NIS2 in pratica: la checklist di un RSI verso il 31 ottobre 2026

Da quando ricopro il ruolo di Responsabile della Sicurezza delle Informazioni ho imparato che la NIS2 si affronta male quando la si tratta come un progetto tecnologico, e bene quando la si tratta come un progetto di governo. Questo articolo, aggiornato a settembre 2026, raccoglie la checklist che uso: cosa è già scaduto, cosa scade il 31 ottobre e cosa viene dopo.

Il quadro in Italia

La direttiva (UE) 2022/2555 è stata recepita con il D.Lgs. 138/2024. L'Agenzia per la Cybersicurezza Nazionale (ACN) ne ha dettagliato l'attuazione con una serie di determinazioni, la più importante delle quali è la Determinazione 379907/2025 del 19 dicembre 2025: definisce le misure di sicurezza di base e gli incidenti significativi da notificare.

Gli adempimenti già scaduti

Se la tua organizzazione è un soggetto NIS2, questi passaggi dovrebbero essere già stati completati:

• Registrazione sulla piattaforma ACN (finestra ordinaria gennaio–febbraio 2025).
• Censimento degli organi di amministrazione e designazione del sostituto del punto di contatto (luglio 2025).
• Designazione del referente CSIRT (novembre–dicembre 2025).
• Aggiornamento annuale dei dati, incluso l'elenco dei fornitori rilevanti (15 aprile – 31 maggio 2026).
• Categorizzazione di attività e servizi (1 maggio – 30 giugno 2026).

Se qualcuno di questi passaggi manca, la priorità assoluta è sanarlo: senza anagrafica corretta, tutto il resto poggia sul vuoto.

Notifica degli incidenti: già operativa

Dal 15 gennaio 2026 gli incidenti significativi vanno notificati al CSIRT Italia secondo una sequenza precisa:

1. Pre-notifica entro 24 ore da quando si viene a conoscenza dell'incidente.
2. Notifica entro 72 ore, con una prima valutazione di gravità e impatto.
3. Relazione finale entro un mese.

Il punto critico non è compilare il modulo: è accorgersi in tempo. Serve una procedura che definisca chi decide se un evento è «significativo», chi notifica, chi informa il vertice e come si conservano le evidenze. E serve provarla con una simulazione prima che arrivi l'incidente vero.

La scadenza del 31 ottobre 2026: le misure di base

Per i soggetti inseriti nell'elenco NIS nel 2025, il 31 ottobre 2026 è il termine per adottare le misure di sicurezza di base: 87 requisiti per i soggetti importanti, 116 requisiti per i soggetti essenziali. Per chi è entrato nell'elenco nel 2026 il termine è il 31 luglio 2027.

Le misure seguono la struttura del framework nazionale per la cybersecurity. Nella mia checklist le raggruppo in sei blocchi:

• Governo: ruoli e responsabilità, politiche approvate dagli organi di gestione, piano di formazione.
• Asset e rischio: inventario di sistemi, dati e servizi; analisi del rischio; piano di trattamento.
• Protezione: gestione di identità e accessi, autenticazione a più fattori, gestione delle vulnerabilità e degli aggiornamenti, backup.
• Rilevamento: log, monitoraggio e criteri per riconoscere un incidente.
• Risposta e ripristino: piano di risposta, notifica, continuità operativa, test.
• Catena di fornitura: requisiti di sicurezza nei contratti ICT e valutazione dei fornitori critici.

Una misura non documentata, per un'ispezione, è una misura non adottata. Ogni requisito deve avere un responsabile, un'evidenza e una data.

La responsabilità degli organi di gestione

La novità più sottovalutata della NIS2 è l'articolo sulla governance: gli organi di amministrazione e direttivi approvano le modalità di implementazione delle misure, ne sovrintendono l'attuazione, sono responsabili delle violazioni e devono seguire una formazione in materia di sicurezza informatica. Le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali e fino a 7 milioni o all'1,4% per gli importanti, con possibili conseguenze personali per chi dirige.

Per questo il primo deliverable che porto a un consiglio di amministrazione non è un piano tecnico: è una pagina che spiega quali rischi corre l'azienda, cosa si sta facendo, entro quando e con quale budget.

Le cinque cose da fare entro fine ottobre

1. Chiudere la gap analysis sui requisiti applicabili e assegnare un responsabile a ciascuno.
2. Far approvare le politiche di sicurezza dall'organo di gestione, con verbale.
3. Completare inventario degli asset e analisi del rischio.
4. Formalizzare e testare la procedura di gestione e notifica degli incidenti.
5. Raccogliere le evidenze in un fascicolo ordinato e aggiornabile.

E dopo il 31 ottobre?

La NIS2 non finisce con una scadenza: impone un ciclo continuo di aggiornamento dei dati, revisione del rischio, formazione e miglioramento. È il motivo per cui molte organizzazioni scelgono un CISO as a Service: un presidio stabile, senza il costo di una figura dirigenziale a tempo pieno.