Ottobre 2026 è il mese della maturità per il modello NIS. Per migliaia di organizzazioni che, dopo essersi registrate nel 2025 sul Portale ACN, sono state inserite nell'elenco dei soggetti NIS tenuto dall’Agenzia per la Cybersicurezza Nazionale (“ACN”), scade infatti il termine per adottare le misure di sicurezza di base previste dalla normativa NIS2, recepita in Italia con il decreto legislativo n. 138/2024 (“Decreto NIS”). Dopo la stagione delle registrazioni e delle autodichiarazioni, si passa alla sostanza: documenti strategici, scelte di governance e presidi organizzativi devono trovare evidenza formale, con il Consiglio di Amministrazione chiamato a guidare, e ad assumersi, il percorso.
Una scadenza che chiama direttamente in causa i Consigli di Amministrazione (o gli altri organi amministrativi presenti), ai quali spetta approvare la documentazione strategica in materia di cybersicurezza. Gli ambiti da coprire sono undici (l'organizzazione per la sicurezza informatica, le politiche di sicurezza e la valutazione dei rischi per i sistemi informativi e di rete, nonché i piani di trattamento del rischio, di gestione delle vulnerabilità, di adeguamento, di continuità operativa, di ripristino in caso di disastro, di gestione delle crisi, di formazione e di gestione degli incidenti di sicurezza informatica).
Inizialmente non era chiaro quali documenti dovessero essere sottoposti all’approvazione del Consiglio di Amministrazione. Una lettura prudenziale della normativa lasciava infatti intendere che tale obbligo potesse estendersi all’intera documentazione relativa alle misure di sicurezza, comprese procedure e istruzioni operative, con un conseguente aggravio degli adempimenti.
Proprio su questo punto si concentra una delle principali novità del 2026. Con l'aggiornamento delle FAQ del 14 luglio, ACN ha chiarito quali documenti debbano passare al vaglio dei vertici e con quale livello di dettaglio. Il CdA non è tenuto ad approvare ogni singola procedura tecnica. I documenti sottoposti al suo esame devono esprimere gli indirizzi generali, le scelte organizzative e la pianificazione strategica delle misure di sicurezza, mentre istruzioni operative, manuali e procedure di dettaglio possono essere predisposti e aggiornati dalle funzioni competenti.
Le stesse FAQ hanno introdotto flessibilità anche sul piano formale. I contenuti possono confluire anche in un unico documento, e l’aggiornamento dei documenti operativi richiamati negli atti strategici non comporta automaticamente una nuova approvazione da parte del vertice.
Semplificazione, tuttavia, non significa deresponsabilizzazione. Agli amministratori resta il compito, non delegabile, di approvare le scelte fondamentali, oltre a quello di vigilare sull'attuazione delle misure e di acquisire adeguate competenze in materia di cybersicurezza.
Proprio in questa prospettiva, per il General Counsel, per la funzione compliance e per il responsabile della cybersicurezza, la seduta di ottobre è anche l'occasione per andare oltre l'adempimento e portare in CdA una fotografia d'insieme: non solo lo stato di adozione delle misure di sicurezza di base, ma il grado di avanzamento complessivo del framework di cybersicurezza, l'esito degli assessment svolti, il piano di remediation sulle principali vulnerabilità, l'andamento degli incidenti rilevati e la postura di sicurezza dell'organizzazione rispetto al proprio profilo di rischio e all'evoluzione del contesto di minaccia. Le misure di base rappresentano il pavimento normativo; la postura è ciò che consente al vertice di esercitare un giudizio informato e di dare sostanza al dovere, appena richiamato, di indirizzo, vigilanza e aggiornamento.
Quanto alla platea dei destinatari, i numeri restituiscono bene la dimensione del fenomeno. Secondo la Relazione annuale al Parlamento dell'ACN relativa al 2025, a fronte di oltre 30.000 autodichiarazioni iniziali, sono stati individuati più di 21.800 soggetti NIS, suddivisi nelle categorie degli essenziali e degli importanti in funzione delle caratteristiche previste dalla normativa, tra cui settore di attività e dimensioni. Per comprendere la trasversalità della disciplina, basti pensare che l'ACN rileva oltre 4.000 soggetti nel comparto manifatturiero, più di 3.000 nella filiera alimentare e oltre 2.000 ciascuno nei settori dell'energia, della sanità, delle infrastrutture digitali e della gestione dei servizi informatici. Non si tratta, dunque, di una normativa riservata a poche infrastrutture strategiche, ma di un intervento che coinvolge una parte significativa del sistema economico nazionale.
Se ottobre 2026 costituisce uno snodo fondamentale, il calendario NIS è comunque destinato a proseguire anche nei prossimi anni, come mostra il Vademecum pubblicato da ACN nel settembre 2026, che riepiloga le finestre annuali degli adempimenti. Tra il 1° gennaio e il 28 febbraio 2027, le organizzazioni interessate dovranno effettuare o aggiornare la registrazione sulla piattaforma ACN, secondo le modalità previste dal decreto NIS. Successivamente, tra il 15 aprile e il 31 maggio 2027, sarà necessario trasmettere o aggiornare le ulteriori informazioni richieste dalla normativa, comprese quelle relative all'organizzazione, ai referenti e, nei casi previsti, ai fornitori rilevanti. Resta inoltre fermo l'obbligo di aggiornare le informazioni già comunicate entro 14 giorni dalle variazioni. Tra il 1° maggio e il 30 giugno 2027 tornerà poi l'appuntamento con la categorizzazione delle attività e dei servizi, un adempimento già affrontato nel 2026 e destinato a diventare parte integrante della gestione periodica della cybersicurezza.
Proprio su questa finestra di registrazione interviene una novità di questi giorni. Con la Determinazione n. 314287/2026, pubblicata il 23 ottobre 2026, l'ACN ha semplificato il percorso di accreditamento alla piattaforma in vista della campagna 2027. In sintesi, i soggetti NIS che hanno già trasmesso in passato la dichiarazione e non hanno modifiche da comunicare non saranno tenuti a presentarne una nuova; parallelamente, sono state aggiornate le FAQ dedicate alla registrazione e, soprattutto, è stato fissato un termine ultimo per le dichiarazioni tardive: il 31 ottobre 2026. Un intervento che riduce gli oneri formali per i soggetti già in regola ma, allo stesso tempo, chiude la finestra per i ritardatari.
Particolare attenzione dovranno prestare anche i soggetti entrati per la prima volta nell'elenco NIS nel 2026. Per questi ultimi, la Determinazione ACN n. 127434/2026 ha stabilito due appuntamenti fondamentali: dal 1° gennaio 2027 decorrerà l'obbligo di notifica degli incidenti significativi di base al CSIRT Italia, mentre entro il 31 luglio 2027 dovranno essere adottate le misure di sicurezza di base, compresi gli adempimenti di approvazione della documentazione strategica da parte degli organi di amministrazione competenti.
Il calendario degli adempimenti, insomma, è tutt’altro che esaurito, anche perché le misure di sicurezza di base rappresentano soltanto una prima fase del percorso di rafforzamento previsto dalla NIS2. Infatti, il processo di categorizzazione delle attività e dei servizi costituisce un presupposto per la futura definizione di ulteriori misure di sicurezza a lungo termine, destinate a integrare gli obblighi già esistenti secondo criteri di gradualità e proporzionalità.
Ciò significa che le organizzazioni dovranno prepararsi a un progressivo innalzamento del livello di sicurezza richiesto, anche in funzione della criticità dei sistemi e dei servizi gestiti. Le ulteriori specifiche e i relativi tempi di attuazione saranno disciplinati dai successivi provvedimenti dell'ACN.
A qualcuno questa sequenza di obblighi, documenti e scadenze potrebbe sembrare un esercizio prevalentemente burocratico. Gli incidenti degli ultimi anni dimostrano invece quanto la sicurezza informatica incida sulla vita delle persone e sulla continuità delle attività economiche: nel 2020 un grande gruppo industriale italiano, leader mondiale nel settore dell’ottica, ha dovuto sospendere temporaneamente produzione e logistica in alcuni stabilimenti, mentre nel 2021 un ransomware ha compromesso circa 180 server virtuali di un’importante amministrazione regionale, con gravi interruzioni dei servizi sanitari e amministrativi. Casi diversi, ma accomunati da un elemento: un attacco cyber può trasformarsi rapidamente in una crisi operativa, economica e sociale, che compromette la continuità dei servizi, genera danni economici, espone informazioni riservate e incide sulla fiducia degli utenti.
È proprio per prevenire e limitare conseguenze di questo tipo che la NIS2 richiede un approccio strutturato alla gestione dei rischi informatici.
L’attenzione del legislatore alla cybersicurezza, peraltro, non si esaurisce nella NIS2. Negli ultimi anni l'Unione europea ha costruito un quadro normativo sempre più articolato: il regolamento DORA, applicabile dal gennaio 2025, rafforza la resilienza operativa digitale del settore finanziario, mentre il Cyber Resilience Act (CRA) introduce requisiti di sicurezza informatica per i prodotti hardware e software con elementi digitali, prevedendo obblighi applicabili progressivamente. Anche il legislatore italiano è intervenuto con strumenti specifici, dal Perimetro di sicurezza nazionale cibernetica (PSNC), destinato a proteggere infrastrutture e funzioni di particolare rilevanza strategica, fino alla legge n. 90/2024, che ha ulteriormente rafforzato il quadro nazionale in materia di cybersicurezza e contrasto ai reati informatici.
Si delinea così un sistema nel quale la sicurezza digitale non viene più affrontata soltanto come protezione del singolo computer o della singola rete, ma come requisito fondamentale per il funzionamento delle organizzazioni, l'affidabilità dei prodotti e la continuità dei servizi.
Ottobre 2026, quindi, non è il traguardo, ma soltanto una tappa di una vera e propria roadmap di compliance NIS2, quale parte integrante del modo di fare impresa e di gestire i servizi pubblici.
