Ispezioni NIS2 dopo il 31 ottobre 2026: cosa verificherà l'ACN

Aggiornato a ottobre 2026. Per i soggetti NIS2 entrati in elenco nel 2025 il termine per adottare le misure di sicurezza di base è la fine di ottobre 2026: da quel momento le ispezioni NIS2 dell'Agenzia per la Cybersicurezza Nazionale smettono di essere un'ipotesi lontana. In questo articolo vediamo cosa cambia, che cosa un ispettore chiederà di vedere e come preparare un fascicolo che regga una verifica.

Dall'accompagnamento alla verifica

Il riferimento tecnico oggi è la determinazione ACN n. 379907 del 18 dicembre 2025, applicabile dal 15 gennaio 2026, che ha sostituito la precedente determinazione di aprile 2025. Chi sta ancora lavorando sul vecchio testo usa una base superata: è il primo controllo da fare in casa.

Per la prima coorte di soggetti, quella registrata nel 2025, i diciotto mesi concessi per attuare le misure di base scadono a ottobre 2026. Le analisi di settore indicano che da quel mese l'ACN può avviare l'attività ispettiva, passando dalla fase di accompagnamento a quella di controllo (ICT Security Magazine).

Per chi è entrato in elenco nel 2026 il calendario è spostato in avanti: le stesse fonti riportano la designazione del referente CSIRT entro il 31 dicembre 2026, la notifica degli incidenti dal 1° gennaio 2027 e le misure di base entro il 31 luglio 2027.

Chi viene controllato e come

Il D.Lgs. 138/2024 distingue due regimi di vigilanza:

• i soggetti essenziali sono sottoposti a vigilanza anche preventiva: l'ACN può controllarli senza che sia successo nulla;
• i soggetti importanti sono controllati soprattutto a posteriori, per esempio dopo un incidente o una segnalazione.

Nella pratica questo significa che un soggetto essenziale deve essere pronto sempre, mentre un soggetto importante deve essere pronto il giorno dopo un incidente: cioè nel momento peggiore per mettersi a cercare documenti. Se non sai ancora in quale categoria ricadi, parti dal test di applicabilità NIS2.

Cosa guarderanno le ispezioni NIS2

Non esiste ancora una casistica pubblica di verifiche concluse, quindi diffido di chi promette elenchi «ufficiali» di domande. Quello che si può dire con certezza è che le misure di base chiedono evidenze, non dichiarazioni. Nel mio lavoro di responsabile della sicurezza delle informazioni le aree che reggono o fanno cadere un controllo sono sempre le stesse:

La logica è semplice: per ogni requisito applicabile un ispettore deve poter vedere chi ha deciso, quando, cosa è stato fatto e come lo si dimostra.

Il ruolo del consiglio di amministrazione

La responsabilità, nella NIS2, sta in alto. L'articolo 23 del decreto attribuisce agli organi di amministrazione l'approvazione delle misure, la supervisione sulla loro attuazione e la responsabilità per le violazioni. Secondo le analisi delle FAQ ACN pubblicate a luglio 2026, l'approvazione dei documenti non è delegabile, mentre le attività operative sì. Ne ho parlato più a fondo nell'articolo su NIS2 e responsabilità degli amministratori.

In un'ispezione questo si traduce in una domanda molto concreta: dov'è la delibera? Se le misure sono state approvate solo dal responsabile IT, il problema non è tecnico ma di governance.

Cosa si rischia

Le sanzioni del decreto sono proporzionate al fatturato. Per le violazioni degli obblighi sostanziali i massimali riportati dalle fonti di settore sono:

• soggetti essenziali: fino a 10 milioni di euro o al 2% del fatturato annuo mondiale, se superiore;
• soggetti importanti: fino a 7 milioni di euro o all'1,4% del fatturato annuo mondiale, se superiore.

Per stimare il massimale nel tuo caso puoi usare il calcolatore delle sanzioni NIS2. Più del numero, però, conta il percorso: l'ACN può prima diffidare e chiedere di rimediare entro un termine, e le conseguenze personali per i vertici diventano più pesanti quando la diffida resta senza risposta.

Prepararsi alle ispezioni NIS2 in quattro settimane

Se la scadenza è passata o è vicina, non serve ricominciare da capo. Serve mettere ordine in quello che già esiste.

1. Allinea il riferimento normativo. Verifica che gap analysis e documenti citino la determinazione 379907/2025 e i suoi allegati, non il testo di aprile 2025.
2. Costruisci la matrice delle evidenze. Una riga per requisito applicabile, con documento, versione, data di approvazione, responsabile e posizione del file.
3. Porta le misure in consiglio. Una delibera che approva il pacchetto di misure e il piano per i requisiti ancora aperti vale più di dieci documenti tecnici.
4. Prova la procedura incidenti. Una simulazione di un'ora, con verbale, dimostra che la procedura non è solo carta.
5. Prepara il fascicolo. Una cartella unica, con indice, che possa essere consegnata in poche ore. Il giorno dell'ispezione non è il momento di chiedere ai colleghi dove sono i file.
6. Documenta i gap. Un requisito non ancora attuato, con piano, budget e data, è molto diverso da un requisito ignorato.

Per un controllo rapido del livello di preparazione puoi usare l'autovalutazione NIS2.

Come si svolge una verifica, in pratica

Le modalità operative delle verifiche saranno chiarite dall'esperienza dei prossimi mesi, ma la sequenza tipica di un controllo documentale è prevedibile e conviene prepararsi su ognuno dei passaggi.

La richiesta. Arriva una comunicazione che indica l'oggetto della verifica e chiede documenti entro un termine. La prima cosa da fare è nominare un referente unico, che coordini le risposte ed eviti che ogni funzione invii materiale per conto proprio.

L'esame dei documenti. Gli ispettori confrontano ciò che è stato dichiarato sulla piattaforma ACN con le evidenze. Le incoerenze più comuni sono banali: un fornitore critico assente dall'inventario, una procedura che cita un ruolo non più esistente, una politica approvata dopo la data in cui si dichiarava già attuata.

Le domande di approfondimento. Su alcuni requisiti verranno chieste spiegazioni o prove ulteriori. Qui fa la differenza avere persone che conoscono i documenti, non solo chi li ha archiviati.

L'esito. Se emergono carenze, il percorso previsto dal decreto parte di norma da prescrizioni e termini per rimediare. Un piano di adeguamento credibile, già approvato prima della verifica, è la migliore premessa per un esito gestibile.

Il fascicolo: come organizzarlo

Il fascicolo che consiglio ha una struttura semplice, che chiunque possa leggere senza spiegazioni:

1. Indice generale con l'elenco dei requisiti applicabili e il rinvio ai documenti.
2. Sezione governance: delibere, nomine, verbali delle sedute in cui si è parlato di sicurezza.
3. Sezione rischio: analisi dei rischi, piano di trattamento, registro delle eccezioni accettate.
4. Sezione tecnica: politiche, procedure, configurazioni significative, rapporti di test.
5. Sezione fornitori: elenco dei fornitori rilevanti, clausole contrattuali, esiti delle verifiche.
6. Sezione formazione: piano, materiali, presenze, anche per i vertici.
7. Registro delle modifiche: cosa è cambiato e quando, per dimostrare che il sistema è vivo.

Ogni documento deve riportare versione, data e approvazione. Un documento senza data, durante un'ispezione, vale poco: non dimostra quando la misura è diventata operativa.

Cosa fare adesso

Le ispezioni NIS2 premiano chi sa dimostrare, non chi sa raccontare. Il passo più utile di questa settimana è aprire la matrice delle evidenze e segnare in rosso ogni requisito senza documento o senza approvazione. Da lì nasce il piano delle prossime settimane. Se vuoi un affiancamento per la gap analysis e per preparare il fascicolo, trovi il metodo nella pagina sulla consulenza NIS2; la checklist NIS2 è un buon punto di partenza per il controllo interno.