NIS 2: ottobre 2026, scadenza per l’adozione delle misure di sicurezza

La disciplina NIS2 entra in una fase particolarmente rilevante per le organizzazioni qualificate come soggetti essenziali e soggetti importanti.

Per i soggetti che hanno ricevuto nel 2025 la comunicazione di inserimento nell’elenco NIS, nell’autunno 2026 maturano infatti i termini per completare l’adozione delle misure di sicurezza di base individuate dall’Agenzia per la Cybersicurezza Nazionale.

Il termine previsto è di 18 mesi dalla ricezione della comunicazione di inserimento nell’elenco. Per questo motivo, per molte organizzazioni che hanno ricevuto la comunicazione nella primavera del 2025, la scadenza ricade nel mese di ottobre 2026.

Non si tratta tuttavia di una data unica valida indistintamente per tutti i soggetti. Ogni organizzazione deve verificare il proprio termine sulla base della data effettiva di ricezione della comunicazione da parte di ACN.

Gli obblighi di notifica degli incidenti significativi di base seguono invece una tempistica più breve: la relativa applicazione è prevista trascorsi 9 mesi dalla ricezione della stessa comunicazione.

Cosa deve essere completato entro la scadenza

Entro il termine applicabile, il soggetto NIS deve aver adottato le misure di sicurezza previste per la propria classificazione.

Le specifiche ACN distinguono infatti tra soggetti importanti e soggetti essenziali, prevedendo per questi ultimi requisiti ulteriori in considerazione del diverso livello di esposizione e dell’impatto che un incidente potrebbe determinare.

In termini generali, il percorso di adeguamento interessa i principali ambiti della gestione della sicurezza informatica e richiede all’organizzazione di dotarsi di un sistema strutturato per governare i rischi cyber.

Tra gli aspetti da presidiare rientrano:

• la definizione dell’organizzazione della sicurezza informatica, con ruoli e responsabilità chiaramente individuati;
• la gestione e valutazione dei rischi di cybersecurity e la definizione delle relative azioni di trattamento;
• l’adozione e la documentazione delle politiche di sicurezza;
• l’individuazione e la gestione dei sistemi informativi e di rete rilevanti;
• la gestione degli asset hardware, software, servizi e sistemi;
• la gestione delle vulnerabilità e degli aggiornamenti di sicurezza;
• la protezione degli accessi, delle identità e dei dati;
• la gestione della sicurezza dei fornitori e della catena di approvvigionamento;
• la continuità operativa, il backup e il ripristino in caso di incidente;
• il monitoraggio degli eventi di sicurezza;
• la gestione e la notifica degli incidenti;
• la formazione e la sensibilizzazione del personale.

Non è necessario che tutte le organizzazioni adottino le stesse modalità operative: l’attuazione di diverse misure deve infatti essere definita tenendo conto dei sistemi interessati, del contesto aziendale e degli esiti della valutazione del rischio.

Documentazione ed evidenze

Uno degli aspetti più importanti dell’adeguamento riguarda la capacità di dimostrare che le misure previste sono state effettivamente adottate. Le politiche e le procedure devono quindi essere coerenti con le modalità operative realmente applicate dall’organizzazione.

Tra la documentazione che può essere necessario predisporre e mantenere rientrano, in funzione dei requisiti applicabili, le politiche di sicurezza, la valutazione e il piano di gestione dei rischi, gli inventari, le procedure operative, i piani di continuità e gestione degli incidenti, la documentazione relativa ai fornitori, i piani di formazione e le registrazioni delle attività svolte. Accanto alla documentazione devono inoltre essere disponibili evidenze dell’effettiva attuazione delle misure.

La scadenza dei 18 mesi non deve quindi essere interpretata come un termine per la semplice predisposizione di un insieme di documenti, ma come il termine entro il quale le misure applicabili devono essere concretamente implementate.

Cosa deve continuare a essere fatto dopo la scadenza

Il rispetto della scadenza non conclude gli obblighi previsti dalla NIS2.

La sicurezza informatica deve essere gestita come un processo continuativo. Una volta adottate le misure, le organizzazioni devono mantenerle efficaci e adeguarle ai cambiamenti che intervengono nel tempo.

Devono quindi essere mantenuti aggiornati, tra gli altri, gli elenchi dei sistemi rilevanti, gli inventari degli asset, dei software e dei servizi utilizzati, le informazioni sui fornitori e gli elenchi delle persone cui sono attribuiti specifici ruoli in materia di sicurezza.

Anche le attività tecniche devono proseguire nel tempo. I sistemi devono essere monitorati, gli aggiornamenti di sicurezza devono essere gestiti senza ingiustificati ritardi, le vulnerabilità devono essere individuate e trattate secondo quanto previsto dai relativi piani e i backup devono essere effettuati periodicamente e mantenuti in condizioni tali da consentire il ripristino.

Allo stesso modo, il processo di gestione degli incidenti deve rimanere operativo. L’organizzazione deve essere in grado di rilevare gli eventi di sicurezza, valutarli, intervenire e, quando ricorrono le condizioni previste, effettuare le notifiche al CSIRT Italia nei termini stabiliti.

La formazione deve inoltre essere mantenuta come parte integrante del sistema di sicurezza: le attività devono essere pianificate, svolte e documentate, conservando evidenza del personale formato e dei contenuti erogati.

Il riesame annuale delle politiche

Tra gli adempimenti che assumono una precisa cadenza temporale vi è il riesame delle politiche di sicurezza informatica.

Sia per i soggetti importanti sia per i soggetti essenziali, le politiche devono essere riesaminate e, quando necessario, aggiornate almeno una volta all’anno.

Il riesame deve tenere conto anche della conformità alla normativa applicabile e dell’evoluzione del contesto nel quale opera l’organizzazione.

L’aggiornamento può inoltre rendersi necessario anche prima della scadenza annuale quando intervengano eventi significativi.

Il riesame annuale rappresenta quindi un momento importante per verificare che quanto definito dall’organizzazione continui a essere adeguato rispetto ai rischi effettivi e che documentazione, procedure e misure tecniche siano ancora coerenti tra loro.

Non tutte le attività hanno cadenza annuale

È importante distinguere gli obblighi annuali dalle attività che devono invece essere mantenute continuamente o riesaminate secondo periodicità differenti.

Anche ruoli e responsabilità devono essere riesaminati periodicamente e aggiornati quando necessario, in particolare in presenza di variazioni organizzative, incidenti significativi o cambiamenti nell’esposizione ai rischi.

L’obiettivo è quindi evitare che l’adeguamento alla NIS2 venga gestito come un progetto con una data di conclusione. La scadenza iniziale rappresenta piuttosto il momento entro il quale deve essere costruito e reso operativo un sistema di gestione della sicurezza destinato a proseguire nel tempo.

La NIS2 richiede quindi un passaggio da un approccio basato sul singolo adempimento a un modello continuativo di gestione della sicurezza informatica, nel quale misure tecniche, organizzazione, documentazione e monitoraggio devono rimanere allineati all’evoluzione dei rischi e dell’organizzazione.

Consilia Associati è a disposizione per supportare le organizzazioni nella verifica dello stato di conformità alla NIS2, nell’individuazione delle misure applicabili, nella predisposizione e revisione della documentazione e nella pianificazione delle attività necessarie per mantenere nel tempo il livello di conformità richiesto.