Misure NIS2 coorte 2025: termine scaduto, cosa fare adesso

In breve. Per chi è entrato nell'elenco dei soggetti NIS nel 2025, le misure di sicurezza di base andavano attuate entro 18 mesi dalla ricezione della comunicazione di ACN, cioè in pratica entro ottobre 2026. Chi non ha finito deve adottare le misure correttive senza indebito ritardo: un piano approvato aiuta, ma non proroga i termini.

Quale era il termine esatto

Il termine non è una data unica: decorre dalla ricezione individuale della comunicazione di inserimento in elenco (art. 42 del D.Lgs. 138/2024; Det. ACN 379907/2025, art. 3). Per una comunicazione ricevuta il 14 aprile 2025 il termine era il 14 ottobre 2026; per una ricevuta il 31 maggio 2025, il 30 novembre 2026. Puoi calcolare il tuo con il calcolatore delle scadenze. L'obbligo di notifica degli incidenti di base decorre invece da 9 mesi dalla comunicazione, quindi in pratica da gennaio 2026.

Cosa dice la norma se si è in ritardo

L'art. 24 c. 4 impone di adottare senza indebito ritardo le misure correttive appropriate e proporzionate. Non esiste una proroga automatica. Per i soggetti importanti le verifiche di ACN scattano di norma in presenza di elementi che suggeriscono violazioni (controlli ex post); per gli essenziali sono possibili anche ispezioni preventive.

Come recuperare in modo ordinato

1. Fotografia onesta. Una gap analysis misura per misura: cosa è attuato, cosa è parziale, cosa manca, con le evidenze disponibili.
2. Piano di adeguamento approvato. Priorità, responsabili e date, approvato dagli organi (misura ID.IM-01). Dimostra che il ritardo è governato.
3. Interventi rapidi. MFA sugli accessi remoti e amministrativi, backup offline testati, log degli accessi, revisione delle utenze, piano incidenti con i contatti del CSIRT Italia.
4. Documenti che descrivono la realtà. Politiche, valutazione del rischio e piani vanno scritti su ciò che si fa davvero, senza retrodatazioni.
5. Relazioni periodiche al vertice. Lo stato di avanzamento va portato agli organi, che ne rispondono (art. 23).

Cosa non fare

• Comprare strumenti prima di aver capito i rischi.
• Produrre documenti di facciata: in un'ispezione la differenza con la realtà emerge subito.
• Aspettare: il tempo trascorso dal termine pesa più di un piano avviato.

Approfondimenti: Misure di sicurezza NIS2 · Adeguamento passo per passo · Vigilanza e sanzioni