Ottobre 2026 riguarda chi è già nell'elenco, non tutte le aziende
In queste settimane si legge che a ottobre «scade la NIS2». Non è così. Scade il termine delle misure di sicurezza di base per chi ha ricevuto la comunicazione di inserimento nell'elenco nell'aprile 2025. Chi non è in quell'elenco ha un altro problema, e non si risolve comprando un pacchetto.
La frase che gira è più larga della scadenza vera
L'ACN, sulla pagina delle modalità e specifiche di base, scrive che entro 18 mesi dalla comunicazione di inserimento nell'elenco nazionale NIS i soggetti importanti adottano le misure dell'allegato 1 della determinazione 379907/2025, e i soggetti essenziali quelle dell'allegato 2. Per chi ha ricevuto le prime comunicazioni, l'Agenzia indica quel termine nell'ottobre 2026.
Diciotto mesi, non una data unica stampata su tutte le aziende italiane. Il conteggio parte dal giorno in cui è arrivata la comunicazione di inserimento. Se la comunicazione è di aprile 2025, i diciotto mesi cadono nell'ottobre 2026. Se è arrivata dopo, il termine è dopo. Se non è arrivata, ottobre non è la vostra scadenza ACN.
La determinazione 379907/2025, in vigore dal 15 gennaio 2026, ha sostituito la 164179 del 14 aprile 2025. Il meccanismo dei diciotto mesi per le misure e dei nove mesi per le notifiche è scritto lì, all'articolo 3. Non è un'interpretazione di un blog.
Una parte di questo calendario è già passata
Le misure di sicurezza e la notifica degli incidenti non scadono lo stesso giorno. Per la notifica degli incidenti significativi di base l'ACN indica nove mesi dalla comunicazione: per le prime inserzioni, gennaio 2026. Chi è stato avvisato nell'aprile 2025 e ancora non sa chi chiama il CSIRT Italia, e con quali informazioni, è già oltre quel termine. Ottobre non è il primo appuntamento.
Ottobre, per quello stesso gruppo, è il termine delle misure di sicurezza di base. Non di un documento comprato a settembre. Le misure sono quelle degli allegati: governance, accessi, continuità, fornitori, vulnerabilità. L'organo di amministrazione le approva. Non le approva il fornitore informatico al posto suo.
Questo è il punto che nelle mail di questi giorni si perde. Si vende «l'adeguamento entro ottobre» come se fosse un antivirus con la data. L'ACN chiede misure adottate e, per gli incidenti, una notifica che per molti era già dovuta da gennaio. Arrivare a ottobre con una cartelletta nuova e nessun nome di chi decide durante un incidente è il modo più chiaro di non esserci.
Se la PEC di aprile 2025 l'avete ricevuta
Si riprende quella comunicazione e si segna la data. Da lì si contano i diciotto mesi, senza fidarsi di un calendario generico. Poi si guarda se le misure dell'allegato che vi riguarda — 1 se siete importanti, 2 se siete essenziali — sono davvero in funzione o sono ancora una lista di intenzioni.
Le cose che in un'azienda normale non ci sono, e che quelle misure chiedono, sono prosaiche. Un inventario dei sistemi che non vive nella testa di una persona sola. Gli accessi di amministratore ridotti a chi serve, senza utenze di gente che non lavora più lì. Un backup di cui si è provato il ripristino, non solo la copia notturna. Un nome, un secondo nome, e una procedura corta per quando un incidente è significativo e va notificato.
Se manca una di queste, ottobre è vicino. Non è il momento di rifare l'informatica dell'azienda. È il momento di chiudere i buchi che un controllo vedrebbe subito, e di scrivere chi decide. Il resto si continua dopo, ma il termine non si sposta perché il progetto è ambizioso.
Se non siete nell'elenco, ottobre non è il vostro campanello
Molte PMI che ci chiamano non hanno ricevuto nessuna comunicazione di inserimento. Per loro parlare di «scadenza di ottobre» è fuori bersaglio. Il primo controllo è un altro: se l'attività rientra nelle tipologie del decreto 138/2024, la registrazione sulla piattaforma ACN andava fatta, e l'elenco si costruisce su quelle dichiarazioni. Non si entra nell'elenco per aver letto un articolo.
C'è poi chi è fuori dall'elenco e riceve lo stesso una richiesta. Il cliente grande, quello che nell'elenco c'è, chiede ai fornitori misure, questionari, tempi di risposta. Non è l'ACN che vi scrive. È un contratto. Si risponde su quello che fate davvero — accessi, copie, tempi di ripristino — non con una dichiarazione di conformità che nessuno può firmare al posto vostro.
Le due strade si confondono perché usano le stesse parole. «Siamo a posto con la NIS2» non vuol dire niente se non si dice se siete nell'elenco, se vi ha scritto un cliente, o se state solo mettendo in ordine la sicurezza perché era ora. Sono tre lavori diversi.
Cosa può fare chi vi segue l'informatica
Possiamo ricostruire l'inventario, chiudere gli accessi che non servono, provare un ripristino e lasciarvi i nomi e le prove che servono a chi deve approvare le misure. È lavoro tecnico, e si vede.
Non possiamo dirvi che siete conformi, non possiamo firmare al posto dell'amministratore e non possiamo trasformare ottobre in un prodotto con un prezzo e una spunta. Se qualcuno ve lo propone in questi termini, sta vendendo la data, non le misure.
Se la comunicazione del 2025 ce l'avete, il lavoro di queste settimane è dimostrare che le misure di base ci sono. Se non ce l'avete, il lavoro è non farvi trascinare in una scadenza che non è la vostra, e rispondere in modo preciso a chi, cliente o ACN, vi chiede qualcosa di concreto.
Domande frequenti
Fonti
Date e modalità operative cambiano. Prima di decidere, controllate le fonti ufficiali.
Vi serve una mano su questo?
Protezione coordinata di reti, dispositivi, posta e dati, con controlli e monitoraggio continuo.
Cybersecurity e SOC