Osservatorio normativo cyber: le novità di ottobre 2026

Le cinque novità normative di ottobre 2026 che contano per chi assume il rischio cyber: il decreto italiano che attua l'AI Act, la registrazione NIS2 semplificata, la posizione del Consiglio UE sul Digital Omnibus, una sanzione del Garante per un data breach da ransomware e il primo richiamo agli obblighi di segnalazione del Cyber Resilience Act.

Osservatorio normativo · ottobre 2026 · di cybercoverinsurance

Ottobre 2026 porta a regime l'AI Act in Italia, semplifica la gestione di NIS2 e apre in Europa la discussione su un unico canale di notifica degli incidenti. Per chi assume il rischio cyber, il dato più utile è però una sanzione del Garante: elenca, controllo per controllo, le carenze che hanno trasformato un ransomware in un data breach.

In sintesi

AI Act in Italia: dal 23 ottobre 2026 è in vigore il d.lgs. 179/2026, che dà ad ACN i poteri di vigilanza e fissa le sanzioni.
NIS2: la determinazione ACN n. 314287/2026 semplifica la registrazione 2027 per chi è già nell'elenco.
Digital Omnibus: il 21 ottobre 2026 il Consiglio UE ha approvato la sua posizione, che riscrive la notifica dei data breach.
Garante privacy: una società di ingegneria sanzionata con 120.000 euro dopo un ransomware, per carenze su autenticazione, segmentazione e backup.
Cyber Resilience Act: le autorità europee richiamano i fabbricanti all'obbligo di segnalare le vulnerabilità PHP sfruttate.

1. Il decreto che attua l'AI Act è in vigore

Il decreto legislativo 7 ottobre 2026, n. 179, pubblicato nella Gazzetta Ufficiale n. 234 dell'8 ottobre, è in vigore dal 23 ottobre 2026 (Quotidiano Sanità, Normattiva). ACN diventa l'autorità generale di vigilanza del mercato, con poteri di ispezione anche senza preavviso; AgID segue gli organismi di valutazione della conformità; Garante privacy, Banca d'Italia, Consob e IVASS cooperano per i propri settori. Le sanzioni riprendono quelle dell'AI Act: fino a 35 milioni di euro o il 7% del fatturato per le pratiche vietate, fino a 15 milioni o il 3% per gli altri obblighi.

Il decreto vieta inoltre che le decisioni finali su assunzione, licenziamento, disciplina e valutazione dei lavoratori siano prese solo da sistemi automatizzati, a pena di nullità.

Per chi assume il rischio: insieme al d.lgs. 160/2026, in vigore dal 30 settembre, il quadro italiano è completo. C'è un'autorità con poteri ispettivi, e la violazione dell'AI Act fa presumere il nesso causale in una causa di risarcimento. Dettagli nella scheda AI Act.

2. NIS2: registrazione più semplice dal 2027

La determinazione ACN n. 314287/2026, applicabile dal 25 ottobre 2026, sostituisce la n. 127437/2026 (CyberSecItalia). Chi è già nell'elenco NIS e non ha dati da cambiare non deve registrarsi di nuovo nella finestra di gennaio-febbraio 2027. Sono previsti obblighi specifici in caso di fusioni e cessioni di rami d'azienda legati alle attività NIS. Elencazione e categorizzazione di attività e servizi restano fissate tra il 1° maggio e il 30 giugno.

Per chi assume il rischio: la regola sulle fusioni e cessioni è utile nelle operazioni straordinarie. Un ramo d'azienda NIS che cambia proprietario porta con sé gli obblighi di registrazione, e il questionario di assunzione deve tenerne conto. Il quadro completo è nella scheda NIS2.

3. Digital Omnibus: il Consiglio UE riscrive la notifica dei data breach

Il 21 ottobre 2026 il Consiglio UE ha approvato la propria posizione sul Digital Omnibus, il pacchetto di semplificazione delle regole digitali (NicFab). Due punti riguardano direttamente la gestione degli incidenti:

la notifica di un data breach all'autorità diventerebbe obbligatoria solo per le violazioni ad alto rischio, entro 96 ore invece delle attuali 72;
il punto unico europeo per le notifiche degli incidenti diventerebbe un punto informativo che indirizza ai canali nazionali, con un nuovo art. 23-bis di NIS2.

La posizione si estende anche alla notifica degli incidenti DORA. Il testo non è legge: serve ora il negoziato con il Parlamento europeo.

Per chi assume il rischio: se approvato, meno notifiche obbligatorie al Garante significano meno costi di notifica e meno sanzioni per notifiche tardive negli incidenti minori. Non cambia nulla per NIS2, DORA e CRA, che mantengono i propri tempi.

4. Garante privacy: le carenze dietro un ransomware

Con un provvedimento del luglio 2026, commentato il 13 ottobre, il Garante ha sanzionato con 120.000 euro una società di consulenza ingegneristica colpita da ransomware nell'ottobre 2024 (Data Protection Law). La società trattava dati per conto di oltre 1.200 clienti; parte dei dati sottratti, anche sanitari, è stata pubblicata nel dark web nel dicembre 2024. Il Garante ha contestato la violazione degli artt. 5 e 32 del GDPR, indicando cinque carenze:

blocco degli account dopo dieci tentativi falliti, ma ripristinato automaticamente dopo cinque minuti;
autenticazione a più fattori solo su una parte degli account, non sulla VPN, sul firewall né sui dispositivi di rete;
rete non segmentata, con i domain controller in grado di raggiungere tutte le VLAN, compresa quella dei backup;
nessuna copia di backup offline o immutabile, con l'ultimo backup utilizzabile vecchio di due mesi;
nessun processo formale di gestione delle vulnerabilità.

Per chi assume il rischio: le cinque carenze coincidono con le domande chiave di un questionario di assunzione cyber. Il provvedimento conferma che un fornitore con molti clienti, qui oltre 1.200, è un punto di cumulo: un solo attacco produce un sinistro per il fornitore e obblighi di notifica per ciascun cliente.

5. Cyber Resilience Act: primo richiamo sulle vulnerabilità PHP

Il 21 ottobre 2026 Commissione europea, ENISA, CERT-EU, Europol e la rete dei CSIRT hanno diffuso una dichiarazione congiunta sulle vulnerabilità critiche di PHP (NicFab). La dichiarazione ricorda che dall'11 settembre 2026 i fabbricanti devono segnalare le vulnerabilità attivamente sfruttate tramite la piattaforma unica di ENISA. È il primo caso in cui le autorità richiamano pubblicamente l'obbligo per una vulnerabilità diffusa.

Per chi assume il rischio: per i produttori di software che includono PHP nei propri prodotti l'obbligo di segnalazione è già attivo. Chi non ha segnalato può trovarsi esposto a sanzioni e, dal 9 dicembre 2026, a una posizione più debole in una causa per prodotto difettoso. Dettagli nella scheda Cyber Resilience Act.

Le prossime scadenze

2 dicembre 2026: nuovi divieti dell'AI Act sui sistemi che generano immagini intime non consensuali.
9 dicembre 2026: la direttiva (UE) 2024/2853 rende il software un prodotto ai fini della responsabilità per danno da prodotti difettosi.
1° gennaio - 28 febbraio 2027: finestra di registrazione NIS 2027, con le nuove regole della determinazione 314287/2026.

Impatto per gli assicuratoriMedio

Ottobre completa il quadro italiano dell'AI Act e semplifica NIS2, mentre il Digital Omnibus è ancora in negoziato; la sanzione del Garante offre un elenco concreto di controlli da verificare in assunzione.