Aggiornamento. Questo articolo riprende e aggiorna il nostro promemoria del 2 ottobre sulle quattro settimane al 31 ottobre. A tre giorni dalla data, il tema non è più «cosa devo fare», ma «cosa posso dimostrare».

Per molte organizzazioni italiane il 31 ottobre 2026 è il giorno in cui scade il termine di 18 mesi, dalla notifica di inserimento nell'elenco NIS, per rendere operative le misure di sicurezza di base. La data esatta dipende da quando ciascun soggetto ha ricevuto la propria notifica, e va verificata sul portale dell'ACN: per i soggetti inseriti per la prima volta nel 2026 il termine per le misure è invece il 31 luglio 2027. Nelle ultime settimane diversi commenti professionali hanno però messo a fuoco un punto che cambia l'impostazione del lavoro: la scadenza non chiude una finestra di preparazione, ma apre quella della verifica.

Cosa è successo e cosa dicono le fonti

Secondo le sintesi professionali consultate, il quadro è questo. Le misure di base sono definite dalla determinazione ACN n. 379907/2025, in vigore da gennaio 2026: 37 misure e 87 requisiti per i soggetti importanti, 43 misure e 116 requisiti per i soggetti essenziali. Gli ambiti sono quelli noti: autenticazione a più fattori e controllo degli accessi, inventario degli asset, gestione delle vulnerabilità, backup e continuità operativa, gestione degli incidenti, sicurezza dei fornitori, formazione e sicurezza fisica. L'obbligo di notifica degli incidenti significativi è già operativo per i soggetti elencati nel 2025: pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese.

L'osservazione nuova, formulata da Agenda Digitale e ripresa da Seti, è che dal 31 ottobre l'attività dell'ACN dovrebbe spostarsi dall'accompagnamento alla verifica, e che una verifica valuta le evidenze, non i documenti. Una misura, scrive Agenda Digitale, deve risultare in funzione per un periodo significativo: i cicli di scansione delle vulnerabilità con le correzioni tracciate, i test di ripristino dei backup registrati, le revisioni degli accessi completate, i registri di formazione distribuiti nel tempo. Le politiche si scrivono in una settimana, le tracce si accumulano in mesi; un archivio perfetto, senza rilievi né eccezioni, ricostruito all'ultimo momento, sembra «messo in scena».

Va detto con chiarezza che si tratta di interpretazioni degli autori, non di dichiarazioni ufficiali dell'ACN. Non abbiamo trovato, nelle fonti consultate, un documento primario che fissi una data di inizio delle ispezioni, né un calendario dei controlli; in particolare non abbiamo verificato la formula «dal 1° novembre». Le fonti sono inoltre in parte commerciali: Seti, ad esempio, promuove servizi di conformità. Prima di assumere decisioni conviene leggere direttamente i testi delle determinazioni sul sito dell'ACN. Una fonte indica poi che l'ACN dovrebbe pubblicare misure ulteriori, «rinforzate», entro la fine del 2026, senza una data di adozione.

Cosa significa per le aziende italiane

Da consulente leggo la situazione in tre modi.

Il primo: la qualità della prova conta più della quantità di carta. Un registro con un solo test di ripristino del 29 ottobre vale meno di tre test trimestrali con anomalie annotate e corrette. Chi parte tardi non deve nascondere la brevità della storia: deve mostrare un processo avviato, con responsabile, frequenza e prime registrazioni. È più credibile dichiarare «attivo dal 20 ottobre, prossimo ciclo a gennaio» che presentare date retrodatate.

Il secondo: le misure tecniche e quelle di governo vanno insieme. L'art. 23 del d.lgs. 138/2024 attribuisce agli organi di amministrazione il compito di approvare le modalità di attuazione, sovrintenderle e rispondere delle violazioni. Un verbale del consiglio di amministrazione che approva il piano delle misure, con data certa, è l'evidenza più semplice da produrre in pochi giorni e una delle più importanti, perché dimostra la responsabilizzazione del vertice. Per i soggetti essenziali le fonti citano anche sanzioni amministrative e misure interdittive nei confronti dei dirigenti; le sanzioni massime (art. 38) sono 10 milioni di euro o il 2% del fatturato mondiale per i soggetti essenziali e 7 milioni o l'1,4% per quelli importanti: sono massimi edittali, non importi attesi.

Il terzo: l'effetto catena sui fornitori. Anche chi non è nell'elenco NIS può essere chiamato in causa, se serve soggetti che lo sono: questionari di sicurezza, clausole contrattuali, richieste di evidenze su MFA, backup, patching e notifica degli incidenti. Per le PMI fornitrici il 31 ottobre è, di fatto, una data commerciale. Il collegamento con la cronaca è diretto: gli ultimi aggiornamenti trimestrali dei grandi produttori, come quello di Oracle di questi giorni, ricordano che la gestione delle vulnerabilità non è un adempimento astratto ma un ciclo che produce prove ogni mese.

Cosa fare subito: i prossimi tre giorni

  • Confermare la propria data e classificazione: accedere al portale ACN, verificare data di notifica, categoria (essenziale o importante) e quale determinazione si applica; controllare che l'analisi delle lacune si basi sul testo vigente della 379907/2025, non su versioni superate.
  • Far approvare il piano dall'organo di amministrazione con verbale datato e firmato: misure, responsabili, tempi, risorse.
  • Attivare l'MFA sui perimetri critici se non è già presente: accessi amministrativi, VPN, posta, console cloud; poi estenderla a tutti gli account.
  • Eseguire e registrare un test di ripristino di un sistema rilevante, annotando data, esito, durata e problemi riscontrati.
  • Lanciare una scansione delle vulnerabilità sui sistemi esposti e aprire le attività di correzione con responsabili e scadenze, in modo da avviare un ciclo tracciabile.
  • Centralizzare e conservare i log dei sistemi principali, con tempi di conservazione definiti e ricerca possibile.
  • Provare la notifica: una simulazione di pre-notifica entro 24 ore con ruoli, contatti e canale ACN/CSIRT Italia aggiornati.
  • Raccogliere le evidenze in un unico archivio, organizzato per misura, con data, autore e fonte di ogni documento.

E dopo il 31 ottobre

Il vero lavoro comincia a novembre: calendario annuale dei test (ripristino, accessi, vulnerabilità, formazione), riesame periodico dei fornitori, indicatori semplici che mostrino l'andamento nel tempo e un riesame del consiglio di amministrazione a cadenza fissa. Chi si limita a «superare» la data si ritroverà a rincorrere. Questo articolo ha finalità informativa e non costituisce parere legale; per il proprio caso conviene confrontarsi con un consulente e verificare i testi ufficiali sul sito dell'ACN.