NIS2, ottobre 2026 si avvicina: 9 domande per capire se la tua azienda è davvero pronta
Aggiornamento: 7 giorni fa
Ottobre 2026 non è semplicemente un’altra data nel calendario della cybersecurity.
Per molti soggetti inseriti nell’elenco NIS nel 2025 rappresenta il momento entro il quale arrivare all’attuazione delle misure di sicurezza di base previste dal quadro NIS italiano.
Il nuovo Vademecum NIS pubblicato da ACN nel settembre 2026 richiama infatti proprio ottobre come prima scadenza rilevante per i soggetti della cosiddetta “coorte 2025”. Per i soggetti inseriti nell’elenco nel 2026 il calendario iniziale è differente e porta invece verso il 2027.
Ma c’è un punto ancora più importante della data.
Adeguarsi alla NIS2 non significa acquistare un prodotto di cybersecurity.
Non basta installare un firewall, aggiungere un antivirus o acquistare un servizio di backup.
La normativa richiede un approccio molto più ampio: governance, analisi del rischio, protezione dei sistemi, gestione degli incidenti, continuità operativa, sicurezza della supply chain, formazione delle persone e capacità di dimostrare ciò che è stato realmente implementato.
Ed è proprio da qui che conviene partire.
NIS2: da normativa a processo aziendale
La Direttiva europea NIS2 richiede ai soggetti interessati di adottare misure tecniche, operative e organizzative appropriate e proporzionate ai rischi.
Tra gli ambiti espressamente previsti troviamo analisi dei rischi, gestione degli incidenti, business continuity e disaster recovery, sicurezza della catena di approvvigionamento, vulnerability management, valutazione dell'efficacia delle misure, formazione cyber, crittografia e controllo degli accessi.
In Italia la Direttiva è stata recepita con il D.Lgs. 4 settembre 2024 n. 138.
Un elemento da non sottovalutare è il coinvolgimento diretto del management: gli organi di amministrazione e direttivi devono approvare le modalità di implementazione delle misure, sovrintendere alla loro attuazione e seguire una formazione in materia di sicurezza informatica.
In altre parole:
la NIS2 non è un progetto da lasciare esclusivamente all'IT.
È un tema di gestione aziendale.
Le 9 domande da fare oggi alla propria organizzazione
Non serve partire da centinaia di controlli contemporaneamente.
Un buon primo passo è capire dove si trova realmente l'azienda oggi.
1. Sappiamo con certezza se la nostra organizzazione rientra nel perimetro NIS?
Sembra una domanda banale, ma non lo è.
L'applicabilità dipende da diversi elementi: settore, tipologia dell'organizzazione, dimensioni e specifiche condizioni previste dalla normativa.
Inoltre bisogna distinguere tra soggetti essenziali e soggetti importanti e verificare la posizione effettivamente comunicata da ACN.
La prima verifica deve quindi essere documentale:
qual è la nostra posizione NIS e quale calendario si applica alla nostra organizzazione?
Per le aziende inserite nell'elenco nel 2025 il Vademecum ACN indica ottobre 2026 come prima scadenza relativa all'attuazione delle misure di sicurezza di base.
2. Abbiamo identificato ciò che è realmente critico per il business?
Non tutti i sistemi hanno la stessa importanza.
Bisogna identificare almeno:
gestionali, server, infrastruttura di rete, applicazioni cloud, sistemi produttivi, accessi remoti, database, telefonia, connettività, fornitori tecnologici e dati indispensabili per continuare a lavorare.
La domanda da porsi è molto semplice:
se questo sistema smettesse di funzionare domani mattina, cosa succederebbe all'azienda?
È da quella risposta che dovrebbe partire una corretta priorità di intervento.
3. Esiste un'analisi del rischio aggiornata e documentata?
La sicurezza non può basarsi soltanto sulla percezione.
Bisogna conoscere:
cosa può accadere, quali sistemi possono essere colpiti, con quale probabilità e quale potrebbe essere l'impatto sull'attività.
La NIS2 adotta espressamente un approccio basato sul rischio e richiede misure proporzionate alla reale esposizione dell'organizzazione.
Questo significa anche evitare l'errore opposto: implementare tecnologie costose senza aver prima stabilito quali rischi devono effettivamente ridurre.
4. Il backup funziona davvero o semplicemente “esiste”?
Quasi tutte le aziende dichiarano di avere un backup.
La domanda corretta è un'altra:
quando è stato effettuato l'ultimo test reale di ripristino?
Un backup non verificato può dare una falsa sensazione di sicurezza.
Backup, disaster recovery e gestione delle crisi rientrano esplicitamente nelle misure di gestione del rischio previste dalla NIS2.
Bisogna quindi verificare non soltanto che i dati vengano copiati, ma anche:
tempi di conservazione, isolamento delle copie, protezione da ransomware, responsabilità, tempi di recupero e capacità effettiva di ripristinare servizi e dati.
Il problema non è perdere un file. Il vero problema è non poter più lavorare.
È lo stesso principio alla base dell'approccio di TD alla Cloud & Business Continuity.
5. MFA, privilegi amministrativi e accessi remoti sono realmente sotto controllo?
Un account amministrativo compromesso può permettere a un attaccante di raggiungere una parte significativa dell'infrastruttura.
Per questo è necessario verificare almeno:
autenticazione multifattore, account amministrativi, utenti non più utilizzati, privilegi eccessivi, accessi VPN, desktop remoto, accessi di fornitori esterni e credenziali condivise.
La NIS2 cita espressamente politiche di controllo degli accessi e soluzioni di autenticazione multifattore tra gli elementi di sicurezza da considerare.
6. Se avvenisse un incidente domani, sapremmo esattamente cosa fare?
Durante un attacco informatico non è il momento di decidere:
chi deve intervenire, chi deve essere chiamato, come isolare un sistema, quali informazioni conservare e chi deve effettuare eventuali notifiche.
Queste responsabilità devono essere stabilite prima.
Per gli incidenti significativi, l'articolo 25 del D.Lgs. 138/2024 prevede una procedura articolata che comprende una pre-notifica al CSIRT Italia entro 24 ore, la successiva notifica entro 72 ore e una relazione finale secondo le tempistiche previste. Per i soggetti della prima coorte NIS l'obbligo di notifica degli incidenti significativi, legato al termine iniziale dei nove mesi, è già entrato nella fase operativa.
La domanda quindi è:
esiste un Incident Response Plan concretamente utilizzabile anche alle 3 del mattino?
7. Quanto conosciamo realmente i nostri fornitori critici?
La cybersecurity dell'azienda non finisce al perimetro della propria rete.
Software house, fornitori cloud, MSP, operatori TLC, manutentori, consulenti e soggetti che accedono ai sistemi possono diventare parte della superficie di rischio.
La sicurezza della supply chain è infatti espressamente prevista dall'articolo 21 della Direttiva NIS2.
Questo punto rende la normativa interessante anche per molte aziende che non sono direttamente soggetti NIS.
Un cliente soggetto alla normativa può infatti iniziare a chiedere ai propri fornitori:
policy di sicurezza, procedure, certificazioni, SLA, gestione degli accessi, incident response, backup, evidenze e questionari di cybersecurity.
La NIS2 può quindi arrivare nella vostra azienda anche attraverso un contratto commerciale.
8. Personale e management ricevono formazione cyber periodica?
La maggior parte dei sistemi di sicurezza può essere tecnicamente molto evoluta.
Poi arriva una mail.
Qualcuno clicca.
Oppure comunica una password, approva una falsa richiesta di pagamento o utilizza credenziali identiche su più servizi.
La componente umana è parte integrante del rischio informatico e la normativa dedica particolare attenzione alla formazione e alla consapevolezza.
La formazione non dovrebbe quindi essere un corso fatto una volta per “mettere una spunta”.
Dovrebbe diventare un processo periodico.
9. Siamo in grado di dimostrare ciò che abbiamo fatto?
Questa è probabilmente una delle domande più importanti.
Avere implementato una misura è diverso dall'essere in grado di dimostrarne l'implementazione e l'efficacia.
Policy, verbali, configurazioni, test di ripristino, vulnerability assessment, formazione, registri degli incidenti, verifiche degli accessi e valutazioni dei fornitori costituiscono evidenze del percorso svolto.
La Direttiva stessa prevede strategie e procedure per valutare l'efficacia delle misure di gestione del rischio.
Il principio può essere riassunto così:
non basta fare. Bisogna anche verificare, documentare e poter dimostrare.
“Non siamo soggetti NIS2”: possiamo ignorare il tema?
Non necessariamente.
La NIS2 ha un impatto che va oltre le organizzazioni direttamente inserite nell'elenco.
La ragione è la supply chain.
Un'impresa soggetta alla normativa deve considerare anche i rischi derivanti dai propri fornitori e prestatori di servizi.
Questo può tradursi in nuove richieste contrattuali e tecniche rivolte a:
fornitori IT, software house, operatori di telecomunicazioni, cloud provider, partner tecnologici, manutentori e altre imprese coinvolte nei processi critici.
Per molte PMI, quindi, migliorare il proprio livello di sicurezza può diventare non soltanto una questione tecnica.
Può diventare un requisito commerciale per continuare a lavorare con determinati clienti.
Ottobre 2026: cosa fare concretamente adesso
Aspettare l'ultima settimana è probabilmente la scelta peggiore.
Un percorso sensato parte da quattro fasi.
Assessment. Fotografare la situazione reale: asset, infrastruttura, reti, utenti, accessi, backup, applicazioni, fornitori e procedure.
Priorità. Individuare gap e rischi più rilevanti, distinguendo ciò che deve essere affrontato immediatamente da ciò che può essere pianificato.
Implementazione. Mettere in opera misure tecniche, organizzative e operative coerenti con il rischio.
Evidenze. Verificare, testare e documentare ciò che è stato realizzato.
Non significa necessariamente sostituire tutta l'infrastruttura.
Significa sapere dove si è, dove bisogna arrivare e quale percorso è realistico per farlo.
La cybersecurity non dovrebbe iniziare da un prodotto
In Telecomunicazioni e Dati lavoriamo su connettività, networking, cybersecurity, cloud e business continuity partendo dall'analisi dell'infrastruttura e delle reali esigenze dell'organizzazione.
Il nostro approccio alla Cyber Resilience combina protezione della rete, endpoint, accessi, vulnerability management, backup e formazione.
Perché un firewall può essere importante.
Un sistema di backup può essere fondamentale.
Una connessione di backup può evitare un'interruzione.
Ma nessuno di questi elementi, preso singolarmente, rappresenta una strategia.
La sicurezza nasce quando tecnologia, persone e processi lavorano insieme.
Ottobre si avvicina. Non aspettare l'ultima settimana.
Se la tua organizzazione è soggetta alla NIS2, oppure vuoi capire quanto la tua infrastruttura sia realmente pronta, il primo passo può essere molto semplice:
Parlane con noi.
Con un Digital Assessment possiamo fare il punto sulla situazione tecnica e operativa dell'azienda e individuare priorità, criticità e possibili aree di intervento.
Niente prodotti preconfezionati. Prima capiamo cosa serve realmente.
FAQ
Quando scade l'adeguamento NIS2 in Italia?
Non esiste una singola data valida per tutte le organizzazioni. Il Vademecum ACN di settembre 2026 indica ottobre 2026 come prima scadenza per l'attuazione delle misure di sicurezza di base per i soggetti inseriti nell'elenco NIS nel 2025. Per i soggetti inseriti nel 2026 il calendario è differente. Occorre sempre verificare la comunicazione ACN riferita alla propria organizzazione.
La NIS2 obbliga ad acquistare un firewall?
No. La normativa richiede misure tecniche, operative e organizzative adeguate e proporzionate al rischio. Un firewall può essere uno degli strumenti, ma non costituisce da solo un percorso di adeguamento.
Un'azienda non soggetta direttamente alla NIS2 può esserne coinvolta?
Sì. La normativa include la sicurezza della supply chain tra gli ambiti da gestire, perciò i soggetti NIS possono imporre requisiti di sicurezza anche ai propri fornitori critici.
Quanto tempo c'è per notificare un incidente significativo?
Il quadro italiano prevede, nei casi in cui ricorrano i presupposti di incidente significativo, una pre-notifica entro 24 ore, una notifica entro 72 ore e i successivi adempimenti previsti dall'articolo 25 del D.Lgs. 138/2024.
Fonti e approfondimenti
Direttiva (UE) 2022/2555 – NIS2, EUR-Lex. Consulta la Direttiva NIS2 su EUR-Lex
Agenzia per la Cybersicurezza Nazionale – Modalità e specifiche di base NIS. Agenzia delle Entrate
Linee guida NIS – Specifiche di base – Guida alla lettura, ACN. Agenzia delle Entrate
D.Lgs. 4 settembre 2024 n. 138, recepimento italiano della Direttiva NIS2.
Vademecum NIS, settembre 2026, richiamato nelle comunicazioni di settore pubblicate in queste settimane. Certifico
Le informazioni contenute nell'articolo hanno finalità divulgative e non costituiscono consulenza legale né attestazione di conformità NIS2. Applicabilità, obblighi e relative scadenze devono essere verificati sulla specifica posizione dell'organizzazione e sulla documentazione/comunicazione ACN applicabile.
Richiedi un primo Digital Assessment della tua infrastruttura
