Per i soggetti inseriti nell’elenco NIS
Sei nell’elenco dei soggetti NIS: cosa devi avere, e quando
Le misure di sicurezza di base sono state adottate dall’ACN il 14 aprile 2025. La scadenza dipende da quando hai ricevuto la comunicazione di inserimento, non da una data uguale per tutti.
Aggiornato al 17 agosto 2026
La scadenza che vale per te
I 18 mesi previsti dall'art. 42, comma 1, lettera c) del d.lgs. 138/2024 decorrono dalla comunicazione di inserimento nell'elenco ricevuta dal singolo soggetto. Non c'è una data unica.
Comunicazione arrivata fra aprile e maggio 2025 — la maggioranza dei soggetti iscritti nel 2025: misure di base entro il 31 ottobre 2026.
Inseriti in elenco nel 2026: misure di base entro il 31 luglio 2027 (determinazione ACN 127434/2026).
Obbligo di notifica degli incidenti — preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro un mese: in vigore dal 1° gennaio 2026 per chi è in elenco dal 2025, dal 1° gennaio 2027 per chi è stato inserito nel 2026.
Se hai letto in giro che «la scadenza NIS2 è il 31 ottobre 2026», è vero solo per una coorte. Vale la pena controllare la data sulla tua comunicazione prima di costruirci un piano sopra.
Cosa ti viene chiesto
Non l'art. 21 della direttiva in astratto: le misure di sicurezza di base adottate dall'ACN con la determinazione del 14 aprile 2025, che sono numerate e codificate sul Framework Nazionale. Sono 37 misure con 87 requisiti per i soggetti importanti e 43 misure con 116 requisiti per gli essenziali.
È il livello a cui verrai effettivamente verificato. Un ispettore non ti chiederà conto dell'«art. 21(2)(e) della direttiva»: ti chiederà conto di ID.RA-01.
Quale parte una verifica esterna può dimostrare
Una scansione esterna ricorrente porta evidenza tecnica, datata e ripetibile, su una parte precisa di quelle misure — quella osservabile da Internet:
- Gestione delle vulnerabilità — art. 21(2)(e),
ID.RA-01ePR.PS-02: verifica ricorrente dell'intera superficie esterna. - Crittografia — art. 21(2)(h),
PR.DS-02: TLS, certificati, cifrari deboli, protocolli che trasmettono credenziali in chiaro. - Inventario e attivi esposti — art. 21(2)(i),
ID.AM-03(misura prevista solo per i soggetti essenziali): sottodomini, porte, indirizzi IP, credenziali eventualmente esposte. - Catena di fornitura — art. 21(2)(d),
GV.SC-01: da chi dipendi, cioè l'operatore di rete di ogni indirizzo su cui sei esposto e quali indirizzi non sono a uso esclusivo del tuo dominio. - Efficacia delle misure — art. 21(2)(f),
ID.IM-01: il confronto fra verifiche successive, che è la prova che quello che hai sistemato è rimasto sistemato. - Elenco dei sistemi rilevanti — art. 21(2)(a),
GV.OC-04: l'evidenza tecnica su cui l'analisi dei rischi si basa.
C'è anche un uso amministrativo, meno nobile e molto concreto: l'inventario è l'elenco da cui partire per il conferimento di domini e spazio di indirizzamento IP previsto dall'art. 7 del d.lgs. 138/2024.
Cosa resta da coprire a te
Nessuno strumento esterno può dimostrare la gestione degli incidenti (b), la continuità operativa e i backup (c), l'autenticazione a più fattori e le comunicazioni interne protette (j). Sono tre delle dieci lettere e restano interamente tue.
Della lettera (g) — «igiene informatica di base e formazione» — copriamo la parte tecnica: configurazioni, intestazioni di sicurezza, servizi raggiungibili che non dovrebbero esserlo. La formazione del personale no. Per l'ACN quella lettera corrisponde a PR.AT-01 e PR.AT-02, che sono entrambe formazione: su quei due codici non portiamo evidenza, ed è giusto che tu lo sappia adesso.
E una cosa che riguarda te personalmente: l'art. 20 della direttiva mette in capo agli organi di gestione l'approvazione delle misure e la vigilanza sulla loro attuazione, e prevede che possano essere ritenuti responsabili. In Italia, se le misure correttive imposte dall'ACN risultano inefficaci, per i soli soggetti essenziali si arriva all'interdizione temporanea dall'esercizio di funzioni dirigenziali a carico dell'amministratore delegato o del rappresentante legale. Un report tecnico è evidenza; non è una delega di quella responsabilità.
C'è anche un punto che gioca a favore di chi si muove: l'art. 21 §4 impone a chi si accorge di non essere conforme di attivarsi senza indebito ritardo con misure correttive. Una non conformità nota e non trattata è un aggravante — e il confronto fra verifiche successive è esattamente la prova documentale che ci si è attivati.
Da leggere dopo
Le misure di sicurezza di base dell’ACN
37 misure e 87 requisiti per i soggetti importanti, 43 e 116 per gli essenziali. Come sono codificate, e su quali portiamo evidenza tecnica.
Le scadenze NIS2 in Italia, per coorte
Il 31 ottobre 2026 non vale per tutti: i 18 mesi decorrono dalla comunicazione di inserimento in elenco. Chi è entrato nel 2026 ha tempo fino al 31 luglio 2027.
Questa pagina ha finalità informative e non costituisce un parere legale. Le norme citate — direttiva (UE) 2022/2555, d.lgs. 138/2024, determinazioni ACN, Regolamento (UE) 2016/679 — possono essere modificate e la loro applicazione dipende dal caso concreto. Per una valutazione vincolante rivolgiti a un professionista qualificato. Le date e i riferimenti riportati sono verificati sulle fonti alla data di aggiornamento indicata sopra.
Portare evidenza sulla parte che si può dimostrare
Delle misure di base, quelle osservabili dall’esterno le verifichiamo in modo ricorrente e datato: vulnerabilità, crittografia, inventario, catena di fornitura, efficacia nel tempo. Il resto resta lavoro organizzativo, e te lo diciamo prima. Scrivici e ti rispondiamo con il documento sul tuo dominio.
Richiedi una verifica sul tuo dominio