Per molte aziende italiane coinvolte dalla direttiva NIS 2, la data a cui fare estrema attenzione è il 30 settembre 2026, termine entro il quale i soggetti inseriti nell’elenco NIS nel corso del 2025 devono completare l’adozione delle misure di sicurezza previste dalla disciplina attuativa dell’Agenzia per la Cybersicurezza Nazionale.

Un’azienda deve essere in grado di dimostrare che le misure richieste sono state effettivamente implementate e integrate nei propri processi. La NIS 2 porta quindi la sicurezza informatica fuori dai confini del reparto IT e la trasforma in una responsabilità organizzativa che coinvolge direzione, management, sistemi informativi, risk management, compliance e fornitori.

La scadenza di settembre riguarda in particolare la cosiddetta prima coorte di soggetti NIS, cioè le organizzazioni inserite nell’elenco nel 2025. Per le aziende entrate per la prima volta nel perimetro nel 2026, l’adozione delle misure di sicurezza è invece prevista entro il 31 luglio 2027, mentre l’obbligo di notifica degli incidenti scatterà dal 1° gennaio 2027.

Per chi deve rispettare la deadline autunnale, il problema è capire quanto sia realmente pronta l’azienda, visto che l’adeguamento richiede di intervenire su numerosi livelli. Servono infatti processi strutturati per la gestione degli incidenti, politiche di controllo degli accessi, sistemi di autenticazione adeguati, protezione dei dati, backup e capacità di ripristino. Diventano centrali anche la gestione delle vulnerabilità, la continuità operativa e il monitoraggio dei rischi legati alla catena di fornitura.

nis2 italia

Crediti: Shutterstock

Ed è proprio quest’ultimo aspetto a rappresentare una delle maggiori difficoltà per molte imprese italiane. La NIS 2 impone di guardare oltre il perimetro aziendale tradizionale. Un’organizzazione può investire in firewall, endpoint protection e sistemi di monitoraggio, ma resta comunque esposta se un fornitore critico, un partner tecnologico o un provider esterno rappresentano un punto debole.

Questo comporta la necessità di conoscere meglio il proprio ecosistema digitale, quali fornitori gestiscono servizi essenziali, quali hanno accesso ai sistemi aziendali, quali dipendenze tecnologiche esistono e quali garanzie di sicurezza sono effettivamente previste nei contratti.

Un altro cambiamento rilevante riguarda la governance. La cybersecurity non può più essere delegata integralmente al responsabile IT o al CISO. La normativa attribuisce infatti un ruolo preciso agli organi amministrativi e direttivi, chiamati a supervisionare e approvare le misure di gestione del rischio cyber. In termini pratici, significa che anche consigli di amministrazione e vertici aziendali devono acquisire una maggiore consapevolezza delle minacce e delle responsabilità connesse.

Per molte realtà italiane, soprattutto quelle che hanno iniziato tardi il percorso di adeguamento, il conto alla rovescia verso il 30 settembre rischia quindi di trasformarsi in una corsa contro il tempo. Il pericolo più grande è affrontare la NIS 2 come un progetto di compliance da chiudere rapidamente, accumulando documenti e acquistando strumenti senza costruire processi realmente sostenibili.

La vera sfida è arrivare alla scadenza con una struttura che continui a funzionare anche dopo ottobre. Incident response, gestione dei fornitori, monitoraggio delle vulnerabilità e formazione del personale non possono essere attività straordinarie attivate soltanto per rispettare una data sul calendario.