Scadenza NIS2 del 31 ottobre 2026: cosa fare adesso (senza farsi prendere dal panico)

La risposta breve: se la tua azienda rientra nel perimetro NIS2 e non hai ancora iniziato, sei in ritardo ma non sei spacciato. Con un piano serio, le misure di sicurezza di base previste dal D.Lgs. 138/2024 si mettono in piedi in 8–12 settimane — ed è esattamente il tempo che resta da qui al 31 ottobre. Quello che non puoi più permetterti è rimandare "a settembre".

Cosa scade davvero il 31 ottobre 2026

Entro fine ottobre 2026 i soggetti registrati sul portale ACN devono aver adottato le misure di sicurezza di base previste dalla normativa: gestione del rischio, gestione degli incidenti, continuità operativa, sicurezza della supply chain, igiene informatica di base, crittografia, autenticazione a più fattori, formazione del personale. Non è una certificazione da appendere al muro: è un insieme di pratiche operative che l'ACN può verificare.

Le sanzioni previste arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali (7 milioni o 1,4% per gli importanti). Realisticamente, per una PMI il rischio più concreto non è la multa massima: è trovarsi scoperti dopo un incidente, con l'obbligo di notifica e nessuna misura documentata.

A che punto siamo (agosto 2026)

Se stai leggendo ad agosto, due tappe intermedie sono già alle spalle — e conviene verificare di non averle mancate:

• Notifica degli incidenti: obbligo attivo da gennaio 2026. I soggetti registrati devono già segnalare al CSIRT Italia gli incidenti significativi (pre-allarme entro 24 ore, notifica entro 72). Se non hai una procedura scritta per farlo, è la prima cosa da sistemare.
• Aggiornamento annuale dei dati e censimento dei fornitori rilevanti: scaduto il 31 maggio 2026. Nella finestra 15 aprile–31 maggio i soggetti NIS dovevano aggiornare le informazioni sul portale ACN, compreso l'elenco dei fornitori rilevanti. Se ti è sfuggito, rimedia subito: è un adempimento ricorrente, si ripete ogni anno.

Quanto alle misure in scadenza a ottobre, non sono un elenco generico: sono i controlli puntuali degli allegati della Determinazione ACN n. 164179 del 14 aprile 2025, poi aggiornata dalla Determinazione n. 379907/2025 (efficace dal 15 gennaio 2026), distinti per soggetti importanti ed essenziali. Il termine dei 18 mesi dalla comunicazione di inserimento nell'elenco cade, per la gran parte dei soggetti censiti nel 2025, proprio a fine ottobre 2026.

Sei nel perimetro? Il test dei 30 secondi

• Sì quasi certamente se operi in: energia, trasporti, sanità, acqua, rifiuti, digitale/ICT, pubblica amministrazione, spazio, chimica, alimentare (produzione/distribuzione), manifatturiero critico (dispositivi medici, elettronica, macchinari, automotive) — e superi i 50 dipendenti o i 10 M€ di fatturato.
• Sì per effetto cascata se sei fornitore di un soggetto NIS2: il tuo cliente è obbligato a presidiare la sicurezza della propria supply chain, e lo scaricherà contrattualmente su di te. È il caso più frequente nella Tuscia.
• Probabilmente no se sei una microimpresa fuori dai settori critici — ma le richieste dei clienti grandi arrivano lo stesso.

Nel dubbio: il nostro quiz NIS2 gratuito ti dà una prima risposta in 5 minuti, senza dati personali.

Il piano realistico per chi parte ad agosto

Da qui al 31 ottobre restano circa 12 settimane. Qualcuna se la prenderanno le ferie (inutile negarlo): contiamone 10-11 davvero utili. Bastano, a una condizione: si parte questa settimana, non "a settembre".

Fase 1 — Fotografia (2 settimane, agosto)

Assessment di dove sei: inventario di sistemi e dati, chi ha accesso a cosa, backup esistenti, incidenti passati. Senza fotografia si comprano cose a caso. Costo tipico per una PMI: da € 490 (assessment light) a € 1.500.

Fase 2 — Le misure che spostano davvero il rischio (6-7 settimane, fine agosto–inizio ottobre)

1. MFA ovunque: email, gestionale, VPN, accessi amministrativi. È la misura col miglior rapporto costo/beneficio in assoluto.
2. Backup verificato con copia off-site e test di ripristino documentato — non "il NAS in ufficio".
3. Monitoraggio e patch di PC e server: le falle note vanno chiuse, e serve la prova che lo fai.
4. Gestione incidenti: una procedura scritta di 2 pagine (chi chiamare, cosa isolare, come notificare ad ACN nei tempi: pre-allarme entro 24h, notifica entro 72h) vale più di un manuale di 80.
5. Formazione base del personale: phishing, password, segnalazione. Bastano 2 ore, ma documentate.

Fase 3 — Evidenze e documentazione (2-3 settimane, ottobre)

La differenza tra "abbiamo fatto le cose" e "possiamo dimostrarlo": registro delle misure, log conservati, esiti dei test di ripristino, attestati di formazione, analisi dei rischi firmata dalla direzione (la responsabilità degli organi di gestione è personale, ed è una delle novità più sottovalutate della NIS2).

Fase 4 — Mantenimento (da novembre, per sempre)

La NIS2 non finisce il 31 ottobre: monitoraggio continuo, aggiornamenti, riesame annuale. È il motivo per cui ha più senso un canone mensile che un progetto una tantum che invecchia subito.

Quanto costa, in soldi veri

Per una PMI della Tuscia tra 5 e 30 postazioni, il percorso completo ha quest'ordine di grandezza: setup € 1.500–7.900 una tantum (in base al punto di partenza) + mantenimento su preventivo. I numeri dettagliati per fascia li abbiamo pubblicati in NIS2: quanto costa davvero a una PMI. Diffida di chi ti vende "la conformità NIS2" a forfait senza assessment: non sa cosa sta vendendo.

Gli errori di chi parte in ritardo

• Comprare prodotti prima dell'assessment — il firewall nuovo non serve se nessuno guarda i log.
• Fare solo le policy — documenti perfetti su misure che non esistono: in caso di incidente è un'aggravante, non una difesa.
• Ignorare i fornitori — la supply chain è un capitolo esplicito della norma: serve almeno un censimento e clausole contrattuali sui fornitori critici. E l'elenco dei fornitori rilevanti va ormai comunicato ad ACN con l'aggiornamento annuale (ultima finestra chiusa il 31 maggio 2026).
• Aspettare "la proroga" — il calendario ACN è pubblicato da mesi. Pianificare sulla speranza non è una strategia.

Da dove cominciare questa settimana

Tre azioni concrete, in ordine: (1) fai il quiz di autovalutazione per capire se e quanto sei nel perimetro; (2) scarica la checklist e spuntala onestamente; (3) se i "no" superano i "sì", prenota una call — il percorso NIS2 Ready è modulare proprio per chi parte adesso: si comincia dal check-up (€ 149) e si scala solo se serve.

Nota di onestà, come sempre: nessun fornitore può "garantirti la conformità NIS2" — la conformità è un processo dell'azienda, di cui rispondono i suoi organi di gestione. Noi mettiamo in piedi le misure tecniche e le evidenze; le decisioni e la responsabilità restano (per legge) tue. Chi ti promette il contrario, ti sta vendendo un problema.