Scadenza NIS2: Novembre 2026

  • Normative

Per le organizzazioni che hanno ricevuto la comunicazione da parte di ACN nel corso del 2025, il 2026 rappresenta l'anno in cui gli obblighi previsti dalla normativa NIS2 entrano pienamente nella fase operativa. Dopo le prime scadenze legate alla gestione degli incidenti e all'adeguamento della governance, il prossimo passaggio riguarda l'attuazione delle misure di sicurezza di base definite da ACN, da completare entro il 31 ottobre 2026.

Dal 1° novembre 2026 inizierà quindi una nuova fase, nella quale ACN potrà effettuare attività di verifica e applicare le eventuali sanzioni previste in caso di mancato rispetto degli obblighi.

  • January 1, 2026Obbligo di verifica degli incidenti

    Entrano pienamente in vigore gli obblighi relativi alla verifica e alla gestione degli incidenti di sicurezza.

  • March 31, 2026Adeguamento di governance e policy

    Le organizzazioni devono aver adeguato i propri processi di governance e le policy interne agli obblighi previsti dalla normativa.

  • October 31, 2026Attuazione delle misure di sicurezza di base ACN

    Entro questa data devono essere implementate le misure di sicurezza richieste da ACN.

  • November 1, 2026Inizio delle attività di verifica e del regime sanzionatorio

    A partire da questa data ACN potrà avviare verifiche sull'effettivo adeguamento delle organizzazioni e applicare le sanzioni previste dalla normativa.

Attenzione: questo calendario riguarda esclusivamente i soggetti che hanno ricevuto la comunicazione di inserimento nel perimetro NIS2 da parte di ACN nel 2025.

Chi sono i soggetti coinvolti

La normativa distingue le organizzazioni interessate tra soggetti essenziali e soggetti importanti, sulla base del settore di appartenenza, delle dimensioni dell’organizzazione e della rilevanza dei servizi erogati.
SETTORE
GRANDI IMPRESE
MEDIE IMPRESE
SETTORI ALTAMENTE CRITICI
Energia
Essenziali
Importanti
Settore Bancario
Essenziali
Importanti
Settore sanitario
Essenziali
Importanti
Acque potabili
Essenziali
Importanti
Acque Reflue
Essenziali
Importanti
Infrastrutture digitali
Essenziali
Importanti
Gestione dei servizi TIC (B2B)
Essenziali
Importanti
Spazio
Essenziali
Importanti
SETTORI CRITICI
Servizi postali e di corriere
Importanti
Importanti
Gestione dei rifiuti
Importanti
Importanti
Fabbricazione, produzione e distribuzione di sostanze chimiche
Importanti
Importanti
Produzione, trasformazione e distribuzione di alimenti
Importanti
Importanti
Fornitori di servizi digitali
Importanti
Importanti
Fabbricazione
Importanti
Importanti
Fornitori di servizi digitali
Importanti
Importanti
Ricerca
Importanti
Importanti
ULTERIORI TIPOLOGIE DI SOGGETTI
Pubblica Amministrazione centrale
Essenziale
Essenziale
Pubblica Amministrazione regionale e locale
Importanti
Importanti
Ulteriori tipologie di soggetti
Identificazione dell’Autorità
Identificazione dell’Autorità

Cosa fare entro il 31 ottobre

  • Verifica la registrazione sul portale ACN e la correttezza dei dati.
  • Esegui una gap analysis sulle misure di base ACN: governance e analisi del rischio, gestione degli incidenti, continuità operativa e backup, sicurezza della supply chain, MFA, cifratura, formazione.
  • Attiva un processo di notifica reale: chi segnala cosa al CSIRT entro 24 e 72 ore.
  • Forma gli organi di amministrazione: la formazione del vertice è un obbligo, con responsabilità personale.
  • Attiva un monitoraggio 24/7: senza visibilità continua le finestre di notifica non si rispettano.

Quali sono le sanzioni e a chi si applicano

Le sanzioni si applicano alle organizzazioni classificate come soggetti essenziali o soggetti importanti, in base alle dimensioni aziendali e all’importanza del servizio fornito.

Per i soggetti essenziali:
Sanzioni pecuniarie fino a 10 milioni di euro o fino al 2% del fatturato annuo globale (a seconda dell’importo superiore).
Per i soggetti importanti:
Sanzioni pecuniarie fino a 7 milioni di euro o fino all’1,4% del fatturato annuo globale.

Mancata registrazione: Sanzioni fino allo 0,1% del fatturato in caso di omessa o errata registrazione sul portale dell’ACN.
Tra i tipi di violazione che posso far incorrere in una sanzione, ci sono ad esempio la mancata registrazione al portale ACN, la mancata notifica degli incidenti, l’inadeguatezza delle misure oppure la mancata cooperazione con ACN (es. referente CSIRT non nominato).

Classificazione
Sanzione massima
Percentuale sul fatturato annuo globale
Soggetti Essenziali
Fino a 10 milioni di eruo
Fino al 2%
Soggetti importanti
Fino a 7 milioni di euro
Fino al 1,4%
Omessa o errata registrazione
Fiano allo 0,1% del fatturato

Responsabilità degli organi di amministrazione

La Direttiva NIS2 e il D.Lgs. 138/2024 impongono ai vertici aziendali una responsabilità diretta nella sicurezza informatica, con obblighi di diligenza e garanzia. La delega non esonera dalla vigilanza, richiedendo competenze specifiche e un approccio proattivo

Gli obblighi principali dei vertici

  • Approvazione: I manager devono approvare formalmente le misure di gestione del rischio informatico.
  • Supervisione: Hanno il dovere di controllare l’attuazione concreta di tali misure all’interno dell’organizzazione.
  • Formazione: È obbligatorio seguire corsi di formazione specifica in cybersecurity e promuoverne l’accesso anche ai dipendenti.

Valuta l’impatto del percorso di adeguamento NIS2

Arrivare alla scadenza del 31 ottobre con un percorso di adeguamento coerente richiede di tradurre le Misure di Sicurezza ACN in interventi compatibili con il perimetro tecnologico e con il livello di maturità dell’organizzazione. NIS2do supporta questa valutazione mettendo in relazione i requisiti applicabili con le attività necessarie per l’adeguamento, così da stimare l’effort richiesto e il budget associato agli interventi. In questo modo i responsabili del rischio possono costruire un piano di adeguamento basato sul contesto reale dell’organizzazione, definendo le priorità di intervento e valutandone in anticipo la sostenibilità economica.

Articoli consigliati