NIS2: a ottobre scade il termine per le misure di sicurezza di base

Per le organizzazioni inserite nel 2025 nell’elenco dei soggetti NIS, a ottobre 2026 scade il termine per adottare le misure di sicurezza di base previste dal D.Lgs. 138/2024, che recepisce in Italia la direttiva europea NIS2. Lo ricorda l’Agenzia per la Cybersicurezza Nazionale (ACN) nel Vademecum pubblicato l’11 settembre 2026.

Chi è interessato

Il termine è di diciotto mesi dalla comunicazione di inserimento nell’elenco ricevuta dall’ACN, quindi la data esatta va verificata su quella comunicazione. Per i soggetti inseriti per la prima volta nel 2026 la scadenza è più avanti, a luglio 2027.

Quali misure

Il riferimento tecnico è la Determinazione ACN 379907/2025: l’Allegato 1 vale per i soggetti importanti, l’Allegato 2 per i soggetti essenziali. Tra gli ambiti coperti:

• Governance e gestione del rischio informatico
• Gestione e notifica degli incidenti al CSIRT Italia
• Backup e continuità operativa
• Controllo degli accessi e autenticazione a più fattori
• Sicurezza delle reti e dei sistemi, aggiornamenti
• Sicurezza dei fornitori e formazione del personale

Le altre scadenze

La notifica degli incidenti significativi è già operativa da gennaio 2026. Ogni anno, dal 1° gennaio al 28 febbraio, i soggetti NIS devono registrarsi o aggiornare la registrazione sul portale ACN.

Come possiamo aiutarvi

La conformità NIS2 è prima di tutto un percorso organizzativo, ma molte misure sono tecniche: firewall e segmentazione della rete, antivirus gestito, backup verificati, accessi sicuri, aggiornamento dei sistemi. Su questi aspetti possiamo affiancare voi e il vostro consulente, con soluzioni Cisco Meraki, ESET e Veeam.

Fonti: ACN – Online il Vademecum per i soggetti NIS; ACN – Modalità e specifiche di base; ACN – FAQ misure di sicurezza e notifica incidenti.