NIS2, scadenza di ottobre 2026: cosa chiede l'ACN sulla formazione
· Redazione CyberAcademy · P3 Consulting
Per i soggetti NIS inseriti nel 2025 le misure di sicurezza di base vanno adottate entro ottobre 2026. Tra queste c'è la formazione: piano approvato dalla direzione e registro delle verifiche.
Il Vademecum NIS pubblicato dall'Agenzia per la cybersicurezza nazionale a settembre 2026 mette in fila le date. I soggetti inseriti nell'elenco NIS nel 2025 notificano gli incidenti significativi da gennaio 2026 e devono completare l'adozione delle misure di sicurezza di base entro ottobre 2026. Per chi è entrato nell'elenco nel 2026 le stesse scadenze slittano a gennaio e luglio 2027.
La data esatta dipende dalla comunicazione di inserimento ricevuta via PEC: per i primi soggetti l'art. 42 del D.Lgs. 138/2024 fissa 18 mesi da quella comunicazione per le misure.
La formazione è una misura di sicurezza
L'art. 24, comma 2, del decreto elenca gli elementi minimi delle misure di gestione del rischio. Alla lettera g) ci sono le «pratiche di igiene di base e di formazione in materia di sicurezza informatica». L'art. 23 chiede agli organi di amministrazione di seguire una formazione e di promuoverne una periodica per i dipendenti.
La determinazione ACN 379907/2025 traduce questi obblighi in misure verificabili. Quella sulla formazione, PR.AT-01, chiede tre cose:
- un piano di formazione per tutto il personale, organi di amministrazione compresi, con i contenuti e le eventuali modalità di verifica;
- l'approvazione del piano da parte degli organi di amministrazione e direttivi;
- un registro aggiornato con i dipendenti formati, i contenuti e le verifiche svolte.
Per i soggetti essenziali si aggiunge PR.AT-02: una formazione dedicata ai ruoli specializzati, come gli amministratori di sistema.
Perché conta il registro
Un corso fatto e non documentato, davanti a un controllo, non si può dimostrare. Il registro risponde alla domanda «chi ha seguito cosa, quando e con quale esito». Per questo nei nostri percorsi ogni modulo si chiude con un quiz e ogni risultato finisce nel registro esportabile.
Il corso
Abbiamo preparato un percorso NIS2 per il personale in quattro moduli: perché la norma riguarda tutti, igiene informatica, gestione degli incidenti, fornitori. Si affianca al modulo NIS2 per il CdA.
