NIS2, scadenza ottobre 2026: le misure ACN e il ruolo del penetration test

Il quadro: NIS2, D.Lgs. 138/2024 e il ruolo dell'ACN

La direttiva europea NIS2 (UE 2022/2555) è stata recepita in Italia con il D.Lgs. 138/2024, in vigore da ottobre 2024. L'autorità nazionale competente è l'ACN — Agenzia per la Cybersicurezza Nazionale, che non si è limitata a fare da sportello: ha costruito un percorso di adeguamento graduale, con scadenze precise e — soprattutto — con determinazioni tecniche che dicono esattamente quali misure adottare.

Questo è il punto che molte aziende sottovalutano: la NIS2 in Italia non è più un principio astratto ("gestite il rischio"). Con le determinazioni ACN è diventata una lista di controlli verificabili, con un termine per adottarli. Se vuoi partire dalle basi — chi rientra nel perimetro, cosa dice l'art. 21, le sanzioni — le ho coperte nella guida penetration test e NIS2: cosa richiede davvero la direttiva. Qui entriamo nell'operativo: cosa chiede l'ACN, entro quando, e come si dimostra.

Le scadenze: cosa succede a ottobre 2026

Il percorso definito dall'ACN parte dalla registrazione sulla Piattaforma NIS e arriva alla piena operatività degli obblighi. Le date che contano:

Due cose da notare. Primo: i termini decorrono dalla comunicazione individuale di inserimento nell'elenco NIS, ricevuta tramite la piattaforma — non da una data unica per tutti. Per chi è stato inserito ad aprile 2025, i 18 mesi scadono appunto a ottobre 2026. Secondo: da quel momento l'ACN dichiara chiusa la "fase di accompagnamento" e può passare alle attività ispettive. Arrivare a ottobre con le misure a metà non è una strategia.

Le misure di sicurezza di base ACN

Le misure sono definite dalla Determinazione ACN n. 379907 del 19 dicembre 2025 ("obblighi di base"), applicabile dal 15 gennaio 2026, che aggiorna e sostituisce la precedente Determinazione n. 164179 di aprile 2025. Insieme alla gemella n. 379887/2025 (che disciplina la Piattaforma NIS) costituisce la cornice operativa della NIS2 italiana.

• Soggetti importanti — Allegato 1: 37 misure di sicurezza, declinate in 87 requisiti;
• Soggetti essenziali — Allegato 2: 43 misure di sicurezza, declinate in 116 requisiti (includono e rafforzano quelle dell'Allegato 1);
• Allegati 3 e 4: definiscono gli incidenti significativi da notificare, rispettivamente per soggetti importanti ed essenziali.

Le misure seguono la struttura del Framework Nazionale per la Cybersecurity (identificatori come ID.RA, PR.AA, ecc.) e coprono le aree che un auditor si aspetta di trovare: gestione del rischio, sicurezza della supply chain, gestione degli asset, gestione delle vulnerabilità, continuità operativa e backup, controllo degli accessi (inclusa l'autenticazione multifattore), sicurezza fisica, formazione e gestione degli incidenti. Non sono raccomandazioni: sono requisiti, e la loro adozione va documentata.

Dove entrano vulnerability assessment e penetration test

È la domanda che mi fanno più spesso: "ma il penetration test è obbligatorio o no?". Con le misure di base ACN la risposta è diventata molto più concreta rispetto al testo della direttiva.

La misura sulla gestione delle vulnerabilità (il piano previsto dal requisito ID.RA-08) richiede attività periodiche di identificazione delle vulnerabilità sui sistemi informativi e di rete rilevanti. E qui gli allegati distinguono:

• Soggetti importanti: vanno eseguite almeno scansioni di identificazione delle vulnerabilità periodiche, dentro un processo formalizzato di gestione;
• Soggetti essenziali: le attività devono includere almeno vulnerability assessment e/o penetration test, da svolgere periodicamente e comunque prima della messa in esercizio di sistemi nuovi o modificati.

In entrambi i casi l'ACN chiede che le attività siano documentate con report che contengano almeno la descrizione delle attività svolte e dei risultati, e la descrizione delle vulnerabilità individuate con il relativo livello di impatto. A questo si aggiunge l'obbligo generale (art. 24 del D.Lgs. 138/2024) di verificare l'efficacia delle misure di gestione del rischio: il penetration test è lo strumento standard per produrre questa evidenza.

Tradotto in pratica: un ciclo di vulnerability assessment ricorrente più un penetration test periodico sugli asset critici, con remediation tracciata e retest, copre il requisito e produce esattamente la documentazione che l'ACN si aspetta di trovare in caso di verifica. Se non sai quale dei due serve prima, ho scritto un confronto diretto: vulnerability assessment vs penetration test.

Notifica degli incidenti: 24 e 72 ore

Dall'inizio del 2026 è già operativo l'obbligo di notificare gli incidenti significativi — quelli che rientrano nelle casistiche degli Allegati 3 e 4 della Determinazione 379907/2025 — al CSIRT Italia, tramite la Piattaforma NIS:

• Pre-notifica entro 24 ore da quando si è venuti a conoscenza dell'incidente, senza ingiustificato ritardo;
• Notifica completa entro le successive 72 ore, con la valutazione iniziale di gravità e impatto.

Rispettare questi tempi senza un processo di incident management già rodato è quasi impossibile: capire in poche ore se un evento è un incidente significativo richiede visibilità sui sistemi, ruoli chiari e procedure provate prima. Anche questo, non a caso, è tra le misure di base.

Il percorso pratico entro ottobre 2026

Se il termine dei 18 mesi ti riguarda e non sei ancora a posto, questo è l'ordine di lavoro che uso con i miei clienti:

• 1. Gap analysis sugli allegati ACN. Non sull'art. 21 in astratto: misura per misura, requisito per requisito, rispetto all'Allegato 1 o 2. È il documento che ordina tutto il resto;
• 2. Remediation prioritizzata per rischio. Prima i requisiti che riducono davvero l'esposizione (MFA, backup, gestione accessi), poi il resto. Il budget va dove il rischio è più alto;
• 3. Processo di gestione delle vulnerabilità. Politica scritta, vulnerability assessment per stabilire la baseline, calendario delle scansioni ricorrenti;
• 4. Penetration test sugli asset critici. Dopo la pulizia iniziale, il test manuale verifica in profondità e produce l'evidenza di efficacia richiesta dall'art. 24;
• 5. Incident management e notifica. Procedure, ruoli e prove pratiche per stare nelle 24/72 ore, con la Piattaforma NIS già configurata;
• 6. Documentare tutto. Politiche, report, piani di remediation, retest, formazione: in un'ispezione ACN conta ciò che riesci a dimostrare.

Fonti ufficiali

Per approfondire direttamente sulle fonti primarie:

• ACN — Portale NIS: la pagina ufficiale dell'Agenzia per la Cybersicurezza Nazionale sul recepimento NIS;
• ACN — Obblighi NIS: registrazione, termini di 9 e 18 mesi, aggiornamento annuale dei dati;
• ACN — Modalità e specifiche di base: le determinazioni sugli obblighi di base e i relativi allegati;
• ACN — FAQ su misure di sicurezza e notifica incidenti;
• D.Lgs. 4 settembre 2024, n. 138: il testo del recepimento italiano della NIS2.

Domande frequenti