Scadenza NIS2 di ottobre 2026: obblighi e piano per le PMI

Introduzione: perché la NIS2 riguarda anche la tua PMI

Il 2026 è l'anno in cui la Direttiva NIS2 (Direttiva UE 2022/2555), recepita in Italia con il D.Lgs. 4 settembre 2024, n. 138, passa dalla fase di registrazione alla compliance operativa. Per la maggior parte delle aziende inserite nell'elenco NIS nel 2025, il termine per implementare le misure di sicurezza di base definite dall'Agenzia per la Cybersicurezza Nazionale (ACN) cade a ottobre 2026: sono 18 mesi dalla comunicazione di inserimento, quindi la data esatta va calcolata azienda per azienda.

Ma il punto che molte PMI sottovalutano è questo: anche se la tua azienda non rientra direttamente nei 18 settori NIS2, potresti essere coinvolta come fornitore di un soggetto obbligato. La NIS2 impone ai soggetti essenziali e importanti di valutare e monitorare la sicurezza della propria supply chain. Se fornisci servizi IT, logistici, di manutenzione o qualsiasi servizio critico a un'azienda NIS2, il tuo profilo di sicurezza diventa parte della loro compliance.

Questa guida spiega in modo pratico chi deve adeguarsi, cosa fare concretamente, quali sono le scadenze e come organizzare un piano di adeguamento realistico per una PMI italiana.

Per il quadro generale degli obblighi NIS2 e una checklist operativa step-by-step, leggi la nostra guida/checklist sulla tematica.

Scadenza NIS2: è davvero il 31 ottobre 2026?

Aggiornamento del 6 ottobre 2026. Non per tutti. Il 31 ottobre è la data che si legge più spesso, ma il termine non è unico: i soggetti inseriti nell'elenco NIS nel 2025 devono adottare le misure di sicurezza di base entro 18 mesi dalla ricezione della comunicazione di inserimento. Le prime comunicazioni sono arrivate a metà aprile 2025, quindi per molte aziende il termine cade a metà ottobre 2026, prima del 31.

Un esempio: comunicazione ricevuta il 14 aprile 2025, termine il 14 ottobre 2026. Lo ribadisce il Vademecum NIS pubblicato dall'ACN a settembre 2026, che richiama i due termini contati dalla comunicazione: 9 mesi per la notifica degli incidenti e 18 mesi per le misure di sicurezza.

Cosa deve essere adottato alla tua data

• Soggetti importanti: le 37 misure dell'Allegato 1 della Determinazione ACN 379907/2025, articolate in 87 requisiti.
• Soggetti essenziali: le 43 misure dell'Allegato 2, articolate in 116 requisiti.
• Organi di amministrazione: approvano le modalità di implementazione delle misure e ne sovrintendono l'attuazione (art. 23 del D.Lgs. 138/2024).

L'obbligo di notifica degli incidenti significativi al CSIRT Italia è invece già in vigore da gennaio 2026.

Chi non scade a ottobre

Se sei stato inserito in elenco nel 2026 valgono i termini della Determinazione ACN 127434/2026: notifica degli incidenti dal 1° gennaio 2027 e misure di sicurezza di base entro il 31 luglio 2027.

Ci sono proroghe?

Al 6 ottobre 2026 non risultano proroghe. Nell'annuncio del Vademecum NIS dell'11 settembre 2026 l'ACN indica ottobre come prima scadenza per le misure di base dei soggetti inseriti in elenco nel 2025. Con la nota "Le novità per i soggetti NIS" del 18 settembre 2026 ha poi avviato la consultazione sulle misure di sicurezza rafforzate: non hanno ancora una data di decorrenza e non spostano il termine delle misure di base.

Chi deve adeguarsi: il perimetro NIS2 in Italia

La Direttiva NIS2 amplia significativamente il raggio d'azione rispetto alla precedente NIS1. In Italia, il D.Lgs. 138/2024 coinvolge soggetti pubblici e privati operanti in 18 settori strategici, classificati in base alla loro rilevanza per l'economia e la società:

Criteri dimensionali e categorie

In linea generale, sono soggette agli obblighi NIS2 le organizzazioni che operano nei settori sopra citati e che hanno:

1. Almeno 50 dipendenti
2. OPPURE un fatturato annuo superiore a 10 milioni di euro.

Esistono tuttavia eccezioni fondamentali: i fornitori di servizi DNS, i registri dei nomi di dominio, i fornitori di servizi di cloud computing e data center rientrano nel perimetro indipendentemente dalla loro dimensione, data la natura critica del servizio offerto.

Soggetti essenziali vs. importanti

La normativa distingue le aziende in due categorie. Sebbene gli obblighi di sicurezza siano pressoché identici, a cambiare radicalmente è il regime di vigilanza e l'entità delle sanzioni:

L'effetto supply chain: perché la NIS2 riguarda (quasi) tutte le PMI

Questo è l'aspetto più sottovalutato dalle PMI italiane. Anche se la tua azienda non rientra formalmente nei parametri dimensionali o settoriali della NIS2, potresti essere coinvolta come fornitore di un soggetto obbligato.

La NIS2 impone infatti ai soggetti essenziali e importanti di monitorare la sicurezza della propria catena di approvvigionamento. In termini pratici, i tuoi clienti più grandi saranno tenuti a:

Se fornisci servizi ICT, logistici o di manutenzione critica, il tuo livello di cybersecurity diventa un requisito di mercato. Non adeguarsi non significa solo rischiare una sanzione, ma rischiare l'esclusione dai contratti con i grandi player industriali.

Scadenze NIS2 nel 2026: il calendario operativo

Il 2026 non è una scadenza generica, ma un percorso a tappe forzate definito dall'Agenzia per la Cybersicurezza Nazionale. Ecco le date critiche che ogni PMI deve segnare in agenda:

Adeguamento NIS2 prima della scadenza: da dove partire

Se la tua azienda rientra nel perimetro, o fornisce servizi a un soggetto che ci rientra, le prime settimane servono a capire dove sei rispetto alle misure richieste.

Richiedi una prima valutazione

Le 10 aree di misure di sicurezza obbligatorie

L'art. 24 del D.Lgs. 138/2024 definisce i dieci pilastri della conformità. Non si tratta di semplici suggerimenti, ma di obblighi tecnici la cui mancata adozione espone l'azienda a sanzioni e responsabilità del management.

Per documentare la gestione delle vulnerabilità richiesta dall'art. 24 del D.Lgs. 138/2024, un vulnerability assessment ricorrente produce le evidenze tecniche (finding, priorità, remediation, retest) da conservare per audit e ispezioni.

Chi deve seguire la formazione NIS2

Per gli organi di amministrazione e direttivi, Nexsys propone un corso NIS2 per aziende e management orientato alla comprensione degli obblighi, delle responsabilità e delle decisioni operative richieste dalla normativa. Il corso è utile per trasformare il tema NIS2 da adempimento formale a percorso di governance, risk management e continuità operativa.

Per gli utenti aziendali, la formazione deve invece concentrarsi sui comportamenti quotidiani che possono generare incidenti: phishing, allegati malevoli, furto credenziali, uso improprio delle password, condivisione non autorizzata dei dati e gestione delle segnalazioni. Per questo proponiamo la formazione di security awareness per utenti aziendali.

La formazione da sola non basta a dimostrare l’adeguamento. Deve essere collegata a un percorso tecnico e documentale che includa risk assessment, gestione degli incidenti, protezione delle identità, controllo degli accessi, continuità operativa e monitoraggio. Per questo Nexsys può affiancare l’azienda con una consulenza NIS2, integrando formazione, roadmap tecnica ed evidenze documentali.

La parte di notifica e gestione incidenti richiede inoltre processi chiari, ruoli definiti e simulazioni periodiche. Un piano di incident response aziendale consente di preparare l’organizzazione a riconoscere un evento significativo, attivare l’escalation corretta e raccogliere le informazioni necessarie per la comunicazione verso CSIRT Italia.

Tra le misure tecniche che devono essere comprese anche dal management rientrano la protezione delle identità e MFA, la revisione degli account privilegiati, la gestione del ciclo di vita degli accessi e la riduzione del rischio legato al furto di credenziali.

La responsabilità del management: un cambio di paradigma

L'art. 23 del D.Lgs. 138/2024 introduce un elemento di rottura storica: la cybersecurity non è più un "problema tecnico" delegabile al solo reparto IT o al fornitore esterno. Diventa una responsabilità diretta e personale degli organi di amministrazione.

Nello specifico, il management è tenuto a:

• Approvare formalmente le modalità di implementazione delle misure di sicurezza.
• Sovrintendere alla loro attuazione pratica.
• Seguire una formazione specifica in materia di cybersecurity per comprendere i rischi e le implicazioni per il business.

Il rischio reale: l'Agenzia per la Cybersicurezza Nazionale (ACN) ha il potere di applicare misure interdittive che includono la sospensione temporanea dall'incarico per i dirigenti apicali dei soggetti essenziali. La conformità, quindi, non è solo una tutela finanziaria (contro sanzioni fino al 2% del fatturato), ma una tutela della continuità operativa del board stesso.

Scadenza NIS2 vicina o già passata: cosa fare se sei in ritardo

Il piano in 6 step che trovi qui sotto richiede circa 18 settimane. Se il tuo termine cade tra pochi giorni, o è già passato, l'ordine delle priorità cambia:

1. Fissa la tua data. Recupera dal portale ACN il giorno in cui hai ricevuto la comunicazione di inserimento e aggiungi 18 mesi. Verifica anche la qualifica, importante o essenziale: decide quale allegato applichi.
2. Misura il divario requisito per requisito. Per ogni requisito dell'allegato segna se è adottato, parziale o assente e quale evidenza hai: configurazioni, registri, verbali dei test.
3. Porta in consiglio le decisioni che spettano agli amministratori. L'approvazione delle modalità di implementazione delle misure e la formazione del management non si delegano all'IT.
4. Chiudi prima ciò che riduce di più il rischio. Autenticazione a più fattori sugli accessi critici e remoti, backup con prova di ripristino, patch delle vulnerabilità esposte, procedura di notifica al CSIRT Italia provata.
5. Pianifica ciò che resta. Per ogni requisito ancora aperto indica responsabile e data di chiusura. Il piano non sostituisce l'adempimento, ma rende governabile quello che manca.

Parla con noi della tua scadenza NIS2

Piano di adeguamento NIS2 in 6 step per le PMI

Per una PMI italiana, il percorso verso la compliance può essere strutturato in una roadmap di circa 18 settimane. Ecco come organizzare i lavori:

Vedi anche la checklist NIS2 in 7 step per il workflow operativo che integra obblighi, governance e misure tecniche. Per definire la roadmap tecnica e organizzativa più adatta alla tua impresa, scopri il nostro servizio di consulenza per l'adeguamento NIS2.

NIS2 e le normative correlate: GDPR, DORA e CRA

Le aziende italiane operano oggi in un ecosistema normativo interconnesso. La buona notizia è che la NIS2 non è un'isola:

Un approccio di compliance integrata permette di evitare duplicazioni, riducendo significativamente i costi complessivi di adeguamento per la PMI.

Chi può seguire l'adeguamento NIS2 di una PMI

L'adeguamento non è un prodotto da installare: richiede competenze di governance, di sicurezza tecnica e di formazione. Quando valuti un fornitore, conviene verificare alcuni punti concreti:

• se parte da una gap analysis sulle misure richieste invece che da un'offerta di prodotti;
• se sa intervenire anche sull'infrastruttura (identità, endpoint, backup, Microsoft 365), non solo sui documenti;
• se può verificare l'esposizione con vulnerability assessment e penetration test;
• se offre formazione per il personale e per gli organi di gestione.

Nexsys, con sede a Bussolengo (Verona), segue le PMI su questi quattro fronti: assessment e gap analysis, interventi sull'infrastruttura Microsoft e di sicurezza, test tecnici e formazione.

Come Nexsys supporta le PMI nell'adeguamento NIS2

Nexsys accompagna le aziende italiane con un approccio operativo, distanziandosi dalla consulenza puramente documentale. La nostra missione non è solo produrre manuali di policy, ma intervenire direttamente sull'infrastruttura tecnologica per garantire una sicurezza reale e resiliente:

Approfondimenti Nexsys

Per costruire una strategia di difesa solida, scopri i nostri servizi verticali dedicati alla protezione dei tuoi asset aziendali:

Risorse utili e riferimenti normativi

Per approfondire gli aspetti legali e tecnici citati in questa guida, consulta le fonti ufficiali:

• D.Lgs. 138/2024: il testo integrale del recepimento italiano della Direttiva NIS2 in Gazzetta Ufficiale.

• ACN NIS2: il portale ufficiale dell'Agenzia per la Cybersicurezza Nazionale dedicato alla direttiva.

• Vademecum NIS (ACN, settembre 2026): il riepilogo ufficiale di adempimenti e scadenze per i soggetti in elenco.

• Le novità per i soggetti NIS (ACN, 18 settembre 2026): aggiornamento dell'elenco e avvio della consultazione sulle misure rafforzate.

• Determinazione ACN 379907/2025: il documento tecnico con l'elenco dettagliato delle misure di sicurezza obbligatorie.

• Rapporto Clusit 2026: l'analisi aggiornata sullo stato della cybersecurity in Italia per comprendere il contesto delle minacce.

• Verizon DBIR 2024: il Data Breach Investigations Report per una visione globale sulle tecniche di attacco più comuni.