NIS2 scadenze di ottobre 2026: cosa fare con i 18 mesi ACN

Un cliente è nell'elenco NIS 2025. Il suo avviso ACN è arrivato ad aprile 2025, in una casella di posta che nessuno controlla più. I diciotto mesi per le misure di sicurezza di base stanno per scadere. Il consiglio di amministrazione non ha mai approvato nulla a verbale. Se Lei è il consulente o l'MSP di questo cliente, la domanda non è più "siamo registrati?". È: "che cosa ci chiederà l'ACN, e che cosa possiamo mostrare?"

Con le scadenze NIS2 di ottobre 2026 il calendario smette di essere una voce in agenda e diventa un problema di evidenze.

NIS2 scadenze di ottobre 2026: che cosa vale in Italia

In Italia la NIS2 è recepita dal Decreto legislativo 138/2024, in vigore dal 16 ottobre 2024. L'autorità competente è l'ACN (Agenzia per la Cybersicurezza Nazionale); il CSIRT Italia riceve le notifiche di incidente e il Portale ACN (Portale NIS) è il canale per registrazione e aggiornamenti.

La determinazione ACN 379907/2025, pubblicata il 24 dicembre 2025 e applicabile dal 15 gennaio 2026 (ha sostituito la 164179/2025), fissa all'articolo 4 il termine per i soggetti inseriti nell'elenco nel 2025: le misure di sicurezza di base sono dovute entro diciotto mesi dalla ricezione della comunicazione di inserimento da parte dell'ACN.

Il punto delicato è la data. I commenti di settore la collocano a ottobre 2026 e molti citano il 31 ottobre. Ma le comunicazioni ACN sono partite il 12-13 aprile 2025, e aritmeticamente diciotto mesi portano a metà ottobre. Non c'è una data unica valida per tutti: la data va letta sull'avviso ricevuto da ciascun soggetto. Se non si trova l'avviso, si recuperi dal Portale NIS o dalla PEC del soggetto prima di fare qualsiasi altra cosa.

I soggetti inseriti per la prima volta nel 2026 hanno un calendario diverso: notifica di incidente dal 1° gennaio 2027 e misure di base entro il 31 luglio 2027 (determinazione 127434 del 13 aprile 2026).

Le date del ciclo annuale

Il ciclo si ripete ogni anno e conviene metterlo a calendario per ogni cliente:

• Registrazione: dal 1° gennaio al 28 febbraio (articolo 7).
• Aggiornamento annuale dei dati: dal 15 aprile al 31 maggio.
• Categorizzazione delle attività e dei servizi: finestra dal 1° maggio al 30 giugno di ogni anno (articolo 30, determinazione 155238/2026; piattaforma: determinazione 127437/2026).

Per il dettaglio sulla categorizzazione, si veda l'articolo di approfondimento categorizzazione ACN e scadenza 2026.

La registrazione era la parte facile

Una voce nell'elenco dimostra una cosa sola: il soggetto esiste e si è dichiarato nell'ambito di applicazione. Non dice se i controlli funzionano.

L'ACN procede dalla dichiarazione alla verifica. Secondo i commenti di settore sugli allegati, l'insieme di base comprende 37 misure e 87 requisiti per i soggetti importanti e 43 misure e 116 requisiti per i soggetti essenziali. I soggetti essenziali sono vigilati ex ante, quelli importanti ex post. Sempre secondo la prassi e i commenti di settore, le ispezioni di verifica potrebbero iniziare dal 1° novembre 2026: non è un'indicazione ufficiale dell'ACN, ma è una ragione sufficiente per non aspettare.

Per il consulente il cambio è pratico. La prima domanda del cliente era "siamo nell'ambito?". La seconda è "possiamo mostrare quello che facciamo?". Un raccoglitore di policy che nessuno applica non regge a un controllo. Un insieme di registrazioni datate, verbalizzate e testate sì.

Che cosa chiederà per primo il regolatore

Le richieste iniziali seguono uno schema ricorrente. Ci si può aspettare, grosso modo in quest'ordine:

1. Prova della registrazione e profilo corretto del soggetto. Settore sbagliato, classe dimensionale errata o punto di contatto non aggiornato sono i rilievi più facili da evitare. Se il punto di contatto è un dipendente che ha lasciato l'azienda, un messaggio di routine diventa un obbligo mancato.
2. Responsabilità degli organi di amministrazione e direttivi. L'articolo 23 del D.Lgs. 138/2024 prevede che gli organi di amministrazione e direttivi approvino le misure di gestione del rischio, ne controllino l'attuazione, seguano una formazione specifica e possano essere ritenuti responsabili delle violazioni. Le prove sono una delibera datata e gli attestati di formazione.
3. Procedura di notifica di incidente con tre tempi. Preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro un mese (articolo 25). L'obbligo è operativo da gennaio 2026 per i soggetti dell'elenco 2025.
4. Inventario di asset e servizi. Deve coincidere con quanto dichiarato sul Portale NIS. Le discrepanze sono il modo in cui un'autorità scopre un ambito sottodichiarato.
5. Evidenze che le misure funzionano. Test di ripristino dei backup con data. Revisioni degli accessi. Registri della gestione delle vulnerabilità. Contratti con i fornitori che contengano clausole di sicurezza.

Le sanzioni, senza allarmismi

L'articolo 38 prevede, per i soggetti essenziali, sanzioni fino a 10 milioni di euro o al 2% del fatturato mondiale annuo; per i soggetti importanti, fino a 7 milioni di euro o all'1,4%. Si applica l'importo più elevato. Sono possibili anche la sospensione temporanea di autorizzazioni e l'interdizione temporanea per chi svolge funzioni dirigenziali.

Sono strumenti di ultima istanza, non lo scenario più probabile. Ma spiegano perché la delibera dell'organo di amministrazione è il documento che un consulente dovrebbe pretendere per primo.

Fuori dall'Italia: calendari diversi

Molti clienti hanno sedi o fornitori in altri Paesi, e ciascun regime ha un orologio proprio.

Polonia. La modifica della legge KSC è in vigore dal 3 aprile 2026. La domanda di iscrizione al registro andava presentata entro il 3 ottobre 2026; gli obblighi vanno attuati entro il 3 aprile 2027; il primo audit dei soggetti chiave è previsto per il 3 aprile 2028, da cui decorrono anche le sanzioni per la maggior parte degli obblighi.

Germania. Il NIS2UmsuCG ha riformato il BSIG. La registrazione, fissata in origine al 6 marzo 2026, è stata prorogata e le fonti non concordano sull'ultima scadenza (31 luglio o 30 settembre 2026): occorre verificare sul portale del BSI. Il BSI si è riservato misure sanzionatorie. Le sanzioni arrivano a 10 milioni di euro o al 2%, e il § 38(2) BSIG prevede la responsabilità della direzione.

Paesi Bassi. La Cbw e la Wwke sono in vigore dal 15 agosto 2026, con registrazione presso l'NCSC.

Francia e Spagna. Non hanno recepito la direttiva e, insieme a Irlanda e Paesi Bassi, sono state deferite alla Corte di giustizia dell'UE l'8 luglio 2026, con richiesta di somma forfettaria e penalità giornaliere. In Francia il progetto di legge Résilience non è stato promulgato; in Spagna il testo è in Parlamento.

Questo non autorizza un cliente francese o spagnolo ad aspettare. I suoi clienti italiani, tedeschi e olandesi inviano già questionari sull'articolo 21 lungo la filiera: l'obbligo arriva per contratto, prima che per legge.

Il comune denominatore: l'articolo 21

Ogni legislazione nazionale recepisce le stesse dieci misure di gestione del rischio dell'articolo 21, paragrafo 2, della direttiva. Questo permette di fare una sola valutazione riutilizzabile oltre confine, con gli adattamenti nazionali sopra.

Per un cliente attivo in più Paesi, il metodo è:

• una sola gap analysis rispetto all'articolo 21(2), mappata su ciascun insieme di misure nazionale;
• un unico archivio delle evidenze, organizzato per misura e non per Paese;
• un calendario per Paese con aggiornamenti di registrazione, referenti per le segnalazioni e date di verifica.

Il metodo è descritto nella guida alla gap analysis e in le evidenze che i regolatori chiedono davvero. Per i singoli Paesi: Polonia, Paesi Bassi e Francia e Spagna.

Perché la sequenza mette in difficoltà gli MSP

Lo schema del guasto è prevedibile. Un fornitore gestisce la registrazione di un cliente, la deposita e passa oltre. Mesi dopo, la controllata italiana ha una scadenza che nessuno ha messo a calendario, perché l'avviso è finito in una casella non presidiata. In Italia a scandire il tempo è la data dell'avviso, non l'anno solare.

Che cosa fare questa settimana

Scelga il cliente più esposto e faccia quattro cose.

Primo, verifichi lo stato della registrazione in ogni Paese in cui opera e annoti la data riportata, non quella presunta. Secondo, ritrovi l'avviso ACN di inserimento e calcoli i diciotto mesi a partire da quella data. Terzo, controlli che agli atti ci sia un'approvazione datata delle misure da parte dell'organo di amministrazione. Quarto, provi la procedura di incidente con un'esercitazione da tavolo sulle 24 ore e ne registri l'esito.

Come punto di partenza strutturato, la valutazione di prontezza NIS2 confronta in pochi minuti la situazione del cliente con le misure dell'articolo 21 e indica dove mancano le evidenze. È una valutazione di prontezza, non una dichiarazione di conformità: restano vincolanti i requisiti dell'ACN.

Le finestre di registrazione erano il riscaldamento. I controlli verificheranno se le misure sono mai state reali.