NIS2 non in regola dopo la scadenza di ottobre 2026: cosa succede e come rientrare

Per la maggior parte dei soggetti in elenco dal 2025, il termine per le misure di base NIS2 è scaduto a metà ottobre 2026. Se la tua azienda non è in regola con la NIS2, la domanda adesso non è più «quanto tempo resta». È «cosa succede ora e da dove riparto».

La risposta breve: il giorno dopo la scadenza non scatta un’ispezione automatica, e nemmeno un’amnistia. ACN vigila in modo graduale e, tra i criteri di valutazione, considera anche le misure adottate e la collaborazione. Un piano di rientro scritto, con priorità e date, è la cosa più utile che puoi produrre adesso.

La scadenza NIS2 è passata: cosa è cambiato davvero?

È cambiato lo stato del tuo obbligo, non la legge. Fino a metà ottobre le misure di base erano un obiettivo con un termine. Da lì sono un obbligo in vigore, e chi non le ha completate è inadempiente. Il giorno della scadenza, però, non è uguale per tutti: dipende dalla data in cui hai ricevuto la comunicazione di inserimento.

La Determinazione ACN 379907/2025 fissa diciotto mesi dalla ricezione della comunicazione di inserimento, non una data nazionale. ACN ha iniziato a inviare le comunicazioni della prima tornata «a partire dal 12 aprile» 2025 (ACN). Diciotto mesi dopo si arriva al 12-13 ottobre 2026. Chi l’ha ricevuta più tardi ha un termine successivo: sempre diciotto mesi, ma dalla propria data. Un esempio: comunicazione ricevuta il 20 maggio 2025, termine il 20 novembre 2026.

Molti articoli in rete parlano del «31 ottobre 2026». Nei testi ACN che abbiamo consultato quella data non c’è: il Vademecum NIS dell’11 settembre 2026 parla solo del «prossimo ottobre» (ACN). Se avevi pianificato sul 31 ottobre, controlla la data della tua comunicazione: con ogni probabilità il tuo termine è già passato. Le altre date sono nello scadenzario NIS2.

ACN può ispezionare la tua azienda da subito?

Dipende dalla tua categoria. Sui soggetti essenziali le ispezioni possono essere disposte anche ex ante, cioè senza indizi preliminari di violazione. Sui soggetti importanti no: ACN deve prima disporre di elementi che suggeriscano una possibile violazione. Il monitoraggio invece riguarda tutti: ACN può chiedere rendicontazioni o autovalutazioni.

Le FAQ ACN sulla vigilanza, pubblicate l’11 agosto 2026, sono esplicite. Nei confronti degli essenziali le ispezioni «possono essere disposte anche ex ante». Nei confronti degli importanti «non possono essere disposte ex ante». Partono solo se l’Autorità ha «elementi di prova, indicazioni o informazioni che suggeriscano possibili violazioni» (FAQ MVE.3, ACN).

La FAQ non dice da dove arrivino questi elementi: possono emergere, per esempio, da una segnalazione o dalle informazioni presenti sulla piattaforma. La notifica di un incidente resta comunque un obbligo, e non va mai rimandata per timore di un controllo.

ACN può chiedere ai soggetti «una rendicontazione, anche periodica, o autovalutazioni» (FAQ MVE.2). Se arriva una richiesta del genere, la risposta migliore è un piano già scritto, non una promessa. Leggere che dal giorno dopo ACN ispezionerà tutti i soggetti in elenco significa confondere il potere con il modo in cui viene esercitato.

Cosa succede se non sei in regola con la NIS2?

Non scatta una sanzione automatica, ma l’inadempimento resta accertabile. ACN esercita la vigilanza in quattro ambiti (monitoraggio e supporto, verifiche e ispezioni, misure di esecuzione, sanzioni) «con un approccio graduale basato sul rischio» (FAQ MVE.1). Non sono tappe obbligate: per ACN misure di esecuzione e sanzioni hanno funzioni diverse e complementari, e una diffida non esclude la sanzione.

Le misure di esecuzione sono quelle che contano di più per chi è in ritardo. Con esse ACN chiede ai soggetti di «conformare la propria condotta» agli obblighi e di «rimediare alle carenze accertate». Lo fa con «intimazioni e diffide, indicando modalità e termini ragionevoli e proporzionati» (FAQ MVE.4). Ma la stessa FAQ aggiunge che il ricorso a questi poteri «non preclude l’esercizio dei poteri sanzionatori».

Le sanzioni restano quelle dell’articolo 38 del D.Lgs. 138/2024. Per gli essenziali arrivano a 10 milioni di euro o al 2% del fatturato annuo mondiale, per gli importanti a 7 milioni o all’1,4%, applicando l’importo più alto. C’è anche un minimo: un ventesimo del massimo per gli essenziali, un trentesimo per gli importanti.

Cosa pesa nella valutazione di ACN

Nel decidere come intervenire, ACN tiene conto «comunque almeno» degli elementi dell’articolo 34, comma 6, del decreto, elencati nella FAQ MVE.1. Fra questi ci sono «la durata della violazione», «qualsiasi misura adottata dal soggetto per prevenire o attenuare il danno materiale o immateriale» e «il livello di collaborazione» con l’Autorità.

Tradotto: ogni settimana di ritardo conta, ma conta anche quello che fai da oggi. Arrivare a una verifica con un piano approvato e le prime misure chiuse è diverso dall’arrivarci senza aver iniziato. E le evidenze in ordine fanno la differenza.

Come si costruisce un piano di rientro NIS2 credibile?

Un piano di rientro credibile parte da una fotografia onesta e mette le misure mancanti in ordine di rischio. Assegna a ciascuna un responsabile e una data. E passa dagli organi di amministrazione e direttivi, a cui il decreto affida l’approvazione delle modalità di attuazione. Gli allegati ACN prevedono già un piano di adeguamento: la misura ID.IM-01.

L’ordine conta più della velocità. Quello che consigliamo: prima i documenti da cui dipendono tutti gli altri, poi i requisiti che non si possono saltare, solo dopo le politiche. Una sequenza ragionevole in tre fasi:

I tempi sono indicativi e dipendono da dimensione e categoria: 36 misure e 86 requisiti per gli importanti, 41 e 113 per gli essenziali (Allegati 1 e 2 alla Determinazione ACN 379907/2025).

Le misure una per una, con l’evidenza da mostrare per ciascuna, sono nella checklist delle misure minime NIS2. Due errori da evitare. Il primo: comprare prodotti prima di sapere cosa manca, perché molte lacune sono documentali e non tecniche. Il secondo: scrivere il piano e non farlo approvare. Il decreto affida agli organi di amministrazione e direttivi l’approvazione delle modalità di attuazione delle misure (art. 23): un piano non approvato è difficile da difendere.

Cosa preparare se ACN chiede documenti?

Tieni pronta una cartella con quello che hai fatto, quello che stai facendo e quando finirai. Fra i poteri di verifica ACN c’è la richiesta di accesso a dati, documenti e altre informazioni. La richiesta dichiara la finalità e specifica le informazioni che servono (FAQ MVE.3). Avere i documenti già ordinati ti permette di rispondere nei termini senza improvvisare.

• La comunicazione di inserimento e il calcolo del tuo termine reale.
• La gap analysis con la data in cui l’hai fatta: dimostra da dove sei partito.
• Il piano di adeguamento approvato, con responsabili e scadenze per ogni misura mancante.
• Le evidenze delle misure già chiuse: inventari, configurazioni, verbali, registro della formazione.
• Le misure compensative scritte per i requisiti che non puoi attuare, con il rischio residuo accettato.
• I nomi del punto di contatto, del sostituto e del referente CSIRT, aggiornati sulla piattaforma.

Per la tornata 2025 l’obbligo di notifica degli incidenti è attivo da gennaio 2026. Verifica quindi che qualcuno sappia cosa fare nelle prime 24 ore. I passaggi sono nel runbook della notifica a 24 e 72 ore.

Dopo le misure di base: registrazione annuale e misure rafforzate

Restano due appuntamenti, uno fisso e uno in preparazione. Quello fisso è la registrazione: ogni anno, dal 1° gennaio al 28 febbraio, tutti i soggetti NIS devono fare o aggiornare la registrazione sulla piattaforma ACN. Quello in preparazione sono le misure di sicurezza rafforzate.

Il 18 settembre 2026 ACN ha avviato la consultazione delle misure di sicurezza rafforzate. Hanno «l’obiettivo di integrare e sostituire le misure di sicurezza di base adottate nella fase di prima applicazione del decreto NIS» (ACN). Al 13 ottobre 2026 non c’è un testo definitivo né una data di applicazione. Il messaggio pratico è chiaro: le misure di base sono il pavimento, non il traguardo. Chi le completa adesso non riparte da zero quando arriveranno le nuove.

Nella stessa occasione ACN ha dato conto di oltre 2.000 registrazioni tardive e di circa 2.000 istruttorie di revisione dell’elenco. Ti sei registrato in ritardo o hai chiesto una revisione? Controlla sulla piattaforma la tua posizione e la data della comunicazione: i tuoi termini partono da lì.

Domande frequenti

Cosa faccio se ACN mi chiede un’autovalutazione?

Rispondi nei termini e con documenti, non con dichiarazioni. Indica le misure già attuate con le evidenze, quelle mancanti con il piano di adeguamento approvato, e per ciascuna responsabile e data. Se la gap analysis non c’è ancora, falla prima di rispondere: è il punto di partenza di tutto il resto.

Se non sono in regola, ricevo subito una sanzione?

Non automaticamente. ACN vigila con un approccio graduale basato sul rischio. Può però verificare, intimare l’adeguamento e sanzionare, e le misure di esecuzione non escludono le sanzioni. Per i soggetti importanti le ispezioni richiedono elementi che suggeriscano possibili violazioni.

Ha senso adeguarsi anche se la scadenza è passata?

Sì, ed è urgente. L’obbligo resta in vigore e la durata della violazione è uno degli elementi che ACN valuta. Valuta anche le misure adottate per attenuare il danno e la collaborazione con l’Autorità: un piano di rientro approvato e già avviato può pesare a tuo favore.

Cos’è il piano di adeguamento NIS2?

È una delle misure previste dagli allegati ACN, la ID.IM-01: il documento che pianifica come colmare le lacune rispetto ai requisiti. Per chi è in ritardo coincide con il piano di rientro: misure mancanti, priorità, responsabili, scadenze e approvazione degli organi di amministrazione e direttivi.

Le misure di base cambieranno?

Sì, nel tempo. A settembre 2026 ACN ha avviato la consultazione delle misure di sicurezza rafforzate, destinate a integrare e sostituire quelle di base. Al 13 ottobre 2026 non c’è una data di applicazione. Le misure di base restano l’obbligo attuale e la base da cui partiranno le nuove.

Fonti: ACN — FAQ su monitoraggio, vigilanza ed esecuzione (MVE.1-MVE.5, 11 agosto 2026) · ACN — Modalità e specifiche di base (Determinazione 379907/2025) · ACN — Le novità per i soggetti NIS (18 settembre 2026) · ACN — Vademecum NIS (11 settembre 2026) · ACN — NIS, avviata la seconda fase (15 aprile 2025) · D.Lgs. 138/2024 (artt. 23, 34-38).

Il quadro completo di perimetro, obblighi e sanzioni è nella guida completa alla NIS2 per PMI e studi professionali.