NIS2, misure rafforzate: cosa sappiamo e perché la categorizzazione di giugno conta adesso

Il contesto

Per i soggetti inseriti nell'elenco NIS nel 2025, ottobre 2026 era il mese in cui scadeva il termine per le misure di sicurezza di base, fissato in diciotto mesi dalla comunicazione di inserimento. Nelle settimane precedenti l'attenzione è andata quasi tutta lì. Eppure il 18 settembre ACN ha comunicato un passaggio che guarda più avanti: è partita la consultazione delle misure di sicurezza rafforzate.

Le misure di base sono state adottate per la fase di prima applicazione del decreto NIS. Quelle rafforzate hanno l'obiettivo dichiarato di integrarle e sostituirle. Vale la pena capire che cosa è stato detto davvero e che cosa resta ancora da definire.

Cosa ha comunicato ACN

Il 18 settembre 2026 si è riunito in plenaria il Tavolo di attuazione della NIS, con le Autorità di settore e i rappresentanti regionali. In quella sede ACN ha disposto l'aggiornamento dell'elenco dei soggetti NIS, che ha riguardato oltre 2000 registrazioni tardive e circa 2000 istruttorie di revisione esaminate tra maggio e luglio, e ha avviato la consultazione delle misure rafforzate.

Dalla comunicazione ufficiale emerge che le misure sono state elaborate secondo i principi di proporzionalità e gradualità previsti dalla disciplina. La consultazione passa dai tavoli settoriali ed è la terza che l'Agenzia apre con le Autorità di settore sui provvedimenti attuativi. I contributi raccolti saranno valorizzati nella fase di revisione da parte dell'Autorità.

C'è anche una questione di nomi. Ad aprile, presentando il modello di categorizzazione, ACN parlava di misure di sicurezza a lungo termine; a settembre ha usato l'espressione misure rafforzate. Per quanto risulta indicano lo stesso percorso, quindi conviene cercare la documentazione con entrambi i termini.

Cosa non si sa ancora

Un catalogo definitivo non è stato annunciato. La comunicazione di settembre non indica un termine per i contributi e non fissa una data di adozione. Nei mesi scorsi si indicava la fine del 2026 come orizzonte per la pubblicazione delle misure di lungo periodo, ma la nota del Tavolo non lo conferma.

Fino all'adozione le misure rafforzate non sono in vigore, e oggi nessuno può dire con precisione quanto saranno diverse da quelle di base. Per i soggetti entrati nell'elenco nel 2026, che hanno tempo fino al 31 luglio 2027 per le misure di base e dal 1° gennaio 2027 per la notifica degli incidenti, resta poi da capire come i due livelli si sovrapporranno. Su questo punto la comunicazione non dice nulla.

Perché la categorizzazione di giugno conta adesso

Il Vademecum NIS pubblicato da ACN a settembre descrive la categorizzazione come un'analisi di impatto semplificata, costruita su un modello armonizzato, i cui esiti servono all'Autorità per stabilire obblighi di sicurezza proporzionati.

Con il modello a dieci macro-aree e quattro livelli di rilevanza, dal minimo all'alto, ogni soggetto ha comunicato ad ACN come si colloca. Che le misure rafforzate seguano una logica proporzionale è coerente con quanto dichiarato, anche se il meccanismo preciso non è ancora noto. Se così sarà, la fotografia inviata entro il 30 giugno diventa il punto di riferimento su cui si misurerà il lavoro futuro.

La categorizzazione si ripete ogni anno dal 1° maggio al 30 giugno e può essere aggiornata. Il prossimo ciclo è nel 2027.

Il nostro punto di vista

Leggiamo questo passaggio come la conferma di una direzione già visibile: ACN costruisce gli obblighi per gradi e li calibra sul profilo di ciascun soggetto. Le misure di base hanno fissato un livello minimo comune a tutti i soggetti della stessa categoria, essenziali o importanti. Quelle rafforzate nascono dichiaratamente su proporzionalità e gradualità, e questo fa pensare a un affinamento in funzione della rilevanza.

È ragionevole attendersi che il lavoro fatto sulle misure di base resti utile. Gap analysis, evidenze raccolte e responsabilità assegnate sono il materiale da cui partire per misurare la distanza dalle nuove misure, quando saranno note.

Cosa fare adesso

1. Rileggere la categorizzazione inviata a giugno e verificare che la documentazione degli scostamenti rispetto alla categoria pre-assegnata sia completa, datata e conservata.
2. Tenere in ordine il dossier delle misure di base, con evidenze, verbali e responsabilità, perché servirà per eventuali verifiche e come base di confronto con le misure rafforzate.
3. Chiedere alla propria associazione di categoria o all'Autorità di settore come contribuire alla consultazione, che passa proprio dai tavoli settoriali.
4. Segnare in agenda le regole 2027. Chi è già nell’elenco presenta la dichiarazione annuale solo se le informazioni sono cambiate: senza modifiche resta in elenco con lo stesso status (Determina ACN 314287/2026, applicabile dal 25 ottobre). La categorizzazione va aggiornata entro il 30 giugno, dopo quella data l’elenco categorizzato non è più modificabile.
5. Portare l'argomento in consiglio di amministrazione: l'art. 23 del decreto attribuisce agli organi di amministrazione il compito di approvare le misure e sovrintendere alla loro attuazione, quindi un aggiornamento sul percorso verso le misure rafforzate rientra nelle loro responsabilità.

Per un confronto sul tuo percorso NIS2: info@agilehub.it oppure www.agilehub.it/agile-nis2

Fonti: ACN, Le novità per i soggetti NIS, 18 settembre 2026; ACN, Online il Vademecum per i soggetti NIS, settembre 2026.

‍