Misure di sicurezza rafforzate NIS: stato e preparazione

Risposta in breve. Le misure di sicurezza rafforzate NIS non sono ancora un obbligo. L’Agenzia per la Cybersicurezza Nazionale (ACN) ha avviato la consultazione con i tavoli settoriali il 18 settembre 2026: le misure dovranno integrare e sostituire quelle di base, ma alla data di verifica non risultano né un catalogo definitivo né una data di decorrenza.

Ultimo aggiornamento: 24 ottobre 2026. Verificato sulle fonti ACN e Normattiva in data 24 ottobre 2026.

Sommario

• Tracker delle misure rafforzate
• Che cosa sono le misure rafforzate e come differiscono da quelle di base?
• Sono già obbligatorie?
• Che cosa ha annunciato ACN il 18 settembre 2026?
• Come saranno modulate le misure rafforzate?
• Richiederanno un SOC e un penetration test?
• Come prepararsi senza anticipare obblighi
• Perché non conviene sospendere le misure di base
• Cronologia degli atti ACN
• Domande frequenti
• Fonti
• Come può supportare CyberPath
• Registro delle modifiche

Tracker delle misure rafforzate

Il tracker raccoglie i fatti verificati sulle misure di sicurezza rafforzate, con data, fonte e stato. Viene aggiornato ogni volta che ACN pubblica un atto o una notizia sul tema, e la data dell’ultimo controllo è indicata in cima alla pagina. Lo stato “Confermato” significa che il fatto è riportato da ACN. “Non pubblicato” significa che alla data di verifica non risulta alcun testo. “Non verificabile” significa che il contenuto non è pubblico e qualsiasi affermazione sarebbe un’ipotesi.

Che cosa sono le misure rafforzate e come differiscono da quelle di base?

Le misure di sicurezza rafforzate sono il secondo livello di requisiti di cybersicurezza che ACN sta definendo per i soggetti essenziali e i soggetti importanti della disciplina NIS, il recepimento italiano della direttiva NIS2 con il D.Lgs. 138/2024. Le misure di sicurezza di base sono invece il primo livello: la Determinazione ACN 379907 del 19 dicembre 2025, applicabile dal 15 gennaio 2026, ne prevede 37 con 87 requisiti per i soggetti importanti (Allegato 1) e 43 con 116 requisiti per i soggetti essenziali (Allegato 2). Secondo ACN, le misure rafforzate dovranno integrare e sostituire quelle di base, che sono state adottate nella fase di prima applicazione del decreto. Le due categorie non coesistono a lungo per scelta: le prime sono già operative, le seconde sono ancora in elaborazione.

Sono già obbligatorie?

No. Alla data del 24 ottobre 2026 le misure di sicurezza rafforzate non sono un obbligo: sono in consultazione con i tavoli settoriali dal 18 settembre 2026 e alla data di verifica non risultano pubblicati né un catalogo definitivo né una data di decorrenza. La notizia ACN del 18 settembre 2026 parla di consultazione avviata e di misure destinate a integrare e sostituire quelle di base, senza indicare termini di adozione. Il quadro vincolante resta quello delle misure di base della Determinazione 379907/2025 e dell’obbligo di notifica degli incidenti significativi. Per i soggetti inseriti nell’elenco nel 2025, il termine per le misure di base scade a ottobre 2026, cioè 18 mesi dopo la comunicazione di inserimento.

Che cosa ha annunciato ACN il 18 settembre 2026?

Il 18 settembre 2026 ACN ha comunicato, dopo la riunione plenaria del Tavolo di attuazione della NIS con le Autorità di settore e i rappresentanti regionali, l’avvio della consultazione delle misure rafforzate. La notizia contiene quattro elementi utili per chi deve pianificare.

• La consultazione si svolge con i tavoli settoriali ed è la terza con cui ACN e le Autorità di settore coinvolgono i settori interessati sui provvedimenti attuativi.
• Le misure sono state elaborate secondo i principi di proporzionalità e gradualità della disciplina NIS.
• I contributi raccolti saranno valorizzati nella fase di revisione, secondo il principio di regolamentazione partecipata.
• Nella stessa occasione ACN ha disposto l’aggiornamento dell’elenco dei soggetti NIS, che riguarda oltre 2.000 registrazioni tardive e circa 2.000 istruttorie di revisione, e ha ricordato che il 1° gennaio 2027 si apre la nuova finestra di registrazione o aggiornamento.

Come saranno modulate le misure rafforzate?

La notizia del 18 settembre 2026 afferma che le misure rispettano proporzionalità e gradualità, ma non descrive il meccanismo di modulazione. Un elemento già pubblicato è la Determinazione ACN 155238 del 20 aprile 2026, adottata ai sensi dell’articolo 30 del D.Lgs. 138/2024: organizza le attività e i servizi dei soggetti NIS in dieci macro-aree e attribuisce a ciascuno una di quattro categorie di rilevanza (impatto minimo, basso, medio, alto). Secondo la determinazione, la categorizzazione serve a prevedere sui relativi sistemi misure di sicurezza proporzionate. La comunicazione dell’elenco categorizzato avviene ogni anno dal 1° maggio al 30 giugno.

Ipotesi, non dato ufficiale: la stampa specializzata ritiene che le misure rafforzate saranno graduate sulla categoria di rilevanza assegnata. ACN non lo ha ancora confermato nella notizia del 18 settembre 2026.

Richiederanno un SOC e un penetration test?

Oggi non è possibile saperlo, perché il contenuto delle misure rafforzate non è pubblico. Un SOC (Security Operations Center) è la funzione che monitora in modo continuo log ed eventi di sicurezza, rileva gli incidenti e coordina la risposta. Un penetration test è una simulazione autorizzata di attacco, con cui si verifica quali vulnerabilità siano realmente sfruttabili. Nessuno dei due strumenti è citato nella notizia ACN del 18 settembre 2026.

Un dato verificato riguarda le misure di base: ACN le ha costruite per coprire gli elementi dell’articolo 24, comma 2, del D.Lgs. 138/2024, che comprendono la gestione degli incidenti e le verifiche sulle misure adottate. Ipotesi: chi costruisce oggi evidenze solide su rilevamento, monitoraggio e verifica di efficacia potrà verosimilmente riutilizzarle quando le misure rafforzate saranno definite. Per il dettaglio si vedano gli approfondimenti su SOC e NIS2, su penetration test e NIS2 e sulla mappatura delle misure di base.

Come prepararsi senza anticipare obblighi

Prepararsi significa rendere dimostrabili le misure di base già vigenti, senza anticipare contenuti che ACN non ha pubblicato. Cinque azioni sono utili in ogni scenario, perché non dipendono dal testo finale delle misure rafforzate.

1. Verificare il proprio termine. I soggetti inseriti nell’elenco nel 2025 hanno 18 mesi dalla comunicazione di inserimento. Per i soggetti inseriti nel 2026, la Determinazione ACN 127434/2026 fissa le misure di base al 31 luglio 2027 e l’obbligo di notifica degli incidenti dal 1° gennaio 2027.
2. Eseguire una gap analysis datata sulle misure dell’allegato applicabile (Allegato 1 per i soggetti importanti, Allegato 2 per i soggetti essenziali) e ordinare le misure mancanti per livello di rischio.
3. Completare e rivedere la categorizzazione di attività e servizi, perché la Determinazione 155238/2026 la collega a misure di sicurezza proporzionate.
4. Organizzare le evidenze: politiche approvate, log, report di verifica e verbali, ciascuno con responsabile, versione e data.
5. Portare all’organo di amministrazione un report periodico sullo stato della sicurezza e seguire le pubblicazioni ACN, anche tramite le associazioni di categoria coinvolte nei tavoli settoriali.

Perché non conviene sospendere le misure di base

Sospendere il programma sulle misure di base in attesa delle rafforzate sarebbe un errore, perché le misure di base restano l’obbligo vigente e la consultazione non risulta modificare i termini già fissati. Secondo la stampa specializzata, con la scadenza di ottobre 2026 ACN passa dall’accompagnamento alla vigilanza. Le FAQ ACN descrivono la vigilanza come un’attività con approccio graduale basato sul rischio, articolata in monitoraggio e supporto, verifiche e ispezioni, misure di esecuzione e sanzioni. Inoltre, poiché le misure rafforzate dovranno integrare e sostituire quelle di base, un’organizzazione che ha già adottato e documentato le seconde parte da una posizione più solida. Chi invece rinvia deve recuperare due livelli di requisiti insieme.

Cronologia degli atti ACN

La cronologia seguente riepiloga gli atti e le notizie rilevanti. Il nome delle misure è cambiato nel tempo: ad aprile 2026, presentando il modello di categorizzazione, ACN parlava di misure di sicurezza a lungo termine, mentre dal 18 settembre 2026 usa l’espressione misure di sicurezza rafforzate.

Domande frequenti

Le misure di sicurezza rafforzate sono già in vigore?

No. Alla data del 24 ottobre 2026 sono in consultazione con i tavoli settoriali, avviata da ACN il 18 settembre 2026. Alla data di verifica non risultano pubblicati né un catalogo definitivo né una data di decorrenza. Finché ACN non adotta un atto che le renda applicabili, le misure obbligatorie restano quelle di base della Determinazione 379907/2025.

Le misure rafforzate sostituiscono quelle di base?

Secondo ACN, le misure rafforzate sono destinate a integrare e sostituire le misure di base adottate nella fase di prima applicazione del decreto. Il passaggio non è però ancora avvenuto: oggi le misure di base restano l’obbligo vigente. Modalità e tempi della sostituzione dipenderanno dagli atti che ACN adotterà al termine della consultazione.

Quando saranno pubblicate?

ACN non ha comunicato una data di pubblicazione né di decorrenza. La notizia del 18 settembre 2026 indica soltanto che i contributi raccolti saranno valorizzati nella revisione da parte dell’Autorità. Per seguire gli sviluppi conviene consultare l’area informativa NIS di ACN e il tracker di questa pagina, che viene aggiornato a ogni nuova pubblicazione.

Che cosa deve fare chi ha il termine a ottobre 2026?

Deve avere adottate e dimostrabili le misure di base dell’allegato applicabile: 37 misure per i soggetti importanti, 43 per i soggetti essenziali. Il termine è di 18 mesi dalla comunicazione di inserimento nell’elenco, quindi la data esatta va letta sulla comunicazione ricevuta. La consultazione sulle misure rafforzate non risulta modificare questo termine.

Chi definisce le misure rafforzate?

Le definisce ACN, in qualità di Autorità nazionale competente NIS, con determinazioni del Direttore generale adottate sentito il Tavolo per l’attuazione della disciplina NIS. La consultazione coinvolge i tavoli settoriali, le Autorità di settore e i rappresentanti regionali. Né un’impresa né un fornitore di servizi, compreso CyberPath, può definire o certificare la conformità a queste misure.

Fonti

• ACN, Le novità per i soggetti NIS, 18 settembre 2026
• ACN, Online il Vademecum per i soggetti NIS, 11 settembre 2026
• ACN, area informativa NIS
• ACN, domande frequenti NIS
• ACN, Determinazione 127434/2026 sui termini per i nuovi soggetti NIS
• Gazzetta Ufficiale, D.Lgs. 4 settembre 2024, n. 138

Come può supportare CyberPath

Noi di CyberPath, società italiana che eroga SOC as a Service (SOCaaS) e penetration test per le PMI, aiutiamo i soggetti NIS a mettere ordine nelle evidenze delle misure di base già vigenti. Proponiamo un colloquio tecnico per verificare quali evidenze siano già disponibili, per esempio log, report di verifica, procedure di risposta agli incidenti e verbali, e quali manchino rispetto all’allegato applicabile. Questa attività supporta la preparazione dell’organizzazione e aiuta a produrre evidenze riutilizzabili quando ACN pubblicherà le misure rafforzate. CyberPath non è un’autorità e non rilascia certificazioni di conformità NIS2: la valutazione finale spetta al soggetto e ad ACN. Per richiedere un primo colloquio gratuito è possibile prenotare tramite questo link.

Registro delle modifiche