NIS2, dopo ottobre la sicurezza va dimostrata

Per buona parte del 2025 e del 2026 la NIS2 è stata raccontata soprattutto attraverso le scadenze. Registrazione, comunicazioni ad ACN, individuazione dei fornitori rilevanti, categorizzazione delle attività e dei servizi, notifica degli incidenti. Era inevitabile, perché prima di mettere in sicurezza qualcosa bisogna capire chi rientra nel perimetro, cosa mappare e quali sistemi contano. Tutte responsabilità che ricadono sull'organizzazione. Ora però il quadro sta cambiando.

Per i soggetti inseriti nell'elenco NIS nel 2025, che vi sono rimasti anche nel 2026, le misure di sicurezza di base devono essere adottate entro 18 mesi dalla comunicazione di inserimento. Per molte organizzazioni questo significa ottobre 2026, anche se la data precisa va verificata sulla comunicazione ricevuta da ACN. Chi è entrato per la prima volta nell'elenco nel 2026 ha invece tempo fino al 31 luglio 2027.

La NIS2 distingue le organizzazioni coinvolte in due categorie, "soggetti importanti" e "soggetti essenziali", in base soprattutto al settore, alle dimensioni e alla criticità dei servizi erogati. Per i primi ACN prevede 37 misure articolate in 87 requisiti, mentre per i soggetti essenziali, sottoposti a un livello di presidio più elevato, si arriva a 43 misure e 116 requisiti. Dentro ci sono governance, gestione del rischio, sicurezza della supply chain, continuità operativa, gestione degli accessi, formazione, procedure di risposta agli incidenti e capacità di verificarne l'efficacia.

La differenza, nei prossimi mesi, sarà sempre meno tra chi possiede un documento e chi non lo possiede. Conterà quanto ciò che è scritto corrisponde realmente a processi, controlli e responsabilità operative.