Mancano poco più di tre mesi a una delle scadenze più importanti nel percorso di attuazione della direttiva NIS2 in Italia: entro il 31 ottobre 2026 i soggetti inclusi nel perimetro dovranno avere operative le misure di sicurezza di base definite dall'Agenzia per la Cybersicurezza Nazionale. Non si tratta di un adempimento formale, ma di un vero cambio di passo organizzativo e tecnologico, che arriva in un momento in cui gli attacchi informatici contro le aziende italiane non sono mai stati così numerosi. Vediamo cosa prevede il calendario 2026 e come muoversi concretamente.
Un contesto che non lascia margini: gli attacchi in Italia crescono del 42%
I numeri più recenti fotografano una situazione in netto peggioramento. Secondo il Rapporto Clusit 2026, presentato in primavera dall'Associazione Italiana per la Sicurezza Informatica, nel 2025 gli attacchi gravi censiti a livello globale hanno raggiunto quota 5.265, con una crescita del 49% sull'anno precedente. L'Italia ne ha subiti 507, il 42% in più rispetto al 2024: significa che il nostro Paese, da solo, assorbe quasi il 10% degli incidenti rilevati nel mondo.
Due dati devono far riflettere in particolare chi guida una PMI. Il primo riguarda il manifatturiero, cuore del tessuto produttivo italiano: gli attacchi a questo settore sono cresciuti del 79% a livello mondiale e circa il 16% di quelli globali ha colpito aziende italiane. Il secondo riguarda la categoria degli attacchi a bersagli multipli, cioè le campagne indiscriminate che colpiscono chiunque risulti vulnerabile: valgono ormai quasi un quarto del totale e sono quasi raddoppiate in un anno. Tradotto: non serve essere una grande azienda o un obiettivo strategico per finire nel mirino, basta avere una vulnerabilità esposta.
Il calendario NIS2 del 2026: le tappe già superate e quelle in arrivo
Il 2026 è l'anno in cui la NIS2 diventa pienamente operativa per le aziende italiane. Il percorso definito dall'ACN prevede una serie di scadenze precise:
- Da gennaio 2026 è scattato l'obbligo di notifica degli incidenti significativi: i soggetti essenziali e importanti devono essere in grado di riconoscere un incidente rilevante e segnalarlo all'ACN nei tempi previsti dalla normativa.
- Tra il 1° maggio e il 30 giugno 2026 le aziende registrate hanno dovuto comunicare o aggiornare, tramite la piattaforma digitale dell'Agenzia, l'elenco delle proprie attività e dei servizi erogati.
- Entro il 31 ottobre 2026 devono essere effettivamente operative le misure di sicurezza di base stabilite dalle determinazioni ACN: è la scadenza più impegnativa, perché richiede interventi concreti su tecnologie, processi e persone.
- Entro fine 2026 l'ACN pubblicherà le misure di sicurezza a lungo termine, che integreranno quelle di base e saranno modulate in funzione della rilevanza attribuita a ciascun soggetto.
Per le aziende inserite per la prima volta nell'elenco NIS nel corso del 2026 è previsto un percorso graduale: l'adozione delle misure di sicurezza slitta al 31 luglio 2027 e l'obbligo di notifica degli incidenti partirà dal 1° gennaio 2027. Un margine in più, ma non un motivo per rimandare: il lavoro da fare è lo stesso.
Cosa prevedono le misure di base richieste dall'ACN
Le misure minime che dovranno essere operative entro il 31 ottobre non sono astratte dichiarazioni di principio, ma controlli verificabili che toccano l'intera gestione IT dell'azienda. Tra i principali ambiti richiesti:
- Autenticazione multifattore per gli accessi ai sistemi critici, a partire da quelli amministrativi e da remoto.
- Controllo degli accessi: chi può accedere a cosa deve essere definito, documentato e rivisto periodicamente, con la rimozione tempestiva delle utenze non più necessarie.
- Backup e continuità operativa: copie di sicurezza regolari, protette e testate, con procedure di ripristino che garantiscano la ripartenza dei servizi essenziali.
- Gestione delle vulnerabilità: un processo continuativo di individuazione e correzione delle falle nei sistemi, non un intervento occasionale.
- Procedure di risposta agli incidenti: ruoli, responsabilità e passi operativi definiti prima che l'emergenza si verifichi, anche per rispettare i tempi di notifica all'ACN.
A questi aspetti tecnici si affianca la dimensione organizzativa: la NIS2 attribuisce agli organi di amministrazione la responsabilità diretta dell'approvazione e della supervisione della gestione dei rischi informatici. La cybersecurity, in altre parole, smette di essere un tema delegabile in toto al fornitore IT o al tecnico interno e diventa una responsabilità di chi guida l'azienda.
Perché riguarda anche le PMI fuori dal perimetro
Molte piccole e medie imprese non rientrano formalmente tra i soggetti essenziali o importanti, e potrebbero concludere che la NIS2 non le tocchi. È una lettura miope per due ragioni. La prima è l'effetto filiera: la normativa impone ai soggetti obbligati di presidiare la sicurezza della propria catena di fornitura, e questo significa che clienti e committenti di dimensioni maggiori chiederanno sempre più spesso ai fornitori garanzie documentate su backup, gestione degli accessi e capacità di risposta agli incidenti. Chi non saprà rispondere rischia di perdere commesse, prima ancora che di subire sanzioni.
La seconda ragione è statistica: come mostrano i dati Clusit, la crescita degli attacchi indiscriminati rende le PMI un bersaglio privilegiato proprio perché mediamente meno protette. Le misure richieste dalla NIS2 coincidono in larga parte con le buone pratiche che qualunque azienda dovrebbe già adottare per proteggere la propria operatività.
Da dove cominciare: tre mesi ben spesi
Per chi deve arrivare pronto al 31 ottobre, o vuole comunque allinearsi alle buone pratiche, il percorso ragionevole in questa fase è in tre passi. Primo: una fotografia dello stato attuale, cioè un assessment che confronti le misure ACN con quanto già presente in azienda, dall'autenticazione ai backup, dalle policy di accesso alla capacità di rilevare un incidente. Secondo: una gap analysis con priorità, perché non tutto ha lo stesso peso e conviene partire dagli interventi che riducono di più il rischio, tipicamente autenticazione multifattore, backup verificati e aggiornamento dei sistemi esposti. Terzo: un piano operativo documentato, con responsabilità e scadenze, che servirà anche come evidenza di conformità in caso di verifica.
Un ultimo consiglio pratico: non ridurre l'adeguamento a un progetto una tantum. Le misure a lungo termine in arrivo entro fine anno e l'evoluzione continua delle minacce richiedono un presidio costante, fatto di monitoraggio, aggiornamenti e formazione periodica del personale.
Affrontare la scadenza con il supporto giusto
Tre mesi sono sufficienti per mettersi in regola, ma solo se si parte con metodo. Per una PMI che non dispone internamente di competenze specialistiche in cybersecurity, il modo più efficace di affrontare la NIS2 è affidarsi a un partner IT specializzato, in grado di condurre l'assessment iniziale, implementare le misure tecniche richieste e garantire nel tempo il monitoraggio e la gestione degli incidenti. Il team di Hi-Keep affianca da oltre vent'anni le aziende del territorio nella protezione delle proprie infrastrutture: se la vostra impresa deve ancora avviare o completare il percorso di adeguamento, questo è il momento giusto per parlarne.