Scadenze NIS2: prepararsi in Modo Efficace

La Direttiva NIS2 (Network and Information Security 2) rappresenta un significativo passo avanti nella regolamentazione della sicurezza informatica in Europa. Entrata in vigore a fine 2022 e recepita in Italia con il d.lgs. 138/2024, la NIS2 impone standard minimi di sicurezza per le reti e i sistemi informativi.

Questa normativa - per praticità consulta anche nis2-info - si applica a due principali categorie di soggetti:

• Soggetti essenziali: infrastrutture energetiche, idriche, trasporti, sanità, pubbliche amministrazioni e servizi digitali strategici.
• Soggetti importanti: manifatturiero avanzato, chimico, alimentare, operatori delle telecomunicazioni, servizi postali e logistici, fornitori IT.

L'obiettivo della NIS2 è garantire la resilienza e la continuità operativa dei servizi critici attraverso un approccio strutturato alla gestione dei rischi informatici. In pratica, conformarsi alla NIS2 significa adottare misure di sicurezza che non solo rispettino la normativa, ma che migliorino complessivamente la capacità di risposta alle minacce cyber. 

Con l’entrata a regime del quadro NIS2, per i soggetti interessati, requisiti e principi diventano attività concrete, processi, responsabilità e adempimenti che si ripetono nel tempo. Adempimenti, evidenze, ruoli e controlli entrano nella quotidianità di molte organizzazioni.

La priorità è tradurre la norma in attività eseguibili tra le varie funzioni aziendali coinvolte, con decisioni tracciabili e roadmap chiare.

Le “scadenze NIS2” non richiedono soltanto documenti, ma capacità reali di gestione del rischio e di risposta agli incidenti. L’obiettivo è costruire un percorso che riduca incertezza e sprechi e trasformi gli adempimenti ricorrenti in un sistema sostenibile, invece di affrontarli come un progetto emergenziale.

Nei prossimi paragrafi vediamo come organizzare questo percorso con passaggi, checklist ed errori da evitare.

Perché la conformità NIS2 va gestita in modo continuativo

Le minacce informatiche evolvono costantemente e, parallelamente, la NIS2 attribuisce all’Autorità competenti ampi poteri di monitoraggio, ispezione ed esecuzione.

Per le violazioni più rilevanti degli obblighi di governance, gestione del rischio e notifica degli incidenti, le sanzioni possono arrivare fino a 10 milioni di euro o al 2% del fatturato annuo mondiale per i soggetti essenziali e fino a 7 milioni di euro o all’1,4% per i soggetti importanti, se il valore percentuale è superiore. In caso di mancata ottemperanza, possono inoltre essere adottate misure accessorie e provvedimenti di esecuzione: per questo la conformità va letta come un tema di governance e continuità operativa, non solo come un adempimento formale.

Ottenere la conformità NIS2 non significa limitarsi a produrre policy e documentazione. Significa tradurre i requisiti della Direttiva in un sistema di governance, processi e misure tecniche e organizzative effettivamente applicati, verificabili e sostenuti da evidenze.

La conformità riguarda quindi tanto la capacità di prevenire e gestire il rischio cyber quanto quella di dimostrare nel tempo come vengono prese le decisioni, come funzionano i controlli e come l’organizzazione reagisce agli incidenti. È un percorso continuo, che coinvolge Direzione, IT e Security, funzioni di controllo, persone e fornitori e che deve evolvere insieme al profilo di rischio dell’organizzazione.

Quali sono le “scadenze NIS2”?

Quando si parla di scadenze NIS2, non si intende una singola data, ma una sequenza di obblighi che si attivano su finestre temporali diverse: censimenti/registrazioni, attivazione di ruoli, notifiche degli incidenti, e adozione di misure minime e processi di governance.

Scadenze NIS2 2026: cosa è già successo e cosa resta da fare

A settembre 2026, per i soggetti già inclusi nell’elenco NIS 2025 e ancora presenti nel 2026, alcune delle principali scadenze dell’anno sono già trascorse, mentre il percorso di adeguamento è ancora nel vivo. Il 2026 segna infatti il passaggio dalla preparazione alla piena operatività: le scadenze già trascorse hanno consolidato dati, perimetro e responsabilità; quella autunnale porta il focus sull’effettiva implementazione delle misure e sulla capacità di dimostrarne l’adozione.

Scadenze NIS2 ricorrenti: il calendario annuale

Le scadenze del 2026 non esauriscono però gli obblighi NIS2. Una volta entrati nel perimetro della normativa, la conformità si traduce in un calendario di adempimenti che si ripete ogni anno e che richiede aggiornamenti anche quando cambiano le informazioni già comunicate.

Dopo i passaggi più rilevanti del 2026, è quindi utile distinguere le scadenze legate alla fase di prima applicazione dagli adempimenti ricorrenti, che accompagnano il soggetto NIS nel tempo.

A queste finestre si aggiunge un passaggio che riguarda l’Autorità: entro il 31 marzo di ogni anno ACN redige l’elenco dei soggetti essenziali e importanti sulla base delle registrazioni ricevute. Per le aziende, quindi, la compliance NIS2 assume la forma di un ciclo annuale di registrazione, aggiornamento, categorizzazione e verifica, a cui si sommano i termini specifici legati alla prima inclusione nell’elenco.

Per i soggetti inseriti per la prima volta nell’elenco NIS nel 2026, la Determinazione ACN n. 127434/2026 ha fissato due passaggi successivi:

• dal 1° gennaio 2027 decorre l’obbligo di notifica degli incidenti significativi;
• entro il 31 luglio 2027 devono essere adottate le misure di sicurezza di base previste per la nuova coorte.

Per i soggetti già inseriti nel 2025 e ancora presenti nell’elenco 2026 restano invece validi i termini precedenti.

A chi serve? In pratica a tre categorie interne:

• Organi di gestione e Direzione, perché la NIS2 tocca le responsabilità degli organi decisionali;
• Security/IT, perché richiede controlli e capacità di risposta;
• Funzioni di controllo (risk, compliance, audit), perché servono prove verificabili a ciclo continuo.

Scadenze NIS2: implicazioni pratiche nella gestione ordinaria

Una volta entrata a regime la disciplina, non basta dichiararsi pronti: bisogna dimostrare nel tempo di esserlo. In altre parole, la domanda non è “Abbiamo una policy?”, ma “Questa policy è applicata, misurata e sostenuta da evidenze?”.

La roadmap NIS2 è quindi ciclica: identificazione e registrazione, aggiornamento delle informazioni, categorizzazione di attività e servizi, applicazione e verifica delle misure, gestione degli incidenti e riesame continuo.

Cosa cambia per chi deve adeguarsi?

Per le organizzazioni coinvolte, l’adeguamento alla NIS2 modifica il modo in cui la sicurezza viene governata e dimostrata nel tempo. In particolare, cambiano tre aspetti:

• La tracciabilità diventa un requisito, non un optional. Non basta definire policy e procedure: occorre poter dimostrare come vengono applicate, quali controlli vengono effettuati, quali decisioni vengono prese e come vengono gestite eventuali criticità. Evidenze, verbali, report e attività di verifica diventano quindi parte integrante del percorso di conformità.
• Serve una maggiore integrazione tra le funzioni aziendali. Gli obblighi NIS2 non riguardano soltanto IT e Security. Direzione, risk management, compliance, audit, procurement e le funzioni coinvolte nella gestione dei fornitori e della continuità operativa devono lavorare in modo coordinato, con ruoli e responsabilità chiaramente definiti.
• Le scadenze richiedono una gestione continuativa delle attività. Registrazioni, aggiornamenti, notifiche e implementazione delle misure seguono finestre temporali precise. Affrontarle solo a ridosso delle scadenze aumenta il rischio di blocchi, costi e attività emergenziali. Per questo assessment, implementazione, raccolta delle evidenze e verifiche devono essere distribuiti nel tempo.

Questo vale anche per organizzazioni che non si percepiscono come “grandi aziende”: il perimetro NIS2 non dipende solo dalla dimensione, ma anche dal settore, dal ruolo svolto nella catena di servizi essenziali e importanti e dagli altri criteri previsti dal quadro normativo.

Come ottenere e mantenere la conformità NIS2: 6 step pratici

Di seguito una sequenza progettata per ridurre incertezza e accelerare l’esecuzione.

 1. Perimetro e classificazione (2-4 settimane)

Mappare entità, servizi, sedi, sistemi critici, dipendenze e fornitori chiave. Classificare cosa rientra nel perimetro NIS2 con criteri replicabili.

• Domanda: “Serve precisione assoluta subito?”.
• Risposta: Serve precisione sufficiente e documentata, migliorabile a ciclo continuo.

2. Ruoli e responsabilità (1-3 settimane)

Nominare e formalizzare il punto di contatto in azienda, definire le responsabilità operative e di escalation e chiarire il ruolo della Direzione. Va stabilito anche chi approva il rischio residuo e il budget: se la governance è debole, anche i controlli migliori restano fragili.

La conformità NIS2 richiede inoltre formazione e consapevolezza diffuse: il personale deve conoscere ruoli, procedure e comportamenti attesi, mentre gli organi di gestione devono essere messi nelle condizioni di assumere decisioni informate sulla sicurezza.

3. Gap assessment “evidence-based” (3-6 settimane)

Valuta controlli esistenti (IAM, logging, backup, patching, segmentation, IR) e soprattutto le evidenze: ticket, report, verbali, prove di test. Il gap assessment deve collegare rischi, asset e processi critici ai requisiti NIS2, così da individuare le priorità di trattamento e costruire una roadmap verificabile.

• Domanda: “Possiamo usare ISO 27001 o framework interni?”.
• Risposta: Sì, purché il mapping verso requisiti NIS2 sia esplicito e verificabile.

4. Piano misure: priorità per rischio e fattibilità (4-10 settimane)

Costruisci un piano in tre livelli:

1. quick wins (0–60 giorni),
2. hardening strutturale (60–180),
3. maturità (oltre 180).

Ogni misura deve avere owner, scadenza, criterio di accettazione e prova attesa. Il percorso non si chiude con l’implementazione: misure, rischi ed evidenze devono essere riesaminati periodicamente e aggiornati in funzione dell’evoluzione delle minacce, dei cambiamenti organizzativi e delle indicazioni applicabili.

5. Incident management e notifiche: processo prima della crisi (4-8 settimane)

Definisci cos'è “incidente significativo”, implementa un flusso di gestione dell’incidente con ruoli (incluso referente tecnico e legale/comunicazione), in grado di produrre informazioni sull’evento in tempi rapidi.

Quando l’obbligo di notifica è operativo, la gestione degli incidenti diventa un processo continuativo: pre-notifica entro 24 ore, notifica entro 72 ore e relazione finale entro un mese, salvo le specificità previste dalla normativa.

6. Vendor & supply chain: clausole + controllo (continuativo)

Mappa i fornitori critici, rinegozia requisiti minimi (SLA, logging, disclosure, audit right), e attiva un ciclo di verifica proporzionato.

• Domanda: “Basta aggiungere una clausola?”.
• Risposta: No, serve anche controllo eseguito (campioni, attestazioni, audit, test).

Conformità NIS2 nella pratica: esempi applicativi

I requisiti NIS2 assumono forme diverse a seconda del settore, dell’architettura tecnologica e della dipendenza da fornitori esterni. I due scenari seguenti mostrano come tradurre gli obblighi in attività operative e risultati verificabili.

Esempio 1 — Azienda manifatturiera con impianti e OT

Scenario: rete OT con fornitori di manutenzione remota, patching discontinuo e scarsa visibilità sui log.

Azione: perimetro servizi critici, segmentazione IT/OT, accessi privilegiati con MFA e jump server, logging centralizzato dove possibile, playbook per fermo impianto e ransomware, esercitazione con produzione e IT.

Risultato atteso: riduzione del rischio di propagazione, maggiore capacità di contenimento, evidenze di controllo e di test, e tempi di decisione più rapidi in caso di incidente.

Esempio 2 — Service provider B2B con catena di subfornitura

Scenario: erogazione servizi digitali a clienti regolati; dipendenza da cloud e subfornitori; onboarding fornitori non standardizzato.

Azione: vendor tiering, clausole su incident disclosure e logging, processo di attestazione (questionari + campioni di evidenze), integrazione SIEM/monitoring, runbook di comunicazione cliente, simulazione di data breach con raccolta informazioni.

Risultato atteso: maggiore prevedibilità operativa, riduzione del rischio contrattuale, capacità di comunicazione strutturata e tracciabile, e miglioramento continuo del controllo terze parti.

Esempio 3 — Azienda sanitaria con alto impatto sociale 

Scenario: Un’azienda sanitaria rientra tra i soggetti essenziali NIS2 e gestisce servizi critici ad alto impatto sociale. Sistemi clinici, cartelle sanitarie elettroniche e infrastrutture di rete sono bersagli privilegiati di attacchi ransomware, con potenziali conseguenze dirette sulla salute dei cittadini.

Azione:

1. Assessment iniziale di sicurezza

• Mappatura completa degli asset ICT e OT (sistemi clinici, server, dispositivi medicali connessi).
• Analisi del rischio basata su probabilità e impatto, con focus sui servizi essenziali e sui dati sanitari.

2. Segmentazione della rete

• Separazione logica e fisica tra reti amministrative, cliniche e di laboratorio.
• Riduzione della possibilità di movimento laterale di un attaccante all’interno dell’infrastruttura.

3. Piano di risposta agli incidenti

• Definizione di ruoli, responsabilità e procedure operative in caso di incidente cyber.
• Integrazione del piano con i requisiti di notifica NIS2 e con i processi di continuità operativa.

Risultato atteso: riduzione significativa del rischio di diffusione di ransomware, maggiore resilienza dei servizi sanitari essenziali, continuità operativa anche in presenza di incidenti informatici, con impatto minimo su pazienti e operatori.

Scadenze e conformità NIS2: costruire un percorso che duri nel tempo

Le scadenze NIS2 non premiano chi produce più documenti, ma chi costruisce un sistema sostenibile: perimetro chiaro, governance attiva, misure prioritarie e incident response provata. Le finestre annuali e i termini legati alla prima inclusione nell’elenco vanno gestiti come momenti di verifica di una capacità che deve restare operativa nel tempo, non come traguardi isolati.

Ottenere la conformità NIS2 significa quindi costruire un percorso che continui anche dopo le scadenze: assessment basato su evidenze, roadmap per onde, implementazione delle misure e verifiche periodiche su processi, controlli, fornitori e capacità di risposta agli incidenti.

Per capire da dove partire, un pre-assessment NIS2 consente di fotografare il livello di preparazione, individuare le aree critiche e definire un piano di adeguamento orientato a risultati misurabili e verificabili.