Rassegna stampa NIS2 del mese di settembre 2026

EDITORIALE – SETTEMBRE 2026

Cari custodi della cybersicurezza,

settembre segna un passaggio importante nell’attuazione italiana della NIS2. Non arriva una nuova Determinazione ACN che modifichi immediatamente la baseline degli obblighi, ma il quadro si fa più concreto: il nuovo Vademecum richiama le scadenze dei soggetti entrati nel perimetro nel 2025, l’elenco NIS viene aggiornato e l’Agenzia apre il confronto sulle future misure di sicurezza rafforzate.

Per molte organizzazioni il tema non è più definire una roadmap astratta, ma dimostrare che le misure previste sono state realmente attuate. Questo significa collegare requisiti, decisioni del vertice, configurazioni tecniche, test, remediation e documentazione in un sistema di evidenze che possa essere ricostruito anche a distanza di tempo.

Il riferimento a ottobre 2026, richiamato da ACN come orizzonte operativo per i soggetti inseriti nel 2025, va però letto con attenzione. Il termine delle misure di sicurezza non è un unico giorno valido per tutti: resta legato alla comunicazione individuale di inserimento nell’elenco NIS. La gestione corretta delle scadenze diventa quindi parte integrante della conformità.

Nello stesso tempo ACN sta già preparando la fase successiva. Le misure rafforzate sono ancora in consultazione e non costituiscono oggi nuovi obblighi, ma indicano chiaramente che il livello di sicurezza richiesto è destinato a evolvere. Conviene monitorare il percorso senza anticipare impropriamente requisiti non ancora vigenti.

Sul piano europeo, settembre porta due segnali complementari. Da un lato ENISA fotografa uno scenario nel quale i soggetti essenziali e importanti rappresentano una quota molto rilevante delle organizzazioni colpite; dall’altro il NIS Cooperation Group prosegue il lavoro sulla transizione alla crittografia post-quantistica. È un promemoria utile: la resilienza non riguarda soltanto gli incidenti di oggi, ma anche la capacità di prepararsi a rischi tecnologici che matureranno nel tempo.

Infine, dall’11 settembre entrano in funzione gli obblighi di reporting del Cyber Resilience Act per i fabbricanti interessati. NIS2 e CRA restano regimi distinti, ma possono incrociarsi nella gestione dello stesso evento. Per questo incident response, classificazione normativa e flussi di notifica devono essere coordinati senza confondere destinatari e tempistiche.

La priorità del mese è quindi molto concreta: arrivare alle scadenze con misure effettive, evidenze disponibili, incident reporting testato e una governance capace di dimostrare le decisioni assunte.

Enrico Capirone
Presidente iSimply

 

In evidenza questo mese

• ACN aggiorna l’elenco NIS e apre la consultazione sulle misure rafforzate: il quadro applicativo evolve, ma i nuovi requisiti non sono ancora vigenti;
• Il Vademecum NIS richiama le scadenze dei soggetti inseriti nel 2025: il termine va verificato sulla comunicazione individuale ACN e non coincide automaticamente con il 31 ottobre;
• Il Cyber Resilience Act entra nella fase di reporting operativo: dall’11 settembre i fabbricanti interessati devono utilizzare la Single Reporting Platform per le segnalazioni previste;
• ENISA fotografa un’esposizione ancora elevata di soggetti essenziali, importanti e pubbliche amministrazioni: continuità, accessi, vulnerabilità e dipendenze restano aree prioritarie;
• La roadmap europea sulla crittografia post-quantistica diventa più concreta: non introduce un nuovo obbligo immediato, ma rende opportuno iniziare a censire dipendenze crittografiche e sistemi a lunga vita utile.

 

Cosa tenere sotto controllo

• Scadenza delle misure per i soggetti 2025. Recuperare la comunicazione individuale ACN e verificare il termine effettivamente applicabile, evitando date generalizzate;
• Evidenze dell’attuazione. Procedure e policy devono essere accompagnate, dove necessario, da configurazioni, log, test, approvazioni, remediation e altre evidenze verificabili;
• Misure rafforzate ACN. Monitorare la consultazione e preparare una prima analisi dei possibili gap, senza trattare come vincolante ciò che non è ancora vigente;
• Incident reporting e sovrapposizioni normative. NIS2, CRA, GDPR e altri regimi possono riguardare lo stesso evento, ma trigger, destinatari e tempistiche devono essere qualificati separatamente;
• Canali fidati e sistemi esposti. Gli alert del mese ricordano che la sicurezza dipende sia dal patching degli asset esposti sia dalla capacità di riconoscere messaggi malevoli anche quando arrivano attraverso canali percepiti come affidabili, come la PEC.

 

Sommario

• ITALIA / ACN: Vademecum, aggiornamento dell’elenco, misure rafforzate, quadro delle Determine, governance e scadenze;
• UNIONE EUROPEA: crittografia post-quantistica, CRA, Corte dei conti europea ed ENISA;
• ONLINE / MINACCE E VULNERABILITÀ: gli alert tecnici e le campagne operative del mese con maggiore rilievo per PA e soggetti NIS;
• Azioni consigliate: verifiche trasversali da mettere subito in agenda;
• Scadenze in arrivo: calendario distinto per anno di inserimento e tipo di adempimento.

 

ITALIA / ACN

11/09/2026 | Fonte: acn.gov.it

ACN pubblica il Vademecum NIS: le scadenze entrano nella fase operativa

#NIS2 #ACN #scadenze #governance

Il Vademecum raccoglie in un quadro unitario i principali passaggi dell’attuazione NIS: registrazione, aggiornamento delle informazioni, categorizzazione e misure di sicurezza. ACN richiama ottobre 2026 come orizzonte operativo per i soggetti inseriti nell’elenco nel 2025.

Il riferimento va però coordinato con la regola applicabile al singolo soggetto: le misure di sicurezza di base devono essere attuate entro 18 mesi dalla ricezione della comunicazione di inserimento nell’elenco NIS. Il termine non coincide quindi necessariamente con un’unica data per tutti.

Perché è rilevante: Per i soggetti del primo ciclo la gestione corretta della scadenza diventa parte integrante della conformità e della capacità di dimostrarla.

Azione pratica: Recuperare la comunicazione individuale ACN, calcolare il termine esatto e verificare che a ogni misura applicabile corrisponda un’evidenza aggiornata.

Per leggere la fonte: ACN – Online il Vademecum per i soggetti NIS

 

18/09/2026 | Fonte: acn.gov.it

Aggiornato l’elenco NIS, parte il confronto sulle misure di sicurezza rafforzate

#NIS2 #ACN #misuredisicurezza #elencoNIS

ACN ha comunicato l’aggiornamento dell’elenco dei soggetti NIS dopo l’esame di oltre 2.000 registrazioni tardive e circa 2.000 istruttorie di revisione. Nello stesso passaggio è stata avviata la consultazione sulle future misure di sicurezza rafforzate.

Le misure rafforzate sono destinate, nel percorso indicato dall’Agenzia, a integrare e sostituire le misure di base della prima applicazione. Alla chiusura del mese restano però in consultazione e non costituiscono ancora un nuovo set di obblighi vigenti.

Perché è rilevante: La baseline NIS2 è destinata a evolvere, ma anticipare come obbligatori requisiti ancora in consultazione produrrebbe un quadro di compliance scorretto.

Azione pratica: Mantenere come riferimento gli atti ACN vigenti e utilizzare i contenuti della consultazione soltanto per una prima analisi prospettica dei possibili gap.

Per leggere la fonte: ACN – Le novità per i soggetti NIS

Il quadro delle Determine ACN resta invariato nel mese

Nel corso di settembre non risultano pubblicate nuove Determine ACN NIS di carattere generale che modifichino la baseline applicabile. Restano quindi centrali la Determinazione 379907/2025 sulle specifiche di base, la 127434/2026 sui termini per i soggetti inseriti per la prima volta nel 2026, la 127437/2026 sulla piattaforma e sugli adempimenti procedurali e la 155238/2026 sulla categorizzazione di attività e servizi.

La consultazione sulle misure rafforzate va quindi letta come sviluppo regolatorio da monitorare, non come sostituzione già efficace delle misure di base.

Per consultare il quadro ufficiale: ACN – Normativa NIS

Governance, vigilanza e sanzioni: la conformità deve essere dimostrabile

L’avvicinarsi delle scadenze rende particolarmente importante la governance. Gli organi di amministrazione e direttivi devono assicurare approvazione e supervisione delle modalità di attuazione delle misure, mentre il sistema di vigilanza ed esecuzione può tradursi in richieste di informazioni, verifiche, misure correttive e, nei casi previsti, sanzioni. Non esiste però un automatismo per cui, il giorno successivo a una presunta scadenza unica, inizi per tutti una distinta “fase ispettiva”.

Per le organizzazioni, il punto operativo è predisporre un flusso di reporting al vertice e conservare evidenze che consentano di ricostruire decisioni, stato delle misure, rischi residui e remediation.

Testo vigente del decreto: Normattiva – d.lgs. 138/2024

 

UNIONE EUROPEA

02/09/2026 | Fonte: digital-strategy.ec.europa.eu

Crittografia post-quantistica: il NIS Cooperation Group pubblica i risultati della consultazione

#NIS2 #PQC #cryptoagility #resilienza

Il NIS Cooperation Group ha pubblicato i risultati della consultazione sulla roadmap europea per la transizione alla crittografia post-quantistica. Sono stati ricevuti 97 contributi; dai riscontri sono emerse richieste di chiarimento su stima del rischio quantistico, milestone, priorità, approcci ibridi, ruolo dell’Unione e roadmap nazionali.

In risposta il gruppo ha predisposto un documento di FAQ che accompagna la roadmap. Il materiale non introduce un nuovo obbligo NIS2 immediato, ma consolida la pianificazione europea della transizione crittografica.

Perché è rilevante: La crypto-agility e l’inventario degli algoritmi crittografici sono destinati a diventare elementi sempre più importanti della resilienza a medio-lungo termine.

Azione pratica: Per le organizzazioni con sistemi e dati a lunga vita utile, avviare un censimento preliminare delle dipendenze crittografiche e monitorare la roadmap nazionale ed europea.

Per leggere la fonte: Commissione europea – EU Roadmap on Post-Quantum Cryptography: survey feedback

 

11/09/2026 | Fonte: enisa.europa.eu

Cyber Resilience Act: entra in funzione la Single Reporting Platform

#CRA #ENISA #incidentreporting #prodottidigitali

ENISA ha messo in esercizio la Single Reporting Platform prevista dal Cyber Resilience Act. Dall’11 settembre 2026 i fabbricanti interessati devono utilizzare la piattaforma per le notifiche obbligatorie relative alle vulnerabilità attivamente sfruttate e agli incidenti gravi aventi impatto sulla sicurezza dei prodotti con elementi digitali.

Il CRA e la NIS2 restano regimi distinti. Una stessa organizzazione può tuttavia trovarsi soggetta a entrambi, e uno stesso evento può richiedere valutazioni parallele rispetto a presupposti, destinatari e tempistiche differenti.

Perché è rilevante: L’incident response deve essere in grado di qualificare rapidamente l’evento e identificare il regime o i regimi applicabili senza duplicazioni incoerenti.

Azione pratica: Integrare nel playbook incidenti una matrice normativa che distingua NIS2, CRA, GDPR, DORA e altri obblighi eventualmente applicabili.

Per leggere la fonte: ENISA – The CRA Single Reporting Platform is launched

 

21/09/2026 | Fonte: eca.europa.eu

Corte dei conti europea: risposta agli incidenti ancora solo parzialmente efficace

#cybersecurity #incidentresponse #UE #cooperazione

La relazione speciale 19/2026 della Corte dei conti europea conclude che il quadro di cooperazione dell’UE per individuare e gestire incidenti cyber significativi e su vasta scala è progredito, ma rimane solo parzialmente efficace.

Tra le criticità vengono richiamate la limitata condivisione delle informazioni, debolezze nel reporting e ritardi considerevoli nell’attuazione di alcuni meccanismi.

Perché è rilevante: La tempestività e la qualità delle informazioni sugli incidenti non sono soltanto un requisito organizzativo: incidono sul funzionamento dell’intero ecosistema europeo di risposta.

Azione pratica: Verificare che il processo interno consenta di produrre informazioni attendibili, aggiornabili e coerenti lungo tutto il ciclo di gestione dell’incidente.

Per leggere la fonte: Corte dei conti europea – Special Report 19/2026

 

22/09/2026 | Fonte: enisa.europa.eu

Threat Landscape 2026: soggetti NIS e PA al centro dello scenario osservato

#ENISA #NIS2 #PA #ransomware

ENISA rileva che il 73% delle organizzazioni bersaglio negli eventi analizzati appartiene alle categorie essenziali o importanti secondo la definizione NIS2. La pubblica amministrazione rappresenta il 32% dei casi osservati.

Il rapporto analizza eventi e incidenti osservati dal 1° gennaio al 31 dicembre 2025. Le percentuali descrivono quindi la composizione del dataset ENISA e non la probabilità che una singola organizzazione subisca un attacco.

Perché è rilevante: Il rapporto è utile come benchmark per mettere alla prova l’analisi del rischio rispetto a ransomware, DDoS, dipendenze tecnologiche e scenari geopolitici.

Azione pratica: Confrontare gli scenari ENISA con servizi critici, asset esposti, fornitori, continuità operativa e capacità effettive di ripristino.

Per leggere la fonte: ENISA Threat Landscape 2026

 

ONLINE / MINACCE E VULNERABILITÀ

09/09/2026 | Fonte: cert.europa.eu

SAP Kernel e NetWeaver: due vulnerabilità critiche

#SAP #vulnerabilitymanagement #patching #NIS2

CERT-EU segnala CVE-2026-44756, con CVSS 10.0, e CVE-2026-58240, con CVSS 9.8. Entrambe risultano sfruttabili da remoto senza autenticazione e possono portare alla compromissione completa dei sistemi interessati.

Perché è rilevante: La presenza di sistemi SAP in processi core rende essenziale collegare inventario, valutazione dell’esposizione, patching e verifica dell’avvenuta remediation.

Azione pratica: Verificare le versioni interessate, applicare le Security Notes indicate e conservare l’evidenza della valutazione e dell’intervento.

Per leggere la fonte: CERT-EU – Security Advisory 2026-011

 

22/09/2026 | Fonte: cert.europa.eu

F5 BIG-IP APM: sfruttamento attivo di una vulnerabilità critica

#F5 #exploitation #incidentresponse #NIS2

CERT-EU segnala CVE-2026-94127, con CVSS 9.8, che può consentire remote code execution non autenticata nelle configurazioni interessate. Il vendor ha confermato sfruttamento attivo.

Perché è rilevante: Quando lo sfruttamento è già osservato in natura, il solo patching può non essere sufficiente a escludere una compromissione precedente.

Azione pratica: Preservare le evidenze, applicare l’hotfix e svolgere il compromise assessment indicato dal vendor prima di chiudere la remediation.

Per leggere la fonte: CERT-EU – Security Advisory 2026-013

27/09/2026 | Fonte: cert.europa.eu

Citrix NetScaler: vulnerabilità critiche sfruttate attivamente

#Citrix #NetScaler #RCE #cybersecurity

CERT-EU richiama otto vulnerabilità su NetScaler ADC e Gateway, tra cui due criticità RCE non autenticate con sfruttamento attivo confermato. Per gli apparati esposti a Internet viene raccomandato anche un compromise assessment.

Perché è rilevante: L’evento conferma la necessità di un processo che distingua rapidamente il semplice aggiornamento software dalla gestione di una possibile compromissione.

Azione pratica: Aggiornare gli asset interessati, verificare gli indicatori di compromissione e attivare l’incident response in presenza di evidenze sospette.

Per leggere la fonte: CERT-EU – Security Advisory 2026-014

 

24/09/2026 | Fonte: cert-agid.gov.it

MintsLoader via PEC: un canale certificato non rende sicuro il messaggio

#CERTAgID #PEC #malware #awareness

CERT-AgID ha individuato una campagna MintsLoader che utilizza caselle PEC compromesse per inviare falsi solleciti di pagamento ad altri indirizzi PEC. I messaggi fanno leva sull’affidabilità percepita del canale e veicolano archivi ZIP che avviano una catena di infezione basata su HTML, JavaScript e PowerShell.

Il punto operativo è semplice ma importante: la PEC certifica il processo di trasmissione e consegna, non garantisce che la casella del mittente non sia stata compromessa né che l’allegato ricevuto sia sicuro.

Perché è rilevante: PA e imprese utilizzano spesso la PEC come canale ad alta fiducia. Una compromissione del mittente può quindi superare controlli basati soltanto sulla legittimità apparente dell’indirizzo.

Azione pratica: Integrare la PEC nei controlli di sicurezza della posta, aggiornare le regole di awareness sugli allegati e verificare che la gestione delle segnalazioni consenta di isolare rapidamente messaggi e indicatori sospetti.

Per leggere la fonte: CERT-AgID – MintsLoader via PEC

 

Cosa fare questo mese

• Soggetti inseriti nel 2025: recuperare la comunicazione ACN e calcolare il termine effettivo delle misure, evitando date generalizzate;
• Evidenze: verificare che ogni requisito applicabile disponga di documenti, configurazioni, log, test, approvazioni e remediation recuperabili;
• Soggetti inseriti nel 2026: preparare la designazione del Referente CSIRT e testare l’incident reporting prima dell’avvio del 1° gennaio 2027;
• Organi direttivi: ricevere un reporting periodico su stato delle misure, rischi residui, incidenti e remediation;
• Asset internet-facing e posta certificata: riesaminare gateway, appliance e servizi esposti e verificare che PEC e posta elettronica siano incluse nei controlli tecnici, nell’awareness e nelle procedure di segnalazione.

 

Prossime scadenze

Ottobre 2026 – misure di sicurezza per molti soggetti inseriti nel 2025

ACN utilizza ottobre come riferimento operativo per la prima coorte, ma il termine del singolo soggetto resta calcolato in 18 mesi dalla ricezione della comunicazione di inserimento nell’elenco NIS. È quindi necessario verificare la propria data individuale.

31 dicembre 2026 – Referente CSIRT per i soggetti inseriti per la prima volta nel 2026

Per i soggetti interessati è il passaggio organizzativo che precede l’avvio dell’incident reporting della nuova coorte.

1° gennaio 2027 – incident reporting per i soggetti inseriti per la prima volta nel 2026

Da questa data decorrono gli obblighi di notifica degli incidenti significativi di base previsti per i soggetti entrati nell’elenco nel 2026.

1° gennaio–28 febbraio 2027 – nuova finestra annuale NIS

Si riapre la finestra annuale per registrazione e aggiornamento delle informazioni secondo il calendario ACN.

31 luglio 2027 – misure di sicurezza per i soggetti inseriti per la prima volta nel 2026

È il termine specifico previsto per l’attuazione delle misure di sicurezza di base da parte della nuova coorte.

 

Nota di trasparenza
Questo contenuto è stato predisposto con il supporto di strumenti di intelligenza artificiale ed è stato revisionato dalla redazione iSimply, che ne assume la responsabilità editoriale.

 

Hai bisogno di approfondimenti sulla normativa NIS2, obblighi e adempimenti?

Nel nostro Hub “NIS2” trovi informazioni, approfondimenti e notizie.

 

Vuoi pianificare correttamente il percorso di adeguamento NIS2 della tua organizzazione?

Scopri tutti i nostri servizi per la NIS2 e richiedi un supporto operativo:

info@isimply.it

Tel 0125 1899500