Il passaggio dalla pianificazione alla prova dei fatti
Ottobre 2026 è il mese in cui l'attuazione della normativa NIS entra nella fase più concreta. Il decreto legislativo 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024, ha recepito la Direttiva (UE) 2022/2555 e ha affidato all'Agenzia per la cybersicurezza nazionale (ACN) il ruolo di Autorità competente. Per le imprese inserite nell'elenco nazionale dei soggetti NIS nel 2025, scade ora il termine di 18 mesi, calcolato dalla ricezione della comunicazione di inserimento, per adottare le misure di sicurezza di base.
È il seguito di un percorso che avevamo descritto nei suoi passaggi iniziali in un precedente approfondimento sulla NIS2 e le PMI italiane: dopo la registrazione e l'obbligo di notifica degli incidenti significativi, operativo da gennaio 2026, la normativa chiede ora che i presidi di sicurezza siano effettivamente in funzione.
Cosa prevede la determinazione ACN 379907/2025
Le misure da adottare sono fissate dalla determinazione ACN 379907/2025, che distingue due livelli. I soggetti importanti devono applicare le misure dell'allegato 1, i soggetti essenziali quelle, più estese, dell'allegato 2. Gli allegati 3 e 4 indicano invece gli incidenti significativi da notificare al CSIRT Italia per ciascuna categoria.
Le misure seguono il Framework nazionale per la Cybersecurity e la Data Protection, edizione 2025, e sono organizzate in funzioni, categorie, sottocategorie e requisiti. Ogni misura ha un codice e una descrizione, mentre i requisiti indicano cosa serve in concreto per considerarla attuata. Per facilitare la lettura, l'Agenzia ha pubblicato una guida alle specifiche di base e linee guida per definire il processo di gestione degli incidenti. A settembre si è aggiunto il Vademecum NIS, con il calendario degli adempimenti e le FAQ sugli obblighi degli organi di amministrazione.
Nuovi soggetti, elenco aggiornato e misure rafforzate
Non tutte le imprese hanno la stessa scadenza. Con la determinazione 127434/2026 del 13 aprile, ACN ha stabilito che i soggetti inseriti per la prima volta nell'elenco nel 2026 devono adottare le misure di base entro luglio 2027; per loro l'obbligo di notifica degli incidenti decorre dal 1° gennaio 2027, con la designazione del referente CSIRT entro la fine del 2026.
Il 18 settembre l'Agenzia ha comunicato l'aggiornamento dell'elenco, frutto di oltre 2.000 registrazioni tardive e di circa 2.000 istruttorie di revisione esaminate tra maggio e luglio. Nella stessa occasione è stata avviata la consultazione sulle misure di sicurezza rafforzate, destinate a integrare e sostituire nel tempo quelle di base. La prossima finestra di registrazione o aggiornamento si aprirà il 1° gennaio 2027 e si chiuderà il 28 febbraio 2027.
Le ricadute sulle PMI e il ruolo delle associazioni
Per molte piccole e medie imprese il tema non si esaurisce con la verifica della propria posizione. La determinazione 127437/2026 ha introdotto l'elencazione dei fornitori rilevanti nell'aggiornamento annuale delle informazioni: i soggetti NIS dovranno quindi conoscere meglio la propria catena di approvvigionamento, anche digitale, e chiederanno con maggiore frequenza garanzie di sicurezza a chi lavora per loro.
La priorità operativa è recuperare la data della propria comunicazione di inserimento, confrontare i presidi esistenti con l'allegato di riferimento e documentare le misure adottate, con il coinvolgimento diretto degli organi di amministrazione. In questo passaggio le associazioni di rappresentanza svolgono un ruolo di ponte: aiutano a interpretare le determinazioni, raccolgono i quesiti delle imprese e, attraverso i servizi di orientamento e il dialogo con le istituzioni, contribuiscono a trasformare un obbligo normativo in un rafforzamento stabile della resilienza del tessuto produttivo.