Nelle ultime settimane mi hanno rivolto la stessa domanda in tre incontri diversi: a Bolzano, a Merano e in una valle sopra Bressanone. “Federico, abbiamo tempo fino al 31 ottobre, vero?” Me l’hanno chiesto il titolare di un’impresa familiare di produzione, la direttrice amministrativa di un’azienda commerciale e il responsabile di uno stabilimento del settore alimentare. Lo chiedevano con serenità, come si chiede la scadenza di una dichiarazione dei redditi.
Rispondo a tutti allo stesso modo: no, non necessariamente. E non si tratta di un cavillo sulla formulazione. Se fosse solo questo, non scriverei un articolo.
Che cosa dice, in concreto, il calendario
L’Agenzia per la Cybersicurezza Nazionale (ACN) ha pubblicato a settembre 2026 il nuovo Vademecum NIS, un calendario operativo degli adempimenti per le organizzazioni alle quali è stata comunicata l’inclusione nell’elenco dei soggetti essenziali e importanti. Ne ricavo tre punti che ritengo decisivi.
Primo. Per i soggetti inseriti nell’elenco nel 2025, l’obbligo di notificare al CSIRT Italia gli incidenti significativi di base vale da gennaio 2026, mentre le misure di sicurezza di base vanno completate “entro ottobre 2026”. Ma “entro ottobre” non equivale al 31 ottobre. Il termine puntuale è legato alla data in cui avete ricevuto la comunicazione di inserimento da parte di ACN: 9 mesi per la notifica degli incidenti, 18 mesi per l’adozione delle misure di sicurezza. Se la comunicazione è arrivata ad aprile 2025, il conto parte da lì, non dal calendario.
Secondo. Per i soggetti inseriti nel 2026 tutto slitta di un anno: notifiche da gennaio 2027, misure di sicurezza entro luglio 2027.
Terzo, e questo è il punto che si dimentica più spesso: esistono adempimenti ricorrenti che non dipendono dall’anno di ingresso. La registrazione, o il suo aggiornamento, va fatta ogni anno dal 1° gennaio al 28 febbraio. L’aggiornamento delle informazioni dal 15 aprile al 31 maggio. La categorizzazione di attività e servizi dal 1° maggio al 30 giugno. E ogni variazione di un dato già comunicato va segnalata entro 14 giorni. Tra i dati da mantenere aggiornati ci sono il punto di contatto, il referente CSIRT, i componenti degli organi di amministrazione e direttivi e l’elenco dei fornitori rilevanti.
Le misure di base sono quelle definite dalla determinazione ACN 164179 del 14 aprile 2025, aggiornata dalla determinazione 379907 del 19 dicembre 2025 (in applicazione dal 15 gennaio 2026), in attuazione del D.Lgs. 4 settembre 2024, n. 138, con cui l’Italia ha recepito la direttiva NIS2: governance, inventario degli asset, analisi delle lacune, gestione degli incidenti. Per gli incidenti significativi la pre-notifica al CSIRT Italia va inviata senza ritardo e comunque entro 24 ore da quando se ne ha conoscenza, la notifica completa entro 72 ore (FAQ ACN).
La mia opinione: il problema non è la data
Lavoro con le imprese altoatesine da abbastanza tempo per riconoscere uno schema che si ripete. Quando si parla di scadenze, quasi sempre si parla di una paura sola: “Faremo in tempo?” È una domanda sul calendario. Ma la NIS2 è, prima di tutto, una questione di governo dell’azienda.
La direttiva attribuisce in modo esplicito la responsabilità agli organi di amministrazione: approvano le misure e ne rispondono. Un amministratore non può più dire “è una cosa dell’informatica”. Questo cambio di prospettiva conta più di qualsiasi data. Finché la cybersicurezza era un problema tecnico, la risolveva la persona con le password e il server nel seminterrato. Oggi la domanda “che cosa abbiamo, chi ne risponde e che cosa succede se si ferma” è una domanda della direzione, e a firmare le risposte non è l’amministratore di sistema.
Per questo mi sembra sbagliato iniziare la conversazione dalla data. La data risponde a “quando”. Io propongo di cominciare da “chi”.
Che cosa è successo qui da noi
Non servono scenari teorici: negli ultimi due anni l’Alto Adige ha avuto esempi concreti, riportati dalla stampa. Li cito perché insegnano più di qualsiasi slide.
Rothoblaas, settembre 2024. L’azienda di Cortaccia, produttrice di materiali per l’edilizia, è stata colpita dal gruppo ransomware Akira. Come ha raccontato il responsabile IT globale Stefan Trebo alla RAI, i sistemi si sono fermati e la produzione è rimasta interrotta per tre giorni. Gli aggressori hanno tentato un’estorsione, che l’azienda ha rifiutato “per principio”. Trebo ha dichiarato che l’azienda impiega 12 persone nel reparto IT e che era il primo attacco subito; i sistemi sono stati ripristinati in tempi relativamente brevi, ma un periodo di fermo si traduce direttamente in un danno. Fonte: RAI Alto Adige, 26 settembre 2024.
Da questo caso ricavo una lezione scomoda. Rothoblaas non è una piccola bottega: ha una struttura IT di dodici persone. Eppure tre giorni di fermo produttivo sono arrivati lo stesso, perché un attacco ransomware sfrutta una vulnerabilità, non il numero di dipendenti. La domanda per una PMI con due o tre persone in ufficio e un fornitore esterno di assistenza è inevitabile: se succede a un’azienda con dodici addetti IT, che cosa succederebbe a noi?
Provincia di Bolzano, giugno 2025. Nella notte tra il 23 e il 24 giugno 2025 un attacco informatico con richiesta di riscatto ha colpito più strutture dell’amministrazione provinciale, mettendo fuori uso sistemi telefonici di centrali di protezione civile: la centrale provinciale di segnalazione del traffico, la centrale di emergenza, il Corpo permanente dei Vigili del fuoco e il servizio radio provinciale. Il presidente Arno Kompatscher ha comunicato che il riscatto non sarebbe stato pagato e che i dati personali dei cittadini non risultavano violati. Molte operazioni sono state svolte manualmente, con personale aggiuntivo alla centrale di emergenza, e le chiamate di emergenza sono rimaste attive. Fonte: MB Time, 25 giugno 2025, che riporta le comunicazioni ufficiali.
Qui vedo un esempio diverso e, a modo suo, istruttivo: quello di un piano di emergenza che ha funzionato. Quando i sistemi non c’erano più, esisteva una procedura per lavorare a mano e per mantenere attivo il servizio essenziale. È esattamente quello che la NIS2 chiede alle organizzazioni: non l’impossibile promessa che “non succederà mai”, ma la capacità di continuare a operare quando succede.
C’è poi un terzo caso, fuori regione ma istruttivo per qualsiasi PMI: la Regione Lazio, agosto 2021. Un ransomware ha bloccato la piattaforma per le prenotazioni dei vaccini e le attività dell’ente. Secondo l’analisi pubblicata da Cybersecurity360, l’attacco è partito dal computer di un dipendente di LazioCrea in smart working, i backup non erano isolati (offline) e gli account amministrativi non avevano l’autenticazione a due fattori. I dati dei backup, infine, erano stati solo cancellati e non cifrati, e hanno potuto essere recuperati con circa 50 ore di lavoro. È stato un lieto fine fortunato, non programmato. Lo cito perché le tre mancanze (backup non isolato, assenza di doppio fattore, smart working non protetto) sono le stesse che incontro in molte aziende di ogni dimensione.
Tre situazioni tipiche delle nostre imprese
Il tessuto economico altoatesino è fatto soprattutto di piccole e medie imprese familiari, spesso con una specializzazione profondissima e un ruolo molto forte della persona: il titolare che conosce tutti per nome e tiene in testa metà dei processi. È un grande vantaggio competitivo, ma per la cybersicurezza ha un costo. Descrivo tre schemi ricorrenti che si osservano nelle PMI; non sono casi di clienti, sono situazioni tipiche.
La persona come punto unico di guasto. Un’azienda in cui tutti i sistemi sono stati configurati da un solo tecnico di fiducia. Finché c’è, tutto funziona. Il giorno in cui va in ferie o cambia lavoro, l’azienda scopre di non saper fare nulla da sola. La NIS2 chiede inventario degli asset e attribuzione dei ruoli. Non è burocrazia: è il trasferimento di conoscenza da una testa a un documento.
L’ambiente plurilingue. In una stessa azienda lavorano colleghi di lingua italiana, tedesca e ladina, e i fornitori sono su entrambi i lati del Brennero. Le e-mail che chiedono di “pagare urgentemente una fattura” arrivano in italiano e in tedesco. Una formazione sul phishing fatta in una sola lingua protegge solo una parte della squadra. Se pianificate un corso, fatelo almeno in due lingue.
Il fornitore come porta aperta. Molte aziende altoatesine sono strettamente legate ai mercati tedesco e austriaco, con clienti, fornitori e logistica oltre confine. Secondo il Cyber Security Report 2026 di Schwarz Digits, riportato da heise online (dati sulla Germania, non sull’Italia), una impresa tedesca su due registra attacchi ai propri fornitori e il 75% non li verifica regolarmente. Non credo che da noi sia molto diverso. Se lavorate con un cliente tedesco soggetto alla NIS2, prima o poi vi chiederà come proteggete i dati. Non per farvi un torto: è un suo obbligo.
I miei consigli per le prossime settimane
Non comincerei acquistando software. Nella maggior parte dei casi servono quattro cose semplici, che si possono fare in poche settimane e senza grandi budget.
Trovate la comunicazione di ACN
Cercate la data del messaggio di inserimento nell’elenco e contate 18 mesi da lì. Scrivete la scadenza reale dove la possa vedere qualcuno oltre a voi. Se non trovate la comunicazione, accedete al portale ACN, sezione NIS, con le credenziali dell’azienda.
Nominate due persone
Il punto di contatto e il referente CSIRT, ciascuno con un sostituto. Non è una formalità: saranno loro ad agire la notte in cui qualcosa si rompe. Non nominate chi è già sovraccarico: nominate chi sarà disposto a rispondere di questo ruolo per cinque anni.
Preparate un registro degli asset di una pagina
Quali sistemi avete, dove sono i dati, chi vi accede, quali fornitori li assistono. Per una piccola impresa è una tabella su un foglio, non un progetto annuale. Partite da tre colonne: che cosa, chi ne risponde, che cosa succede se si ferma per un giorno.
Fate una volta una “prova d’emergenza”
Riunite la direzione per un’ora e discutete uno scenario: stanotte tutti i file sono stati cifrati. Chi chiama chi? Chi decide? Chi notifica il CSIRT Italia e entro quali termini? Imparerete più sulla vostra preparazione in quell’ora che da dieci pagine di policy. Dopo il caso Lazio aggiungo un punto essenziale: verificate che almeno una copia dei backup sia fuori dalla rete e non raggiungibile da un account compromesso.
Che cosa non consiglio: spendere denaro per un “certificato NIS2”. Un certificato NIS2 non esiste. Se qualcuno ve lo vende, chiedete che cosa viene certificato, esattamente.
Il discorso dei contributi
Mi chiedono spesso: “Possiamo avere un contributo?” I bandi esistono e sono utili. Per esempio la Camera di commercio di Bolzano ha pubblicato nel 2026 il bando “Digitalisierung 2026”: 40% delle spese ammissibili, fino a un massimo di 8.000 euro. Ma tra le spese non ammesse, secondo il bando, figurano i servizi di supporto per l’adeguamento a norme di legge. Una consulenza per la NIS2, quindi, non vi rientrava. Il mio consiglio: non costruite il budget sull’ipotesi di “vincere un contributo”. Costruitelo sulla necessità reale e considerate l’eventuale contributo un bonus.
Che cosa penso, in conclusione
Ottobre 2026 non è la fine del percorso: è il momento in cui la conformità diventa verificabile. Chi arriva a questa data con una mappa degli asset e con ruoli chiari ha già fatto la parte più difficile. Chi non l’ha fatto non è in ritardo per sempre: può ancora cominciare da una valutazione iniziale.
Mi sembra più importante un’altra cosa. In Alto Adige siamo abituati a costruire la reputazione in decenni, sulla fiducia. La cybersicurezza è la stessa questione di fiducia, nella sua forma digitale. Il cliente che vi affida i suoi dati si fida che ne avrete cura. La NIS2 chiede soltanto che siate in grado di dimostrarlo.
Un termine dà tempo per organizzarsi, non per rimandare le domande che la direzione deve comunque porsi.
Tre domande per il management
Conosciamo la data esatta della comunicazione di ACN e la scadenza reale delle nostre misure di sicurezza?
Senza questa data ogni pianificazione è solo una stima.
Se domani se ne va la persona che “sa tutto” dei nostri sistemi, l’azienda riesce a lavorare?
Se la risposta è no, il primo intervento non è tecnico: è organizzativo.
Chi, da noi, notifica un incidente significativo al CSIRT Italia, e con quali termini?
Pre-notifica entro 24 ore, notifica completa entro 72: serve una procedura nota a chi deve eseguirla.
Fonti
ACN, portale NIS e FAQ NIS; Diritto.it, NIS 2, scadenze 2026-2027 nel nuovo calendario ACN (17.09.2026); D.Lgs. 4 settembre 2024, n. 138; determinazione ACN 379907 del 19 dicembre 2025 (che aggiorna la n. 164179 del 14 aprile 2025); RAI Alto Adige, Azienda altoatesina paralizzata da un attacco hacker (26.09.2024); MB Time, Attacco informatico alla Provincia di Bolzano (25.06.2025); Cybersecurity360, Regione Lazio e ransomware, lieto fine amaro (08.08.2021); heise online, German companies massively ignoring NIS2 obligations (05.03.2026); Handelskammer Bozen, Beiträge Digitalisierung 2026.