NIS2, il 31 ottobre scade il termine ACN per le misure di base

Il 31 ottobre 2026 è la data che chiunque abbia una PEC di inserimento nell'elenco NIS ricevuta nella primavera 2025 ha cerchiato in rosso: è il punto in cui si esauriscono i 18 mesi concessi dall'ACN per implementare le misure di sicurezza di base della determinazione n. 379907/2025, efficace dal 15 gennaio 2026, quella che ha sostituito la vecchia 164179 che molte gap analysis citano ancora per errore. Sono 37 misure articolate in 87 requisiti per i soggetti importanti (Allegato 1), 43 misure e 116 requisiti per gli essenziali (Allegato 2), sviluppate sul Framework Nazionale per la Cybersecurity e la Data Protection nell'edizione 2025. Questo blog ha già spiegato più volte cos'è la NIS2 e chi ci ricade, e non lo rifarò qui: questo pezzo è un'altra cosa, la checklist tecnica di chi al 31 ottobre ci deve arrivare, costruita sulla domanda che conta davvero da qui in avanti. Non "abbiamo implementato le misure?", ma "cosa possiamo mostrare a un verificatore che ce lo chiede?". Perché il punto che troppi commenti mancano è questo: il 31 ottobre non è la chiusura di una finestra di lavoro, è l'apertura di una finestra ispettiva, e da lì in poi l'ACN passa ufficialmente dall'accompagnamento alla verifica.

TL;DR

• Chi: soggetti NIS2 già in elenco dal 2025 (comunicazione di inserimento ricevuta nel 2025).
• Cosa: misure di base della det. ACN 379907/2025: Allegato 1 per gli importanti (37 misure / 87 requisiti), Allegato 2 per gli essenziali (43 misure / 116 requisiti).
• Entro quando: 18 mesi dalla TUA comunicazione di inserimento; per la platea 2025 il termine si addensa attorno al 31 ottobre 2026, e per molti cade prima.
• Cosa cambia dopo: vigilanza ACN anche ex ante (senza indizi) per gli essenziali, ex post per gli importanti; prima intimazioni e diffide, poi sanzioni.
• Sanzioni massime: 10 M euro o 2% del fatturato (essenziali), 7 M euro o 1,4% (importanti); nei casi gravi, sospensione dei responsabili dalle funzioni dirigenziali.
• Il test da superare: evidenze, non dichiarazioni: registri, prove di ripristino, verbali, contratti.

Cosa succede esattamente il 31 ottobre 2026?

La risposta secca: non scatta una sanzione automatica, si apre la stagione delle verifiche. L'ACN lo ha messo per iscritto nelle FAQ pubblicate l'11 agosto 2026, la nuova sezione dedicata a monitoraggio, vigilanza ed esecuzione (codici da MVE.1 a MVE.5), che chiarisce il come: per i soggetti essenziali l'attività ispettiva può essere esercitata anche ex ante, cioè in via preventiva, senza che debbano essere emersi elementi di possibile violazione; per i soggetti importanti la vigilanza è ex post, attivata da elementi di prova, indicazioni o segnalazioni. Le modalità coprono l'intero spettro: verifica della documentazione trasmessa, ispezioni in loco o a distanza, richieste di accesso a dati, documenti e informazioni. E prima delle conseguenze sanzionatorie c'è un gradino intermedio che è insieme un'opportunità e un avvertimento: intimazioni e diffide con cui l'Agenzia chiede di correggere le carenze. Chi riceve una diffida e la tratta come una scocciatura burocratica sta scegliendo la strada verso i massimali: 10 milioni di euro o il 2% del fatturato annuo globale per gli essenziali, 7 milioni o l'1,4% per gli importanti, più, nei casi più gravi, la possibile sospensione temporanea dei responsabili dalle funzioni dirigenziali, che è la voce che consiglio di leggere ad alta voce nel prossimo CdA.

Vale la pena visualizzare anche come si presenta, in concreto, una verifica. Le modalità descritte dall'Agenzia partono quasi sempre dal livello documentale: una richiesta di trasmettere informazioni e artefatti entro un termine. È un formato che premia chi ha preparato una cosa semplice e potentissima: un indice delle evidenze, il documento di poche pagine che per ogni misura dell'allegato applicabile dice dove sta la prova, chi ne è owner e quando è stata aggiornata l'ultima volta. Costruirlo adesso ha un doppio ritorno: in ispezione trasforma giorni di raccolta affannosa in ore di consegna ordinata, e prima ancora dell'ispezione è il modo più rapido per scoprire da soli quali caselle sono vuote. La versione a distanza e quella in loco della verifica cambiano la logistica, non la sostanza: si arriva preparati alla prima o non si arriva preparati a nessuna.

C'è poi un dettaglio di calendario che vale più di metà dei commenti in circolazione: il 31 ottobre è una data di comodo, non la tua scadenza. Il termine dei 18 mesi decorre dalla ricezione della comunicazione di inserimento nell'elenco, quindi la data esatta è nella PEC che la tua azienda ha ricevuto nel 2025, e per chi l'ha ricevuta presto il termine è già più vicino di quanto il calendario suggerisca. Prima voce della checklist, banale e sistematicamente saltata: ritrovare quella PEC, mettere la data su un documento condiviso, e calcolare il termine vero. Se invece l'inserimento è arrivato nel 2026, il tuo orizzonte per le misure di base è il 31 luglio 2027, con la notifica degli incidenti dal 1 gennaio 2027 e la designazione del referente CSIRT entro fine 2026: platea diversa, calendario diverso, stessa direzione.

Nel mio lavoro ho seguito il percorso di adeguamento sul lato tecnico, in un progetto per un'azienda del settore servizi digitali classificata fra i soggetti NIS2, e la lezione più utile che ne ho tratto è proprio questa: la distanza fra "misure implementate" e "misure dimostrabili" è dove si gioca la verifica. Nel mio profilo professionale trovi il perimetro del lavoro che faccio su hardening, continuità e adeguamenti normativi lato infrastruttura.

La checklist delle evidenze, famiglia per famiglia

Quello che segue non sostituisce gli allegati della determinazione, che restano la fonte (li trovi sul portale NIS dell'ACN, insieme alle FAQ): è il filtro con cui rileggerli nelle settimane che restano, chiedendosi per ogni misura non "c'è?" ma "dov'è l'artefatto che lo prova?". Le famiglie dove si concentra il lavoro dell'ultimo miglio, nella mia esperienza, sono queste.

Governance e responsabilità. Le politiche di sicurezza devono esistere come documenti approvati, datati e firmati dall'organo di amministrazione, perché la NIS2 mette la responsabilità lì, non nell'ufficio IT. Evidenza: delibere o verbali di approvazione, un owner nominativo per ogni misura, e un riesame con data. Una policy senza data di approvazione, in verifica, è un foglio.

Inventario e gestione degli asset. Il censimento di sistemi, servizi e dipendenze deve essere un artefatto aggiornato, non la memoria del sistemista. Evidenza: l'inventario con data di ultimo aggiornamento e la procedura che dice chi lo aggiorna e quando. Se il perimetro stesso è in dubbio, il mio strumento di autovalutazione NIS2 per PMI aiuta a inquadrare classificazione e obblighi in pochi minuti: è il punto di partenza, non l'arrivo.

Gestione degli incidenti e notifiche. Qui il regime è operativo da gennaio 2026 e ha tre tempi: pre-notifica al CSIRT Italia entro 24 ore, notifica entro 72, relazione finale entro un mese. L'evidenza non è la procedura scritta: è la prova che funziona. Un registro degli incidenti tenuto davvero (anche con i "quasi incidenti"), le utenze del Portale NIS attive e testate, e almeno una simulazione fatta: chi accorgendosi di cosa avvisa chi, con quale canale, dentro quale finestra. Ho descritto la meccanica operativa di quelle prime 72 ore nella guida all'incident response NIS2-ready: la scadenza di ottobre è il momento giusto per collaudarla, non per leggerla.

Continuità e backup. La misura non chiede "avere i backup": chiede resilienza dimostrabile. L'evidenza che un verificatore apprezza è il verbale di una prova di ripristino con data, tempi misurati ed esito, ripetuta con una cadenza scritta nella procedura. Il backup mai ripristinato è la voce di checklist più autoingannevole dell'intero quadro.

Controllo degli accessi e autenticazione. MFA sulle utenze amministrative e sugli accessi remoti, ciclo di vita delle utenze governato. Evidenza: l'export delle configurazioni, la lista delle eccezioni con motivazione e scadenza, e la prova della revoca degli accessi di un cessato entro i tempi di procedura.

Fornitori e supply chain. La sicurezza della catena di fornitura si dimostra con i contratti: clausole di sicurezza, obblighi di notifica degli incidenti verso di te, e il censimento dei fornitori critici. Evidenza: i contratti aggiornati o le appendici firmate, non la mail in cui il fornitore "conferma di essere conforme".

Logging e sincronizzazione temporale. I log dei sistemi in perimetro devono avere una retention definita per iscritto e rispettata in pratica, e gli orologi delle macchine devono essere sincronizzati via NTP: sembra un dettaglio da sistemisti, ma un set di log con timestamp incoerenti fra loro non ricostruisce nessun incidente, e la capacità di ricostruzione è esattamente ciò che la misura protegge. Evidenza: la configurazione della retention, un campione di log estratto, e la verifica della sincronizzazione.

Cifratura e protezione delle comunicazioni. TLS aggiornato sui servizi esposti, cifratura dei dati dove le misure la richiedono, e niente protocolli legacy dimenticati su porte interne. Evidenza: l'esito di una scansione recente delle superfici esposte, con le eccezioni motivate; è anche una delle poche famiglie in cui l'evidenza si produce in un pomeriggio, se l'infrastruttura è a posto.

Formazione. Verbali con date, partecipanti e contenuti, inclusa la formazione specifica dell'organo di amministrazione, che la norma prevede espressamente. L'attestato comprato a catalogo e mai erogato è un'evidenza contro, non a favore.

Per i soli soggetti essenziali, l'Allegato 2 alza l'asticella con le misure aggiuntive: monitoraggio continuo e proattivo, vulnerability assessment e penetration testing periodici, sicurezza delle risorse umane, resilienza infrastrutturale. Le evidenze qui sono i report datati di VA e PT con il piano di remediation tracciato, e i log del monitoraggio con qualcuno che dimostrabilmente li guarda.

In verifica non vince chi ha il faldone più spesso: vince chi, per ogni misura, sa mostrare in cinque minuti l'artefatto che la prova, con una data sopra. Se l'evidenza richiede una riunione per essere ricostruita, non è un'evidenza: è un racconto.

Gli errori dell'ultimo miglio

A tre settimane scarse dal termine, gli errori che vedo ripetersi sono pochi e riconoscibili. Il primo è la conformità documentale: il pacchetto di policy scritto in un mese, formalmente completo, operativamente inerte. Le FAQ di agosto rendono esplicito che la verifica cerca la sostanza, e la sostanza ha date, registri e log che non si possono retrodatare in modo credibile. Il secondo è sbagliare allegato: un soggetto essenziale che si misura sull'Allegato 1 sta correndo la gara sbagliata, e la differenza non è cosmetica, sono le misure aggiuntive viste sopra. Il terzo è la corsa allo strumento nuovo: introdurre a ottobre un SIEM, una piattaforma GRC o un sistema di ticketing mai usati prima, per generare in fretta l'apparenza di controllo. Un attrezzo adottato tre settimane prima della finestra ispettiva produce rumore, non evidenze: nelle settimane che restano rende molto di più chiudere le prove sulle misure che già esistono che aprire cantieri nuovi. Il quarto è dimenticare i canali amministrativi: il Portale NIS aggiornato secondo la determinazione 379887/2025, i punti di contatto correnti, il referente CSIRT designato; sono adempimenti a costo quasi zero che in un'ispezione pesano come segnali di governo complessivo. Il quinto è trattare il 31 ottobre come un traguardo dopo il quale si smonta la squadra: la finestra che si apre è permanente, e la determinazione va riletta come regime, non come progetto.

L'ultimo errore è di prospettiva, e chiude il cerchio con il resto dell'autunno normativo: la NIS2 non arriva da sola. L'ACN che dal 31 ottobre ti può ispezionare è la stessa Agenzia che i decreti attuativi della legge italiana sull'AI designano come autorità di vigilanza del mercato per l'AI Act, e per una PMI che rientra in entrambi i perimetri il modo economico di lavorare è trattare i punti di contatto fra i due quadri, gestione del rischio, incident reporting, governance, una volta sola: ne ho scritto nella mappa degli obblighi sovrapposti NIS2 e AI Act. E per chi vuole vedere come si distribuisce un adeguamento su un semestre reale, con i tempi veri delle attività, c'è il racconto del percorso di allineamento NIS2 di una software house in sei mesi.

Arrivare al 31 ottobre pronti, a questo punto del calendario, non significa più "implementare tutto": significa sapere esattamente cosa è a posto, cosa manca e cosa è documentato, e avere per ogni buco residuo un piano datato che una diffida troverebbe già in esecuzione. È un esercizio di onestà interna prima che di conformità. Se ti serve un paio d'occhi tecnico per passare la checklist sulle tue evidenze, verificare che i backup si ripristinino davvero e che la procedura delle 72 ore regga una simulazione, contattami: una giornata di verifica adesso costa incomparabilmente meno di scoprire i buchi durante un'ispezione.