10/9/2026
NIS2, verso il termine per l'adeguamento: settembre è il mese del consolidamento
NIS2, scadenza 31 ottobre 2026: cosa fare a settembre tra misure di sicurezza, formazione, test di incident response.
Il termine per l’adeguamento alla direttiva europea sulla cybersicurezza è fissato al 31 ottobre 2026.
Superata l’estate, resta un solo mese pieno per rendere operative le misure di sicurezza, formare i vertici aziendali, collaudare la risposta agli incidenti e costruire il fascicolo delle evidenze. Ecco che cosa devono fare le imprese, punto per punto.
Una scadenza perentoria
Il 31 ottobre 2026 è il termine perentorio entro cui i soggetti essenziali e importanti individuati dal D.Lgs. 138/2024 — il decreto con cui l’Italia ha recepito la direttiva europea NIS2 — dovranno avere pienamente operative le misure di sicurezza di base definite dall’Agenzia per la Cybersicurezza Nazionale (ACN).
Non si tratta di un traguardo simbolico: da quella data l’Agenzia potrà avviare verifiche ispettive e attivare l’apparato sanzionatorio previsto dal decreto. Il percorso di adeguamento è scandito da tappe precise e, per chi non lo ha ancora completato, i mesi che separano dalla scadenza hanno ciascuno una funzione ben definita.
Luglio e agosto: chiudere l’analisi e presidiare gli incidenti
Le settimane estive hanno un ruolo preparatorio che si può condensare in due parole: analisi e presidio.
A luglio le organizzazioni sono state chiamate a chiudere la gap analysis — la fotografia dello scarto tra le misure richieste dalla normativa e quelle effettivamente in essere — e a definire di conseguenza il piano di rimedio, con priorità, responsabili e tempi; contestualmente va verificato che le procedure di notifica degli incidenti siano attive e presidiate anche durante le ferie.
Ad agosto, quando molte attività rallentano o chiudono, l’unico presidio che non può essere sospeso è proprio la gestione e la notifica degli incidenti al CSIRT Italia: l’obbligo, operativo dal 15 gennaio 2026, non va in vacanza, e un attacco sferrato a Ferragosto — periodo notoriamente favorito dagli aggressori proprio per la ridotta capacità di reazione delle vittime — va segnalato negli stessi termini di legge di uno sferrato in un giorno lavorativo qualsiasi.
Settembre: il mese del consolidamento
È però settembre il vero snodo del percorso. Con il rientro dalle ferie e otto settimane scarse alla scadenza, il mese va dedicato a quattro obiettivi che la tabella di marcia dell’adeguamento colloca espressamente in questa fase: rendere operative le misure di sicurezza, completare la formazione obbligatoria dei dirigenti, testare la risposta agli incidenti e preparare il fascicolo documentale delle evidenze. Vediamoli uno per uno.
1. Rendere operative le misure di sicurezza
Il primo obiettivo è portare a terra quanto pianificato: le misure di sicurezza di base individuate dall’ACN devono passare dai documenti all’operatività quotidiana. Parliamo, tra le altre cose, di gestione degli accessi e autenticazione a più fattori, backup e continuità operativa, gestione delle vulnerabilità e degli aggiornamenti, cifratura, sicurezza della catena di approvvigionamento e formazione del personale. Settembre è il mese in cui completare le implementazioni previste dal piano di rimedio, perché una misura adottata sulla carta ma non funzionante nella pratica non supera una verifica ispettiva. Conviene procedere per priorità di rischio: prima i sistemi critici per la continuità del servizio, poi il perimetro restante.
2. Completare la formazione obbligatoria dei dirigenti
Il secondo fronte riguarda i vertici. L’articolo 23 del D.Lgs. 138/2024 assegna agli organi di amministrazione e direttivi responsabilità dirette: approvano le modalità di implementazione delle misure di sicurezza, ne sovrintendono l’attuazione e — punto spesso sottovalutato — sono tenuti a seguire una formazione specifica in materia di cybersicurezza, promuovendola periodicamente anche verso i dipendenti.
Entro settembre la formazione dei dirigenti dovrebbe essere completata e, soprattutto, documentata: attestati, registri delle presenze e programmi dei corsi entrano a pieno titolo tra le evidenze da esibire in caso di controllo. Non è un adempimento formale: la norma lega la responsabilità personale dei vertici proprio alla consapevolezza dei rischi e all’adeguatezza delle decisioni assunte.
3. Effettuare i test di incident response
Avere una procedura scritta non equivale a saperla eseguire. La notifica degli incidenti significativi al CSIRT Italia segue tempi stretti: una pre-notifica entro 24 ore dalla conoscenza dell’evento, la notifica formale entro 72 ore, eventuali relazioni intermedie su richiesta del CSIRT e una relazione finale entro 30 giorni. Rispettare queste finestre presuppone che l’organizzazione sappia riconoscere un incidente, classificarlo, ricostruirne rapidamente portata e impatto e attivare i canali di comunicazione corretti. Per questo settembre è il momento di mettere alla prova l’intera catena con esercitazioni pratiche — simulazioni tabletop o test tecnici — che coinvolgano l’IT, le funzioni di business e i vertici. Ogni esercitazione va verbalizzata: le lezioni apprese alimentano il miglioramento delle procedure e i verbali stessi diventano evidenze di conformità.
4. Preparare il fascicolo documentale delle evidenze
L’ultimo obiettivo del mese è trasformare il lavoro svolto in conformità dimostrabile. In caso di ispezione, l’onere di provare l’adeguamento ricade sull’organizzazione: serve quindi un fascicolo documentale ordinato e aggiornato che raccolga, come minimo, le politiche e le procedure approvate, gli esiti della gap analysis e il piano di rimedio con il relativo stato di avanzamento, l’analisi dei rischi, i registri della formazione, i verbali dei test di incident response e il registro degli incidenti con le notifiche effettuate.
Un fascicolo ben costruito non serve solo a superare i controlli: è lo strumento con cui la direzione mantiene il governo reale del processo di adeguamento.
Ottobre serve per collaudare, non per costruire
C’è infine una considerazione di metodo. Chi arriva a fine settembre con le misure operative, i vertici formati, i test eseguiti e il fascicolo pronto può dedicare ottobre a ciò che quel mese dovrebbe essere: un collaudo finale, fatto di rifiniture e correzioni. Chi invece rinvia si troverà a comprimere in poche settimane un percorso che ne richiede mesi, con costi maggiori e margini di errore più ampi.
La NIS2, del resto, non è un adempimento una tantum ma un sistema di gestione della sicurezza destinato a durare nel tempo: impostarlo bene ora significa non doverlo ricostruire poi.
