NIS2 dopo il 31 ottobre 2026: obblighi, sanzioni e cosa fare adesso

Il 31 ottobre 2026 si chiude la fase di adeguamento alla direttiva NIS2 per le aziende già inserite negli elenchi dell’Agenzia per la Cybersicurezza Nazionale (ACN): entro questa data le misure di sicurezza di base devono essere operative e documentate. In questo articolo facciamo il punto su chi è coinvolto, quali obblighi sono già in vigore, cosa si rischia e da dove partire se la tua azienda non è ancora in regola.

Chi deve rispettare la NIS2

In Italia la direttiva NIS2 è stata recepita con il D.Lgs. 138/2024, in vigore dal 16 ottobre 2024. Riguarda le organizzazioni che operano in 18 settori considerati strategici, tra cui energia, trasporti, sanità, servizi digitali, manifattura, alimentare, pubblica amministrazione e ricerca.

Le aziende coinvolte si dividono in due categorie:

• soggetti importanti: in generale, a partire da 50 dipendenti oppure 10 milioni di euro di fatturato;
• soggetti essenziali: le realtà più grandi dei settori ad alta criticità, a partire da 250 dipendenti oppure 50 milioni di euro di fatturato.

Alcune categorie rientrano nella normativa indipendentemente dalle dimensioni.

Le scadenze: cosa è già in vigore

• Registrazione sulla piattaforma ACN: le aziende coinvolte devono registrarsi e aggiornare ogni anno i propri dati. Nel 2026 la finestra è stata dal 1° gennaio al 28 febbraio.
• Notifica degli incidenti: da gennaio 2026 gli incidenti significativi vanno segnalati al CSIRT Italia con un preallarme entro 24 ore, una notifica completa entro 72 ore e una relazione finale entro un mese.
• Misure di sicurezza di base: vanno rese operative entro 18 mesi dall’inserimento negli elenchi ACN. Per le aziende già inserite, il termine è il 31 ottobre 2026.

Cosa sono le misure di sicurezza di base

Le misure di base definite dall’ACN sono numerose, 37 per i soggetti importanti e 43 per quelli essenziali, ma si possono raggruppare in cinque aree:

1. Identificare: sapere quali dispositivi, sistemi e dati ha l’azienda e quali rischi corrono.
2. Proteggere: firewall, antivirus, autenticazione a più fattori e controllo degli accessi.
3. Rilevare: monitorare la rete e i sistemi per accorgersi in tempo di attività anomale.
4. Rispondere: avere una procedura chiara per gestire gli incidenti e notificarli nei tempi previsti.
5. Ripristinare: backup verificati e un piano per riprendere l’attività dopo un incidente.

Non basta adottare le misure: bisogna anche poterlo dimostrare, con policy, procedure e documenti aggiornati.

Cosa si rischia

Le sanzioni previste dal D.Lgs. 138/2024 sono significative:

• soggetti essenziali: fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, se superiore;
• soggetti importanti: fino a 7 milioni di euro o all’1,4% del fatturato mondiale annuo, se superiore.

A queste si aggiungono possibili sanzioni accessorie, come l’interdizione temporanea dalle funzioni di chi amministra l’azienda. Finora l’ACN ha lavorato soprattutto in un’ottica di accompagnamento. Dopo la scadenza di ottobre è previsto il passaggio a una fase di verifiche, con controlli e possibili contestazioni.

La responsabilità di chi amministra

La NIS2 chiede agli organi di amministrazione di approvare le misure di sicurezza, vigilare sulla loro attuazione e formarsi sui rischi informatici. La sicurezza non è più solo un tema tecnico: è una responsabilità diretta di chi guida l’azienda. Ne abbiamo parlato nell’articolo sulla responsabilità della cybersecurity in azienda.

E se la tua azienda non è obbligata?

Anche le aziende fuori dal perimetro possono essere coinvolte. Chi è soggetto alla NIS2 deve garantire la sicurezza della propria catena di fornitura, e sempre più spesso chiede ai fornitori di dimostrare un livello adeguato di protezione. Per molte PMI adeguarsi diventa quindi una condizione per mantenere i clienti o partecipare alle gare.

Cosa fare adesso

Se la tua azienda non ha ancora completato l’adeguamento, puoi partire da qui:

1. Verifica se rientri nel perimetro, per settore, dimensioni e ruolo nella catena di fornitura.
2. Fai il punto sull’infrastruttura IT: dispositivi, accessi, backup e protezioni attive.
3. Valuta i rischi e individua le misure prioritarie.
4. Prepara la documentazione: policy di sicurezza, procedura di notifica degli incidenti e piano di risposta.
5. Forma le persone, a partire da chi amministra l’azienda.

Come ti aiuta Schiavon Sistemi

I nostri esperti affiancano le aziende in tutto il percorso di adeguamento: analisi dell’infrastruttura IT, valutazione dei rischi, individuazione delle misure prioritarie e preparazione dei documenti richiesti, dalle policy di sicurezza all’Incident Response Plan. Sul fronte tecnico ci occupiamo anche di firewall, antivirus e backup.

Vuoi capire se la tua azienda è coinvolta e da dove partire? Scopri il nostro servizio di consulenza NIS2 e richiedi un primo confronto gratuito.

Domande frequenti sulla NIS2

Cosa succede dopo il 31 ottobre 2026?
Per le aziende già inserite negli elenchi ACN le misure di sicurezza di base devono essere operative e documentate. Dopo questa data l’ACN può avviare verifiche e, in caso di inadempienze, applicare sanzioni.

Entro quanto tempo va notificato un incidente informatico?
Un incidente significativo va segnalato al CSIRT Italia con un preallarme entro 24 ore, una notifica completa entro 72 ore e una relazione finale entro un mese.

Quanto sono alte le sanzioni NIS2?
Fino a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali, e fino a 7 milioni di euro o all’1,4% per i soggetti importanti.

La NIS2 riguarda anche le piccole aziende?
In generale si applica a partire da 50 dipendenti o 10 milioni di fatturato, ma le aziende più piccole possono essere coinvolte come fornitori di soggetti obbligati.