A cura di Giovanni Polidoro – Gruppo Polaris

Oggi, 31 ottobre 2026, rappresenta una scadenza importante per molte imprese italiane soggette alla Direttiva europea NIS2. Per le organizzazioni interessate, è il termine di riferimento per completare l’adozione delle misure di sicurezza informatica di base previste dall’Agenzia per la Cybersicurezza Nazionale (ACN).

La Direttiva NIS2, recepita in Italia con il D.Lgs. 138/2024, ha ampliato gli obblighi di cybersicurezza coinvolgendo numerosi settori: energia, trasporti, sanità, infrastrutture digitali, industria e filiera alimentare.

Cosa devono fare le aziende?

Gli interventi richiesti non riguardano soltanto la tecnologia, ma coinvolgono l’intera organizzazione aziendale. In particolare:

  • Gestione dei rischi: individuare le vulnerabilità e proteggere gli asset aziendali.

  • Sicurezza informatica: controllare accessi, sistemi e informazioni.

  • Gestione degli incidenti: predisporre procedure di risposta, backup e continuità operativa.

  • Catena di fornitura: verificare i rischi legati a fornitori e partner tecnologici.

  • Formazione e governance: coinvolgere management e personale nella prevenzione.

Le misure di sicurezza di base previste da ACN sono differenziate: 37 misure e 87 requisiti per i soggetti importanti, 43 misure e 116 requisiti per quelli essenziali.

È importante ricordare che il 31 ottobre non è una scadenza universale: il termine effettivo dipende dalla data di inserimento nell’elenco NIS e dalla comunicazione ricevuta dall’ACN.

Non basta essere conformi: bisogna dimostrarlo

Con la scadenza si apre una nuova fase: quella delle verifiche e della capacità delle imprese di dimostrare l’effettiva applicazione delle misure adottate.

Documentazione, valutazioni dei rischi, controlli periodici, test di ripristino e formazione diventano elementi fondamentali per affrontare eventuali attività di vigilanza.

Strumenti come la Gap Analysis NIS2, la certificazione ISO/IEC 27001 e la ISO 22301 possono supportare le organizzazioni nella valutazione e nel miglioramento del proprio livello di sicurezza.

La cybersicurezza è anche competitività

Per le imprese, soprattutto per le PMI inserite in filiere produttive complesse, un attacco informatico può significare blocco delle attività, perdita di dati, danni economici e compromissione dei rapporti commerciali.

La NIS2 deve quindi essere interpretata non soltanto come un obbligo normativo, ma come un’opportunità per rafforzare l’organizzazione e proteggere la continuità aziendale.

La scadenza di oggi non deve essere considerata un punto di arrivo, ma l’inizio di una nuova cultura della prevenzione. La sicurezza digitale è ormai parte integrante della sicurezza e della solidità di un’impresa.

Giovanni Polidoro – Gruppo Polaris