In sintesi
- I soggetti inseriti nell'elenco NIS nel 2025 hanno 18 mesi dalla comunicazione di inserimento per attuare le misure di base.
- Il riferimento è la Determinazione ACN 379907/2025: Allegato 1 per gli importanti, Allegato 2 per gli essenziali.
- Contano le evidenze dell'attuazione, non solo le policy approvate.
- Gli organi di amministrazione devono approvare e sovrintendere le misure (art. 23).
Le misure di sicurezza di base NIS2 hanno una scadenza che per molte organizzazioni cade proprio questo mese. Scrivo questo articolo, aggiornato a ottobre 2026, perché nel mio lavoro di RSI vedo un errore ricorrente: si confonde l'avere le policy con l'avere attuato le misure. ACN guarda la seconda cosa.
Chi scade e quando
La regola, secondo il Vademecum NIS di ACN riassunto da Unindustria, riguarda i soggetti inseriti per la prima volta nell'elenco NIS nel 2025. Il termine per adottare le misure di base è di 18 mesi dalla ricezione della comunicazione di inserimento. Per la maggior parte di loro cade a ottobre 2026.
Ottobre però non è una data unica per tutti. Il calcolo parte dal giorno in cui l'organizzazione ha ricevuto la propria comunicazione: va recuperata quella PEC o quella notifica sul portale, e contati diciotto mesi esatti. Chi è entrato nell'elenco nel 2026 ha un percorso diverso, con termini propri.
Cosa chiede la Determinazione ACN
Il riferimento è la Determinazione ACN n. 379907 del 19 dicembre 2025, che disciplina gli obblighi degli articoli 23, 24, 25, 29 e 32 del D.Lgs. 138/2024. Le misure sono differenziate:
| Qualifica | Misure di riferimento |
|---|---|
| Soggetto importante | Allegato 1 della Determinazione 379907/2025 |
| Soggetto essenziale | Allegato 2 della Determinazione 379907/2025 |
Le specifiche poggiano sul Framework Nazionale per la Cybersecurity e la Data Protection. Comprendono misure organizzative, procedurali e tecniche: governo della sicurezza, gestione del rischio, inventari di asset e servizi, politiche e procedure, gestione delle vulnerabilità e degli incidenti, continuità operativa, sicurezza della catena di fornitura, formazione.
Misure di sicurezza di base NIS2: la matrice delle evidenze
Una policy firmata è un punto di partenza. Chi verifica chiede di vedere che cosa è successo dopo la firma. Per rendere concreta la gap analysis costruisco una matrice con una riga per area e tre colonne: cosa deve esistere, quale prova lo dimostra, chi ne risponde.
| Area | Prova tipica | Responsabile |
|---|---|---|
| Governo della sicurezza | Delibera di approvazione delle misure, organigramma della sicurezza | Amministratore delegato |
| Gestione del rischio | Registro dei rischi con data e metodo | Responsabile sicurezza |
| Inventari di asset e servizi | Elenco aggiornato con proprietario di ciascun asset | Responsabile IT |
| Politiche e procedure | Documenti approvati, versionati, comunicati | Responsabile sicurezza |
| Vulnerabilità e incidenti | Report di scansione, registro degli incidenti | Responsabile IT |
| Continuità operativa | Verbale di un test di ripristino | Responsabile IT |
| Catena di fornitura | Registro dei fornitori critici con clausole | Acquisti |
| Formazione | Registro di partecipazione, materiali | Risorse umane |
Ogni cella vuota è un lavoro da fare, e ogni cella con una prova datata è un punto in meno da difendere. Esempio ipotetico: una PMI manifatturiera dichiara di avere una procedura di backup. La prova sarà l'esito di un ripristino di prova eseguito negli ultimi mesi, non il contratto con il fornitore del servizio.
La categorizzazione delle attività e dei servizi, che ACN ha messo al centro del proprio modello, serve a dimensionare le misure sull'importanza reale dei servizi. Non è un modo per fare meno, è un modo per fare dove conta.
Piano in sei settimane
Per chi parte oggi, il tempo è poco ma sufficiente se si evita di fare tutto insieme.
- Settimana 1: recuperare la data della comunicazione, confermare se si è soggetto importante o essenziale, scegliere l'allegato corretto.
- Settimana 2: gap analysis misura per misura, con stato «attuata», «parziale», «assente».
- Settimana 3: chiudere i gap documentali e assegnare i responsabili.
- Settimane 4 e 5: produrre le evidenze tecniche (inventari, test, formazione svolta).
- Settimana 6: presentare il quadro agli organi di amministrazione, che per l'articolo 23 devono approvare e sovrintendere.
Errori che incontro più spesso
Il primo è delegare tutto al reparto IT. L'articolo 23 attribuisce agli organi di amministrazione compiti che non si possono delegare. Il secondo è un inventario degli asset che vive in un foglio di calcolo aggiornato una volta all'anno: se non riflette i servizi che l'azienda eroga, non serve a niente. Il terzo è la formazione fatta senza registro delle presenze.
Cosa fare adesso
Parti dalla verifica di applicabilità con lo strumento gratuito NIS2 e dalla checklist NIS2. Se vuoi una lettura indipendente del tuo punto di partenza, trovi il metodo nella pagina consulente NIS2. Per le basi dell'adempimento rimando anche all'articolo NIS2 in pratica e alla voce di glossario sulle misure di base ACN.
Domande frequenti
Quando scade il termine per le misure di base NIS2?
Per i soggetti inseriti nell'elenco nel 2025 scade 18 mesi dopo la comunicazione di inserimento: per la maggior parte cade a ottobre 2026, ma la data esatta va calcolata caso per caso.
Quale allegato devo seguire?
I soggetti importanti seguono l'Allegato 1 della Determinazione ACN 379907/2025, i soggetti essenziali l'Allegato 2.
Bastano le policy aziendali?
No. Servono misure attuate e prove, ad esempio inventari, test e registri di formazione.
Chi deve occuparsene in azienda?
Non solo l'IT: l'articolo 23 del D.Lgs. 138/2024 chiede agli organi di amministrazione di approvare le misure e sovrintenderne l'attuazione.