--- title: "NIS2, ottobre 2026: cosa deve esserci nel raccoglitore quando l’ACN bussa" description: "Da ottobre 2026 la prima ondata NIS2 deve dimostrare le misure di base: policy, rischi, registri, contratti fornitori. La lista, articolo per articolo." url: https://csidia.com/note-operative/nis2-ottobre-2026-prova-documentale/ lang: it date: 2026-07-24 label: "Normativa" publisher: CSIDIA S.r.l. (https://csidia.com/) english: https://csidia.com/en/notes/nis2-ottobre-2026-prova-documentale/ --- # NIS2, ottobre 2026: cosa deve esserci nel raccoglitore quando l’ACN bussa Il 4 settembre 2024 l'Italia ha recepito la NIS2 con il D.lgs. 138/2024. Da allora molte aziende hanno letto la direttiva come [un adempimento burocratico](https://csidia.com/note-operative/nis2-aziende-settori-critici): registrarsi, aspettare istruzioni, respirare. Chi ha letto così ha sbagliato calendario. Per la prima ondata di soggetti — quelli registrati tra dicembre 2024 e febbraio 2025, elenco consolidato dall'Agenzia per la Cybersicurezza Nazionale ad aprile 2025 — l'articolo 24 del decreto fissa **18 mesi da quel momento per adottare le misure di sicurezza di base**: il conto arriva a **ottobre 2026**. Le stesse FAQ ufficiali dell'ACN lo confermano in questi termini; per chi si è registrato invece per la prima volta nella finestra 2026, il termine equivalente — sempre secondo le indicazioni ufficiali dell'ACN — scade il **31 luglio 2027**. Due calendari diversi, stessa richiesta: le prove. ## La conseguenza bruciante: non si dichiara, si dimostra La NIS2 non chiede una promessa. Chiede una verifica. La direttiva (art. 32-33 della Direttiva (UE) 2022/2555, recepiti nei poteri di vigilanza dell'ACN) autorizza ispezioni in loco, controlli fuori sede e audit di sicurezza mirati sui soggetti essenziali e importanti. Quando arriva quella richiesta, non conta cosa avete fatto: conta cosa potete **mostrare**. Una policy che esiste solo nella testa del responsabile IT, un'analisi dei rischi mai scritta, un fornitore critico senza clausole di sicurezza nel contratto: davanti a un ispettore valgono come se non esistessero. Le sanzioni dell'articolo 38 del decreto sono commisurate a questo: fino a **10 milioni di euro o il 2% del fatturato mondiale** per i soggetti essenziali, fino a **7 milioni o l'1,4%** per gli importanti — e scattano anche per violazioni formali, con soglie ridotte allo 0,1% e allo 0,07%. Lo stesso principio che vale per gli incidenti — [ci si accorge solo di ciò che si misura](https://csidia.com/note-operative/acn-incidenti-cyber-2026-nis2-visibilita) — vale per la conformità: si dimostra solo ciò che si è scritto. ## Cosa deve esserci nel raccoglitore, letteralmente Le FAQ tecniche dell'ACN elencano cosa un soggetto NIS deve poter esibire. Non è un elenco astratto: 1. **Verbali degli organi di amministrazione** (art. 23): approvazione delle misure di gestione del rischio, sorveglianza sulla loro attuazione, evidenza della formazione specifica ricevuta dai vertici. La responsabilità non è più delegabile in toto all'IT — e senza verbale, non è dimostrabile. 2. **Analisi dei rischi aggiornata**, riferita ai sistemi reali dell'azienda, non un modello scaricato da internet. 3. **Inventari** di sistemi, configurazioni, vulnerabilità note e personale con accesso — la base che rende possibile tutto il resto. 4. **Registro dei fornitori critici e contratti con clausole di sicurezza** — lo stesso esercizio che [DORA impone al settore finanziario](https://csidia.com/note-operative/dora-fornitori-ict-critici-concentrazione), qui esteso a tutti i soggetti NIS: i contratti già in corso non richiedono modifica immediata, ma ogni nuovo contratto, rinnovo o estensione deve incorporare requisiti coerenti con l'analisi dei rischi. Chi rinnova un contratto IT a ottobre senza toccare le clausole si presenta all'ispezione con un buco. 5. **Piani di continuità operativa e disaster recovery**, testati, non solo scritti. 6. **Registro della formazione del personale**, oltre a quella dei vertici. 7. **Procedure di notifica degli incidenti** effettivamente esercitate: preallarme al CSIRT Italia entro 24 ore, notifica completa entro 72, relazione finale entro un mese. 8. **Evidenza di controllo degli accessi, cifratura e segmentazione di rete** — non la policy che lo prescrive, la prova che è attiva. ## Cosa fare adesso, prima che il calendario faccia il lavoro per voi Tra oggi e ottobre restano poche settimane utili di lavoro reale, tolte ferie e chiusure. L'ordine sensato: 1. **Gap analysis onesta** tra ciò che l'articolo 24 chiede e ciò che avete per iscritto — non ciò che fate, ciò che potete provare di fare. 2. **Assegnate la responsabilità al vertice** con delibera formale: è l'articolo 23, ed è la prima cosa che manca quasi ovunque. 3. **Passate in rassegna i contratti fornitori** in scadenza o rinnovo nei prossimi mesi: è lì che si inserisce la clausola di sicurezza, non dopo. 4. **Mettete in scrittura ciò che già fate bene**: spesso la sostanza c'è, manca la traccia documentale che la rende opponibile a un ispettore. ## Fonti - [ACN — Portale NIS: fasi, scadenze e adempimenti](https://www.acn.gov.it/portale/nis) - [ACN — FAQ: misure di sicurezza e notifica di incidenti](https://www.acn.gov.it/portale/faq/nis/misure-di-sicurezza-e-notifica-di-incidenti) - [D.lgs. 4 settembre 2024, n. 138 — recepimento NIS2 (Normattiva)](https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:decreto.legislativo:2024-09-04;138) Nota di CSIDIA S.r.l. (Vignola, MO): https://csidia.com/note-operative/nis2-ottobre-2026-prova-documentale/ · Chi siamo e che cosa facciamo: https://csidia.com/in-breve/ · engagement@csidia.com