In sintesi
- Il 31 ottobre 2026 scade il termine per le misure di base ACN dei soggetti in elenco dal 2025.
- 87 requisiti per i soggetti importanti, 116 per gli essenziali.
- Contano le evidenze e l'approvazione degli organi di gestione, non le dichiarazioni.
Mancano poche settimane al 31 ottobre 2026, il termine entro cui i soggetti inseriti nell'elenco NIS nel corso del 2025 devono adottare le misure di sicurezza di base previste dalla Determinazione ACN 379907/2025, attuativa del D.Lgs. 138/2024.
Cosa scade il 31 ottobre
Le misure di base sono il primo livello di sicurezza richiesto dalla NIS2 in Italia. Il perimetro è diverso a seconda della classificazione:
| Soggetto | Requisiti delle misure di base |
|---|---|
| Importante | 87 |
| Essenziale | 116 |
La notifica degli incidenti significativi è invece già operativa: pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese.
Le tre priorità delle ultime settimane
- Governance formalizzata: gli organi di gestione approvano le misure, ne rispondono e devono formarsi. Serve una delibera, non una mail.
- Evidenze, non intenzioni: per ogni requisito occorre poter dimostrare che cosa è stato fatto — policy, registri, verbali, configurazioni.
- Filiera: la gestione del rischio dei fornitori ICT fa parte delle misure. Contratti e questionari vanno aggiornati.
Cosa fare se si è in ritardo
Meglio un piano credibile e documentato che una conformità dichiarata e non dimostrabile. Una gap analysis rapida sui requisiti applicabili, un piano di rientro con responsabili e date e un primo pacchetto di policy approvate dal board sono il minimo per arrivare alla scadenza con una posizione difendibile.
Per la checklist completa, dal punto di vista di chi ricopre il ruolo di Responsabile della Sicurezza delle Informazioni, leggi l'approfondimento NIS2 in pratica. Se vuoi impostare la roadmap con il supporto di un CISO, trovi i dettagli nel servizio CISO as a Service.
Domande frequenti
Chi deve rispettare la scadenza NIS2 del 31 ottobre 2026?
I soggetti inseriti nell'elenco NIS nel corso del 2025, che devono adottare le misure di sicurezza di base della Determinazione ACN 379907/2025.
Cosa succede se un'organizzazione arriva in ritardo?
È essenziale disporre almeno di una gap analysis, di un piano di rientro con responsabili e date e di policy approvate dagli organi di gestione, così da dimostrare un percorso concreto.