La risposta breve
L'Agenzia per la Cybersicurezza Nazionale ha emesso un allarme specifico sul gruppo Qilin, ransomware-as-a-service che nel 2026 ha preso di mira le PMI italiane sfruttando credenziali esposte su Ivanti MDM e Fortinet VPN. Il tempismo non è casuale: il 31 ottobre 2026 è la scadenza per adeguarsi alle misure tecniche della NIS2 (Determinazione ACN n. 379907), e chi arriva impreparato non rischia solo un attacco, ma anche conseguenze regolamentari. Il punto meno noto è l'effetto supply chain: anche le PMI fuori dai 18 settori NIS2 sono nel perimetro se sono fornitori di soggetti essenziali.
Tre priorità immediate: attivare MFA su tutti gli accessi remoti, aggiornare Ivanti e Fortinet, predisporre un piano di risposta agli incidenti testato. Senza queste basi, ottobre non sarà un traguardo, sarà un'esposizione.
Il gruppo Qilin e il mirino sull'Italia
Qilin è un gruppo ransomware-as-a-service attivo dal 2022 che nel 2026 ha accelerato in modo significativo le proprie campagne in Europa, con l'Italia tra le prime destinazioni. Il CSIRT Italia dell'ACN ha emesso un avviso dedicato alle campagne di sfruttamento sistematico di Qilin sul territorio nazionale, segnalando un modus operandi consolidato: compromissione di credenziali su sistemi di gestione dei dispositivi mobili (Ivanti MDM) e concentratori VPN (Fortinet), seguita da escalation dei privilegi e distribuzione del ransomware.
I dati di contesto chiariscono la dimensione del problema. L'Italia è responsabile di circa il 10% degli attacchi informatici rilevati a livello mondiale, una quota sproporzionata rispetto al peso economico del Paese. Nel settore manifatturiero — uno dei pilastri dell'economia italiana — gli attacchi ransomware sono cresciuti del 79% a livello globale nel 2025-2026, con le imprese italiane che assorbono una quota rilevante di queste campagne. Le PMI sono bersagli preferenziali perché dispongono di asset di valore (dati di clienti, proprietà intellettuale, integrazione con sistemi ERP) ma spesso non hanno team di sicurezza dedicati.
Per chi costruisce o mantiene software in Italia, la segnalazione ACN ha un'implicazione diretta: i vettori d'attacco indicati — Ivanti e Fortinet — sono componenti infrastrutturali comuni. Qualsiasi applicazione o servizio che usa queste soluzioni per la gestione degli accessi remoti deve verificare lo stato delle patch prima di qualsiasi altra considerazione di compliance. Un'analisi approfondita dei penetration test e degli audit di sicurezza può identificare le esposizioni prima che lo faccia Qilin.
La scadenza NIS2 del 31 ottobre 2026
La direttiva NIS2, recepita in Italia con il D.Lgs. 138/2024, ha trovato nella Determinazione ACN n. 379907 (in vigore dal 15 gennaio 2026) il suo braccio tecnico operativo. Quel documento definisce i requisiti minimi obbligatori suddivisi per categoria di soggetto:
- Soggetti importanti: 37 misure, 87 requisiti specifici
- Soggetti essenziali: 43 misure, 116 requisiti specifici
Il 31 ottobre 2026 è la data entro cui questi requisiti devono essere implementati e dimostrabili. Non è una scadenza amministrativa di registrazione (quella era già passata): è la data in cui ACN può avviare verifiche e, in caso di inottemperanza, procedere con sanzioni che per i soggetti essenziali arrivano fino al 2% del fatturato mondiale annuo o a 10 milioni di euro, e per i soggetti importanti fino all'1,4% o a 7 milioni di euro.
Ad oggi oltre 20.000 organizzazioni si sono registrate sulla piattaforma NIS2 di ACN, di cui circa 5.000 classificate come soggetti essenziali. Da gennaio 2027 scatterà anche l'obbligo di notifica degli incidenti: 24 ore per il pre-allarme, 72 ore per la notifica completa, 30 giorni per il rapporto finale. Chi non ha ancora un processo di incident response strutturato ha meno di sei mesi per costruirne uno.
Le aree tecniche più critiche della Determinazione ACN 379907 toccano la gestione delle identità e degli accessi (IAM), la segmentazione di rete, il backup e la verifica del ripristino, la gestione delle vulnerabilità e delle patch, e la sicurezza della supply chain. Quest'ultimo punto è dove molte PMI si trovano impreparate anche senza esserne consapevoli.
Il rischio a cascata sulla supply chain delle PMI
L'aspetto meno discusso della NIS2 è il suo effetto di propagazione lungo la filiera. La direttiva impone esplicitamente ai soggetti essenziali e importanti di gestire i rischi della catena di approvvigionamento, il che in pratica significa estendere i requisiti di sicurezza ai propri fornitori. Un'impresa industriale registrata come soggetto essenziale che usa un software gestionale sviluppato da una PMI esterna deve oggi verificare che quel fornitore rispetti standard di sicurezza adeguati.
Le conseguenze per i fornitori fuori dal perimetro diretto NIS2 sono concrete e immediate:
- Clausole contrattuali di sicurezza sempre più frequenti nei bandi e nei rinnovi di contratto, che chiedono di dimostrare controlli minimi (MFA, gestione delle patch, cifratura dei dati).
- Audit di terze parti avviati dai clienti NIS2-registrati per verificare il livello di sicurezza dei propri fornitori IT.
- Responsabilità indiretta: se un fornitore PMI è il punto d'ingresso di un attacco (come è accaduto in numerosi casi di supply chain compromise documentati da ACN), il soggetto essenziale risponde anche per la scelta del fornitore.
In questo quadro, Qilin opera esattamente dove è più difficile difendersi: ai confini della filiera, dove un piccolo fornitore di servizi cloud o uno studio di sviluppo software può diventare il punto d'accesso verso un bersaglio più grande. La combinazione di un gruppo ransomware attivo e di una scadenza regolamentare imminente crea un incentivo concreto ad agire adesso, non dopo ottobre.
Cosa fare concretamente entro ottobre
La finestra operativa utile si chiude rapidamente: tra procure interne, vendor assessment e testing dei controlli, un programma di adeguamento NIS2 richiede almeno tre mesi di lavoro sostanziale. Ecco le priorità nell'ordine:
1. Gap analysis rispetto alla Determinazione ACN 379907
Prima di qualsiasi investimento, serve capire dove si è. La Determinazione è pubblica e scaricabile dal sito ACN. Un'analisi strutturata dei 37 o 43 controlli applicabili permette di distinguere ciò che è già coperto da ciò che va costruito da zero. Senza questa fotografia, si rischia di spendere dove non serve e ignorare le lacune più critiche.
2. MFA su tutti gli accessi remoti
L'ACN segnala esplicitamente Ivanti e Fortinet come vettori preferenziali di Qilin. MFA su VPN, MDM e desktop remoto è il controllo con il rapporto impatto/costo più favorevole: elimina la classe più ampia di compromissioni da credenziali. Se non è ancora implementato, è la prima cosa da fare.
3. Patching urgente su sistemi noti
Ivanti e Fortinet pubblicano regolarmente bollettini di sicurezza. Le vulnerabilità sfruttate da Qilin non sono zero-day oscuri: sono CVE pubbliche per cui esistono patch. Verificare la versione installata e aggiornare entro 48-72 ore dalla verifica è non negoziabile.
4. Piano di risposta agli incidenti con playbook ransomware
NIS2 non chiede solo di prevenire gli incidenti ma di gestirli. Un piano di incident response documentato, con ruoli definiti, procedure di isolamento e playbook specifici per ransomware, è sia un requisito normativo sia la differenza tra un incidente contenuto e uno che ferma l'operatività per settimane. Il piano deve essere testato, non solo scritto.
5. Inventario degli asset e gestione delle vulnerabilità
Non si può proteggere ciò che non si conosce. Un inventario aggiornato degli asset IT (server, endpoint, servizi cloud, applicazioni di terze parti) è il prerequisito di qualsiasi programma di vulnerability management. La Determinazione ACN lo prevede esplicitamente come misura di base.
Domande frequenti
Quando scade la NIS2 in Italia per le misure tecniche?
La scadenza per l'adeguamento alle misure di sicurezza tecniche previste dalla Determinazione ACN n. 379907 è il 31 ottobre 2026. I soggetti importanti devono rispettare 37 misure su 87 requisiti; i soggetti essenziali 43 misure su 116 requisiti. Gli obblighi di notifica degli incidenti decorrono dal 1 gennaio 2027.
Cos'è il gruppo Qilin e perché colpisce l'Italia?
Qilin è un gruppo ransomware-as-a-service (RaaS) che nel 2026 ha registrato oltre 700 vittime a livello globale, con una concentrazione significativa in Italia. Il CSIRT Italia dell'ACN ha emesso un allarme specifico per campagne sistematiche in Italia, che colpiscono principalmente PMI e fornitori di servizi cloud, sfruttando credenziali esposte su Ivanti MDM e Fortinet VPN.
Le PMI fuori dai 18 settori NIS2 devono comunque adeguarsi?
Non direttamente, ma indirettamente sì. La NIS2 impone ai soggetti essenziali e importanti di estendere i requisiti di sicurezza alla propria supply chain. Un fornitore di software, servizi cloud o IT che lavora con un'azienda NIS2-registrata dovrà dimostrare un livello minimo di sicurezza, pena la rescissione del contratto o sanzioni indirette. È un effetto cascata che tocca migliaia di PMI italiane.
Cosa devono fare concretamente le aziende entro il 31 ottobre 2026?
Le priorità concrete sono: (1) gap analysis rispetto alla Determinazione ACN 379907; (2) attivazione MFA su tutti gli accessi remoti (VPN, MDM, desktop remoto); (3) patch immediata di vulnerabilità note su Ivanti e Fortinet; (4) piano di risposta agli incidenti con playbook ransomware testato; (5) inventario degli asset e gestione centralizzata delle vulnerabilità. Se si è fornitori di soggetti NIS2, verificare anche le clausole contrattuali di sicurezza.
Fonti
Agenzia per la Cybersicurezza Nazionale (ACN) — Qilin: campagne di sfruttamento sistematico e diffusione del ransomware sul territorio nazionale
ACN CSIRT Italia — Analisi sullo stato della minaccia cyber in Italia
Agenda Digitale — NIS2 nel 2026: le evidenze che una PMI deve avere pronte
Cybersecurity 360 — Approfondimenti su NIS2 e ransomware in Italia