Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e revisionato dall'autore.
Come scrisse Norberto Bobbio, "il problema fondamentale del diritto non è la sua giustificazione ma la sua effettività": una norma esiste davvero solo quando produce conseguenze concrete per chi non la rispetta. Il 31 ottobre 2026 è la data in cui la direttiva NIS2, recepita in Italia con il D.Lgs. 138/2024, smette di essere un obbligo teorico e diventa un meccanismo di controllo attivo. Da novembre, l'Agenzia per la Cybersicurezza Nazionale (ACN) chiude la fase di accompagnamento e apre quella ispettiva. Le aziende che hanno accumulato ritardi o commesso errori strutturali nell'adeguamento si troveranno esposte alle prime verifiche formali.
Capire quali errori faranno scattare le ispezioni ACN è oggi la priorità per ogni soggetto inserito nell'elenco NIS — essenziale o importante che sia.
Cosa deve fare un'azienda NIS2 entro il 31 ottobre 2026?
La risposta tecnica è nella Determina ACN 379907/2025, art. 4: entro quella data i soggetti comunicati come inseriti nell'elenco NIS nell'aprile 2025 devono aver adottato le misure di sicurezza di base previste dagli Allegati 3 e 4 del medesimo provvedimento. Si tratta di 87 misure per i soggetti importanti e di 116 misure per i soggetti essenziali, organizzate per domini tecnici e organizzativi: governance della sicurezza, gestione del rischio, sicurezza della supply chain, continuità operativa, gestione degli incidenti, crittografia e controllo degli accessi, tra le principali.
Il termine non è casuale: corrisponde a 18 mesi dalla comunicazione ufficiale di inserimento nell'elenco, avvenuta ad aprile 2025. Non è una proroga concessa per prassi amministrativa, né una data orientativa: è la scadenza normativa oltre la quale ACN può avviare verifiche in modo autonomo, senza attendere segnalazioni o incidenti.
Due precisazioni fondamentali che molte aziende ignorano. Prima: i soggetti inseriti nell'elenco NIS per la prima volta nel 2026, a seguito delle Determinazioni ACN n. 127437 e n. 127434 del 13 aprile 2026, hanno scadenze differite — le misure di sicurezza dovranno essere adottate entro il 31 luglio 2027 e l'obbligo di notifica degli incidenti decorre dal 1° gennaio 2027. Seconda: questa differenziazione non è una sanatoria generale; chi è stato inserito nell'elenco nel 2025 non beneficia di alcuno slittamento. La confusione tra le due coorti è già di per sé un errore che può costare caro.
Quali sono le differenze tra soggetti essenziali e soggetti importanti NIS2?
Il D.Lgs. 138/2024 distingue nettamente i due regimi non solo per il numero di misure richieste, ma per il tipo di vigilanza a cui i soggetti sono sottoposti dopo il 31 ottobre. I soggetti essenziali — operatori in settori ad alta criticità come energia, trasporti, infrastrutture bancarie, acqua, sanità, infrastrutture digitali — sono soggetti a vigilanza ex ante: ACN può avviare ispezioni, audit e richieste documentali anche in assenza di incidenti o segnalazioni, sulla base di un programma di controllo periodico. I soggetti importanti — operatori in settori critici di secondo livello come servizi postali, gestione rifiuti, produzione di dispositivi medici, chimica, alimentare — sono invece soggetti a vigilanza ex post: la verifica formale scatta in seguito a un incidente notificato, a una segnalazione, o a un controllo a campione.
Questa distinzione ha un impatto diretto sulla priorità con cui ACN organizzerà le prime ispezioni. I soggetti essenziali che al 1° novembre 2026 non hanno completato la gap analysis o non possono dimostrare l'adozione delle 116 misure saranno i candidati più naturali ai primi interventi ispettivi. Per i soggetti importanti, invece, il rischio immediato si concentra sulla notifica degli incidenti: un evento di sicurezza non comunicato nei tempi previsti — 24 ore per l'allerta iniziale, 72 ore per la notifica completa al CSIRT Italia — può innescare una verifica ex post anche prima che l'ispezione programmata sia avvenuta.
Il brocardo vigilantibus iura subveniunt — il diritto soccorre chi vigila — riassume con precisione la logica del regime NIS2: la norma non protegge chi attende, premia chi ha costruito nel tempo un sistema di presidio effettivo.
Cosa controlla ACN durante un'ispezione NIS2?
L'errore più diffuso è immaginare l'ispezione come una verifica meramente documentale — un fascicolo da esibire, una checklist da firmare. Il modello di vigilanza previsto dal D.Lgs. 138/2024 è diverso e più penetrante. ACN può richiedere l'accesso alla documentazione di governance della sicurezza, ai registri degli incidenti, alle procedure operative di risposta, ai contratti con i fornitori critici, alle politiche di gestione del rischio della supply chain. Può disporre audit tecnici, richiedere evidenze dei test di continuità operativa, verificare la presenza e l'aggiornamento dei piani di ripristino.
Gli errori che con maggiore probabilità faranno scattare le prime ispezioni — o che, una volta avviate, condurranno alle sanzioni più severe — si concentrano in quattro aree.
Il primo è l'assenza di una gap analysis documentata. Non basta dichiarare di aver adottato le misure: occorre dimostrare che è stata condotta un'analisi del divario tra la situazione attuale e i requisiti degli Allegati 3 e 4, con un piano di trattamento datato e firmato dai responsabili. Chi si presenta all'ispezione con una checklist compilata in fretta, senza traccia del percorso che l'ha prodotta, fornisce involontariamente la prova di un adeguamento formale e non sostanziale.
Il secondo errore riguarda la supply chain. Le 116 misure per i soggetti essenziali (e una quota significativa delle 87 per gli importanti) includono obblighi specifici sulla sicurezza dei fornitori critici: mappatura, valutazione del rischio, clausole contrattuali minime. Molte aziende hanno gestito l'adeguamento NIS2 internamente, trascurando che la norma richiede di estendere i requisiti di sicurezza lungo tutta la catena di fornitura. Un incidente originato da un fornitore non adeguatamente presidiato, in presenza di una vigilanza ex ante, configurerà quasi certamente una responsabilità del soggetto NIS.
Il terzo errore riguarda la notifica degli incidenti al CSIRT Italia. Il regime di notifica è operativo già oggi per i soggetti inseriti nel 2025, ma diverse aziende non hanno ancora definito procedure interne che permettano di rispettare le finestre temporali previste — 24 ore per l'allerta preliminare, 72 ore per la notifica dettagliata, 30 giorni per la relazione finale. L'assenza di queste procedure, o la loro esistenza solo sulla carta senza formazione del personale coinvolto, è rilevabile in sede ispettiva ed è sufficiente a configurare una violazione autonoma degli obblighi NIS2.
Il quarto errore, forse il più sottovalutato, riguarda la governance. Il D.Lgs. 138/2024 prevede che gli organi di amministrazione e direzione dei soggetti NIS approvino le misure di sicurezza adottate e partecipino alla formazione in materia di cybersicurezza. Non si tratta di una delega all'IT o al CISO: è un obbligo che coinvolge il vertice aziendale. ACN, in sede ispettiva, potrà verificare se esistano delibere, verbali o atti formali che documentino il coinvolgimento degli organi apicali. L'assenza di questa traccia documentale esporrebbe l'azienda non solo alle sanzioni amministrative previste dal decreto (fino allo 0,1% del fatturato mondiale per i soggetti essenziali, fino allo 0,07% per gli importanti in caso di mancata registrazione, con soglie superiori per le violazioni sostanziali), ma anche a profili di responsabilità personale degli amministratori.
Vale la pena sottolineare un rischio sistemico che la letteratura corrente tende a trascurare: la differenziazione tra i due gruppi di soggetti — quelli con scadenza al 31 ottobre 2026 e quelli con scadenza al 31 luglio 2027 — rischia di produrre un effetto di falsa sicurezza nelle aziende inserite nell'elenco per la prima volta nel 2026. Alcune di esse, pur avendo scadenze differite, potrebbero essere chiamate a rispondere già oggi di obblighi parziali (come la registrazione sulla piattaforma ACN o la designazione del punto di contatto) che sono indipendenti dalla scadenza per l'adozione delle misure tecniche. Confondere i due piani — quello della governance iniziale e quello dell'implementazione tecnica — è un errore che ACN potrà rilevare anche prima del luglio 2027.
Il tempo che separa questo momento dalla scadenza del 31 ottobre è sufficiente per completare un adeguamento serio, ma non per iniziarlo da zero. La gap analysis, se non è ancora stata avviata, va commissionata immediatamente: non perché lo imponga un calendario astratto, ma perché la complessità tecnica delle misure richieste — soprattutto nei domini della continuità operativa e della sicurezza della supply chain — richiede tempo reale di implementazione, test e documentazione. L'adeguamento NIS2 non è un adempimento amministrativo: è una trasformazione organizzativa che, se affrontata seriamente, produce un'azienda più resiliente. Se affrontata in fretta, produce carta che non regge a un'ispezione.
Redazione - Staff Studio Legale MP
