e ricevere informazioni sufficienti per valutare rischi, priorità e risorse.
Una delega esclusiva alla funzione IT non è quindi sufficiente. Cybersecurity, continuità operativa, supply chain, qualità, compliance e management devono essere collegati da responsabilità e flussi decisionali chiari.
Cosa verificare prima della scadenza
Le organizzazioni interessate dovrebbero controllare almeno la chiusura della gap analysis, l’approvazione formale delle policy, l’assegnazione degli owner, la formazione del management, la gestione dei fornitori ICT rilevanti e l’effettiva operatività dei processi di incident response.
È inoltre opportuno eseguire una simulazione e un audit interno mirato. Il test consente di verificare se le procedure funzionano nei tempi previsti; l’audit permette di individuare misure soltanto dichiarate o prive delle evidenze necessarie.
Come può supportare Shingo Consultants
Shingo Consultants può supportare i soggetti NIS nella verifica dello stato di attuazione, nella gap analysis rispetto alle specifiche ACN, nella costruzione delle evidenze e nel coordinamento tra governance, funzioni tecniche e sistema di gestione.
Arrivare al 31 ottobre con misure approvate ma non testate significa rinviare il problema alla prima verifica o al primo incidente reale.
Fonti ufficiali
ACN — Vademecum per i soggetti NIS
ACN — Modalità e specifiche di base