NIS2: SCADENZA A OTTOBRE 2026 PER LE MISURE DI SICUREZZA INFORMATICA. QUALI OBBLIGHI PER LE AZIENDE?

Ottobre 2026 segna una scadenza importante per le aziende soggette alla Direttiva NIS2: devono essere attuate le misure di sicurezza informatica previste dall’Agenzia per la Cybersicurezza Nazionale (ACN). Quali sono gli obblighi e quali controlli sono previsti?
La Direttiva europea NIS2, recepita in Italia dal D. Lgs. 138/2024, introduce nuovi obblighi per rafforzare la protezione di reti e sistemi informatici delle organizzazioni che operano in settori strategici o critici.

Per i soggetti inseriti nell’elenco NIS nel 2025, a ottobre 2026 maturano le prime scadenze per l’adozione delle misure di sicurezza di base, definite dall’ACN con la Determinazione n. 379907 del 19 dicembre 2025.

In fondo alla presente news è possibile scaricare gratuitamente la Determinazione ACN n. 379907/2025 e la Determinazione ACN n. 127434/2026

NIS2: QUAL È LA SCADENZA PER ADEGUARSI?

Il termine per adottare le misure di sicurezza di base previste dalla Direttiva NIS2 è fissato in 18 mesi dalla ricezione della comunicazione di inserimento nell’elenco NIS.
Per le aziende che hanno ricevuto la comunicazione nell’aprile 2025, la scadenza cade quindi nell’ottobre 2026.

ATTENZIONE! La scadenza del 31 ottobre 2026 non è uguale per tutte le aziende.
Ciascun soggetto deve verificare il termine effettivo sulla base della data di ricezione della propria comunicazione.

Per i soggetti inseriti per la prima volta nell’elenco NIS nel 2026, il termine per adottare le misure di sicurezza di base è fissato al 31 luglio 2027 (rif. Determinazione ACN n. 127434/2026 che ha integrato la Determinazione n. 379907/2025).

QUALI MISURE DI SICUREZZA DEVONO ADOTTARE LE AZIENDE?

Le organizzazioni interessate devono adottare misure organizzative e tecniche per la sicurezza informatica, tra cui la valutazione dei rischi, la protezione di reti e sistemi, la gestione degli incidenti informatici e le procedure per garantire la continuità operativa.

Le misure applicabili variano in funzione della classificazione dell’organizzazione come soggetto essenziale o importante, secondo gli allegati alla Determinazione ACN.

NIS2: QUALI CONTROLLI E SANZIONI SONO PREVISTI?

Con la scadenza dei termini di adeguamento, l’ACN potrà verificare l’effettiva applicazione delle misure di sicurezza previste.
I controlli potranno riguardare sia la documentazione aziendale sia l’effettiva efficacia delle misure organizzative e tecniche adottate.

La normativa prevede anche sanzioni amministrative fino a 10 milioni di euro o al 2% del fatturato annuo mondiale per i soggetti essenziali e fino a 7 milioni di euro o all’1,4% per i soggetti importanti, applicando l’importo superiore. Sono previsti regimi sanzionatori specifici per determinate categorie di soggetti, tra cui le pubbliche amministrazioni, secondo i criteri previsti dal D. Lgs. 138/2024.

PER QUANTO RIGUARDA LA FORMAZIONE?

La formazione sulla cybersecurity rientra tra gli adempimenti NIS2 da attuare entro ottobre 2026, per i soggetti che hanno ricevuto la comunicazione di inserimento nell’elenco NIS nell’aprile 2025.
In particolare, la Determinazione ACN n. 379907/2025 prevede:

• Definizione e approvazione di un piano di formazione sulla cybersecurity.
• Attuazione del piano formativo per il personale e gli organi di amministrazione e direttivi.
• Documentazione delle attività formative svolte.

Il catalogo di Vega Formazione offre due percorsi formativi differenti, oltre ad un corso di approfondimento sulla normativa:

• CORSO E-LEARNING CYBER SECURITY PER LAVORATORI: PREVENIRE GLI ATTACCHI INFORMATICI (CORSO BASE)
• CORSO CYBERSECURITY: COME PROTEGGERE L’AZIENDA DAGLI ATTACCHI INFORMATICI
• CORSO DIRETTIVA NIS2 E SICUREZZA INFORMATICA: OBBLIGHI, STRATEGIE E COMPLIANCE PER LE AZIENDE