Agenzia per la Cybersicurezza Nazionale (ACN), soggetti essenziali e importantimedium
NIS2, il 31 ottobre finisce il tempo in cui bastava dichiarare
Il calendario italiano di NIS2 arriva alla sua tappa più impegnativa. Dopo la registrazione sulla piattaforma ACN, la comunicazione dell'elenco fornitori e la categorizzazione di attività e servizi — adempimenti tutti già scaduti nel primo semestre 2026 — resta l'obbligo sostanziale: rendere operative entro ottobre 2026 le misure di sicurezza di base previste dal decreto legislativo 138/2024. È il passaggio in cui l'adeguamento smette di essere documentale. Da lì in avanti l'Agenzia dispone dei poteri ispettivi e sanzionatori, e la differenza fra chi si è preparato e chi ha compilato moduli diventa verificabile.
Dove siamo nel calendario
NIS2 è la direttiva europea che estende gli obblighi di cybersicurezza a un numero molto più ampio di organizzazioni rispetto alla NIS del 2016, e che sposta il baricentro dalla segnalazione degli incidenti alla gestione del rischio. In Italia è stata recepita con il decreto legislativo 138 del 2024, che affida all'Agenzia per la Cybersicurezza Nazionale il compito di dettagliare tempi e contenuti dell'adeguamento.
Il metodo scelto da ACN è la gradualità: non tutti gli obblighi partono insieme, e gli adempimenti sono stati distribuiti su finestre temporali successive. Il risultato è un calendario che nel 2026 è particolarmente fitto, e la cui parte più visibile — quella fatta di registrazioni e moduli — è ormai alle spalle.
- Gennaio-febbraio 2026Registrazione
Finestra per iscriversi o rinnovare l'iscrizione sulla piattaforma ACN.
- Aprile-maggio 2026Fornitori
Comunicazione dell'elenco dei fornitori rilevanti con le informazioni richieste.
- Maggio-giugno 2026Categorizzazione
Elencazione e categorizzazione di attività e servizi, con scadenza al 30 giugno.
- Ottobre 2026Misure di base
Le misure di sicurezza di base devono essere pienamente operative.
Perché ottobre è diverso da tutto il resto
Le tappe del primo semestre hanno una caratteristica in comune: si assolvono compilando. Ci si registra, si elencano i fornitori, si categorizzano attività e servizi. Sono adempimenti che richiedono tempo, coordinamento interno e qualche decisione non banale — soprattutto la categorizzazione, che chiede di dichiarare quanto pesa ciascuna area di attività — ma restano operazioni sul piano documentale.
La scadenza di ottobre no. Chiede che siano operative le misure di sicurezza di base: autenticazione a più fattori, controllo degli accessi, backup, gestione delle vulnerabilità, procedure di risposta agli incidenti. Sono cose che si dimostrano funzionando, non dichiarando.
C'è anche una differenza di natura giuridica che vale la pena tenere presente. Un adempimento dichiarativo si assolve o non si assolve: o il modulo è stato inviato entro il termine, o non lo è stato. Una misura di sicurezza, invece, è un continuum. L'autenticazione a più fattori attiva su tutti gli accessi amministrativi non è la stessa cosa di quella attiva solo sulla posta. Il backup che esiste non è quello che è stato provato. La procedura di risposta scritta non è quella che qualcuno ha esercitato.
È qui che le organizzazioni si dividono in due, e la separazione non passa per la dimensione ma per la scelta fatta mesi prima: chi ha usato il percorso NIS2 come occasione per mettere ordine, e chi lo ha usato come esercizio di conformità.
Un dettaglio che conta più di quanto sembri: le notifiche
Un obbligo che non ha una scadenza autunnale perché è già attivo — e che nella pratica è quello che si sbaglia più spesso — è la notifica degli incidenti significativi a CSIRT Italia.
La ragione per cui si sbaglia è quasi sempre la stessa: nel momento dell'incidente nessuno sa chi deve notificare, cosa conta come significativo e entro quando. Sono tre informazioni che si recuperano male sotto pressione e benissimo in un pomeriggio tranquillo di agosto.
Vale la pena verificarle adesso, in questo ordine: chi ha le credenziali per accedere alla piattaforma di notifica (e cosa succede se quella persona è in ferie); dove è scritta la soglia oltre la quale un incidente diventa significativo per la vostra organizzazione; quale procedura interna collega chi si accorge del problema a chi deve compilare la notifica.
Cosa è verificato e cosa no
Su questo articolo va fatta una dichiarazione esplicita, perché riguarda la qualità delle fonti.
Sono solidi e verificabili: l'esistenza e il contenuto generale della Direttiva (UE) 2022/2555, il recepimento italiano con il D.Lgs. 138/2024, il ruolo di ACN e di CSIRT Italia, l'impianto graduale del percorso di adeguamento.
Sono coerenti fra più fonti professionali indipendenti ma non li abbiamo letti nel testo originale: i numeri e le date esatte delle singole determinazioni del Direttore Generale di ACN che scandiscono le finestre del 2026, e la data puntuale entro ottobre a cui è fissato il termine per le misure di base. Il portale dell'Agenzia risponde in modo poco affidabile alle richieste automatiche, e non abbiamo potuto consultare direttamente i provvedimenti.
Chi deve prendere decisioni operative — soprattutto se la propria organizzazione rientra nel perimetro — deve verificare date e adempimenti sulla piattaforma ACN e sui provvedimenti pubblicati dall'Agenzia, non su questa pagina né su una rassegna stampa. Vale come regola generale: per gli obblighi normativi, la fonte è l'atto.
Cosa fare nelle settimane che restano
Riguardare la categorizzazione già inviata. Se è stata compilata di fretta a giugno, è il documento che descrive all'Agenzia quanto pesano le vostre attività. Le misure che vi si chiederanno sono modulate su quello. Vale la pena rileggerlo sapendo che è la lente attraverso cui vi si guarda.
Fare l'inventario onesto delle misure di base. Non "abbiamo l'MFA", ma: su quali sistemi, per quali utenti, con quale fattore, e cosa succede a chi non ce l'ha. Non "facciamo i backup", ma: quando è stato l'ultimo ripristino provato davvero, e quanto è durato.
Provare la notifica prima di doverla fare. Anche solo verificare che l'accesso funzioni e che si sappia chi entra è un esercizio da mezz'ora che vale una giornata al momento sbagliato.
Guardare la catena dei fornitori. L'elenco è stato comunicato in primavera; la domanda successiva — che è quella sostanziale — è cosa succede se uno di quelli si ferma. La NIS2 mette la sicurezza della catena di approvvigionamento fra le misure di gestione del rischio, ed è la parte che si costruisce peggio in fretta.
Il punto
L'adempimento è una data. La sicurezza è quello che resta il giorno dopo, quando non c'è più niente da inviare.
Le organizzazioni che a novembre saranno messe meglio non sono quelle che avranno rispettato più scadenze: sono quelle che avranno usato le scadenze per fare cose che comunque servivano.
