Aggiornato: settembre 2026. La scadenza per l’attuazione delle misure di sicurezza di base ACN è il 31 ottobre 2026, con ispezioni ACN in partenza da novembre.
L’Italia ha recepito la NIS2 con il decreto NIS (D.lgs. 138/2024) e il 2026 è l’anno dell’enforcement: le notifiche degli incidenti al CSIRT Italia sono pienamente operative dal 1° gennaio 2026 e le misure di sicurezza di base definite dall’ACN vanno attuate entro il 31 ottobre 2026. Il contesto rende la scadenza concreta: l’Italia resta tra i primi bersagli ransomware in Europa, con circa 166 casi registrati nel 2026 e 15 vittime in una sola settimana di agosto.
Le scadenze del decreto NIS
| Scadenza | Obbligo |
|---|---|
| Gennaio, febbraio (ogni anno) | Registrazione e aggiornamento dei dati sul portale ACN |
| 1° gennaio 2026 | Notifiche incidenti operative: pre-notifica entro 24 ore, notifica entro 72 ore al CSIRT Italia |
| 31 ottobre 2026 | Attuazione delle misure di sicurezza di base (determinazione ACN) |
| Da novembre 2026 | Ispezioni e verifiche ACN |
La mia azienda rientra nella NIS2?
- Dimensione: da 50 dipendenti o 10 milioni di euro di fatturato nei 18 settori del decreto (energia, trasporti, sanità, acqua, rifiuti, manifattura, alimentare, chimica, infrastrutture digitali, servizi ICT gestiti, posta e altri).
- Ruolo: i fornitori di servizi ICT gestiti (MSP, MSSP) sono inclusi espressamente.
- Filiera: se sei fornitore di un soggetto NIS, il tuo cliente ti chiederà evidenze di sicurezza per contratto, anche se non sei registrato ACN.
Cosa fare entro il 31 ottobre 2026
- Verifica la registrazione sul portale ACN e la correttezza dei dati.
- Esegui una gap analysis sulle misure di base ACN: governance e analisi del rischio, gestione degli incidenti, continuità operativa e backup, sicurezza della supply chain, MFA, cifratura, formazione.
- Attiva un processo di notifica reale: chi segnala cosa al CSIRT entro 24 e 72 ore.
- Forma gli organi di amministrazione: la formazione del vertice è un obbligo, con responsabilità personale.
- Attiva un monitoraggio 24/7: senza visibilità continua le finestre di notifica non si rispettano.
Sanzioni e responsabilità degli amministratori
Fino a 10 milioni di euro o al 2 per cento del fatturato mondiale per i soggetti essenziali, fino a 7 milioni o all’1,4 per cento per i soggetti importanti. Il decreto prevede inoltre la responsabilità degli organi di amministrazione, con possibili misure interdittive: la cybersecurity è formalmente una responsabilità del vertice aziendale.
Perché ITSECOPS: siamo partner di tutti i principali vendor di sicurezza, quindi EDR, MDR, backup e licenze Microsoft 365 tramite noi costano in genere meno dell’acquisto diretto, con prezzi pubblicati apertamente. Confronta da solo con i nostri strumenti (in inglese): comparatore prezzi cybersecurity, configuratore dello stack di sicurezza e selettore licenze Microsoft 365 e Google Workspace. Gestiamo SOC 24/7, MDR e SIEM, incluso un SIEM open source (Wazuh, Elastic) che sopra i 50 GB di log al giorno taglia sensibilmente i costi annui rispetto ai SIEM commerciali.
Prenota una consulenza NIS2 gratuita
Domande frequenti
Cosa devo fare entro il 31 ottobre 2026?
Attuare le misure di sicurezza di base definite dall’ACN: governance del rischio, gestione incidenti, continuità e backup, sicurezza della filiera, autenticazione a più fattori, cifratura e formazione. Da novembre l’ACN può verificare con ispezioni.
La mia azienda rientra nella NIS2 con 70 dipendenti?
Se opera in uno dei 18 settori del decreto sì: la soglia è 50 dipendenti o 10 milioni di euro. Anche sotto soglia, i clienti soggetti NIS chiederanno evidenze contrattuali di sicurezza.
Cosa rischia l’amministratore che non adempie?
Oltre alle sanzioni per l’azienda, il decreto prevede la responsabilità personale degli organi di amministrazione, obblighi di formazione e possibili misure interdittive temporanee.
Quanto costa un SOC 24/7 per una PMI italiana?
Molto meno di un team interno: per un’azienda da 50 a 300 persone si parla di poche migliaia di euro al mese contro un costo annuo interno a sei cifre. Ti inviamo un preventivo esatto in 24 ore.