L'ACN ha ricordato la scadenza dei 18 mesi per l'adeguamento direttiva NIS2 aziende. Ecco come calcolare la data esatta e i controlli tecnici da predisporre.
Il 19 settembre 2026, l'Agenzia per la Cybersicurezza Nazionale (ACN) ha diffuso il Vademecum NIS, richiamando l'attenzione sulla scadenza del primo blocco di obblighi tecnici. Le imprese inserite nell'elenco dei soggetti NIS durante la primavera del 2025 hanno a disposizione diciotto mesi dalla notifica ufficiale per completare l'adeguamento direttiva NIS2 aziende, applicando le misure minime di sicurezza previste dal Decreto Legislativo 4 settembre 2024, n. 138. Si tratta di un passaggio critico: con l'avvio della fase ispettiva, la mancata adozione dei controlli tecnici espone gli organi amministrativi a responsabilità dirette e l'azienda a sanzioni pecuniarie calcolate in proporzione al fatturato globale.
Questo obbligo non riguarda esclusivamente le grandi infrastrutture. L'adeguamento coinvolge direttamente le medie imprese che operano nei settori definiti critici e ad alta criticità, ma ha un impatto a cascata anche sull'intero indotto. Le PMI che operano come fornitori diretti di filiera per organizzazioni già soggette alla normativa devono infatti allinearsi ai medesimi standard di sicurezza per mantenere i propri contratti commerciali attivi.
Come calcolare il termine esatto dei 18 mesi
La scadenza per l'applicazione delle misure di sicurezza non è una data unica e fissa per tutte le organizzazioni. Il termine di diciotto mesi va calcolato in modo puntuale a partire dal giorno esatto in cui l'azienda ha ricevuto la comunicazione individuale di inserimento da parte dell'ACN.
Poiché gli invii sono avvenuti in modo scaglionato durante la primavera del 2025, non esiste un giorno di scadenza universale, anche se per la maggior parte delle realtà censite questo termine perentorio scade nel corso del mese di ottobre 2026. È fondamentale recuperare la notifica formale ricevuta tramite la piattaforma dell'Agenzia per determinare il proprio limite temporale con precisione assoluta.
Soggetti importanti ed essenziali: le differenze tecniche
Il quadro normativo italiano, che recepisce la Direttiva UE 2022/2555, impone regole diverse in base alla classificazione dell'azienda. La Determinazione ACN n. 379907/2025 stabilisce due livelli distinti di requisiti operativi:
- I soggetti classificati come "importanti" devono applicare le misure tecniche descritte nell'Allegato 1 della Determinazione.
- I soggetti classificati come "essenziali" sono tenuti a rispettare i parametri più severi e restrittivi definiti nell'Allegato 2.
La differenza tra le due categorie si riflette sulla profondità dei controlli richiesti. Applicare il livello di misure errato, ad esempio trattando un'infrastruttura essenziale con i parametri di un soggetto importante, equivale a una non conformità tecnica, esponendo l'azienda a contestazioni anche a fronte di investimenti già sostenuti.
I requisiti tecnici obbligatori e il valore probatorio
La conformità alla normativa non si ottiene limitandosi a redigere procedure cartacee. Le aziende devono produrre prove oggettive dell'effettiva attuazione operativa dei controlli. L'Agenzia per la Cybersicurezza Nazionale valuta i fatti tecnici, richiedendo registri di sistema e rapporti di collaudo. Gli ambiti tecnici obbligatori includono:
- L'istituzione di una struttura di governo della sicurezza informatica e l'esecuzione di analisi del rischio documentate.
- Il mantenimento di un inventario costantemente aggiornato di tutti i dispositivi fisici, i sistemi, i servizi di rete e i dati aziendali.
- La gestione attiva e la correzione tempestiva delle vulnerabilità software e hardware.
- L'implementazione di sistemi per il rilevamento, la gestione e la notifica degli incidenti informatici.
- La stesura e il collaudo pratico di piani di continuità operativa e ripristino di emergenza.
- La valutazione dei requisiti di sicurezza per i fornitori terzi e l'intera catena di fornitura.
- L'erogazione di formazione continua e tracciabile al personale sui rischi informatici.
Le azioni pratiche da avviare in azienda
Per evitare sanzioni e garantire la sicurezza dell'infrastruttura, è necessario procedere con verifiche tecniche e amministrative immediate:
- Recuperare la comunicazione formale di inserimento nell'elenco NIS ricevuta nel 2025 per calcolare la data esatta di scadenza dei 18 mesi.
- Verificare la registrazione come soggetto "importante" o "essenziale" per adottare l'allegato tecnico corretto della Determinazione ACN.
- Eseguire un censimento completo di macchine fisiche, server virtuali, servizi cloud e account attivi.
- Accertare che sia operativo un piano di scansione delle vulnerabilità e di installazione periodica degli aggiornamenti di sicurezza sui sistemi critici.
- Collaudare i piani di continuità operativa, misurando i tempi effettivi necessari per ripristinare i servizi aziendali partendo da backup isolati dalla rete principale.
- Revisionare i contratti dei fornitori IT che hanno accesso alle reti aziendali, introducendo clausole vincolanti sui requisiti minimi di sicurezza.
È opportuno verificare lo stato di avanzamento di questi controlli tecnici direttamente con il proprio reparto IT o con i fornitori tecnologici che gestiscono l'infrastruttura.
