Il 2026 si avvicina e con esso scadono alcuni degli obblighi più rilevanti introdotti dalla Direttiva NIS2, recepita in Italia con il Decreto Legislativo 138/2024. Per molte piccole e medie imprese italiane, questo rappresenta un punto di svolta: non più una questione da rimandare, ma un insieme di adempimenti concreti con scadenze precise, vigilanza dell'Agenzia per la Cybersicurezza Nazionale (ACN) e sanzioni significative in caso di inadempienza. Comprendere cosa cambia, entro quando e come prepararsi è oggi una priorità assoluta per qualsiasi imprenditore che voglia operare in mercati regolamentati.
L'Italia è uno dei paesi europei con la più alta concentrazione di PMI: secondo i dati ISTAT, oltre il 99% del tessuto produttivo nazionale è composto da piccole e medie imprese, molte delle quali operano come fornitori di servizi essenziali o come parte di catene di approvvigionamento critiche. La NIS2 non si applica solo alle grandi aziende: il perimetro si è allargato significativamente rispetto alla precedente direttiva NIS1, includendo settori come l'alimentare, i trasporti, la sanità, le acque reflue, i servizi digitali e l'energia. Questo significa che migliaia di PMI italiane rientrano nell'ambito di applicazione senza ancora saperlo con certezza.
In questo contesto, l'ACN ha avviato il processo di categorizzazione dei soggetti obbligati e sta costruendo la piattaforma nazionale di registrazione e notifica degli incidenti. Le aziende devono attivarsi già oggi: registrarsi, verificare la propria categoria, adeguare le misure di sicurezza e rivedere i contratti con i fornitori. In questo articolo trovi una guida pratica e aggiornata su tutto ciò che devi sapere per essere conforme entro le scadenze del 2026.
Chi rientra nella NIS2: categorie di soggetti obbligati e come verificarlo
La Direttiva NIS2 distingue tra due categorie principali di soggetti: i soggetti essenziali e i soggetti importanti. I soggetti essenziali operano in settori ad alta criticità come energia, trasporti, sanità, infrastrutture digitali e acqua potabile. I soggetti importanti appartengono invece a settori critici come la gestione dei rifiuti, i servizi postali, la produzione alimentare, la chimica, la manifattura di dispositivi medici e i fornitori di servizi digitali.
La soglia dimensionale generalmente prevede che rientrino nell'obbligo le medie imprese con almeno 50 dipendenti o un fatturato superiore ai 10 milioni di euro. Tuttavia, esistono eccezioni: alcune aziende più piccole possono essere incluse se operano in settori critici o se il loro impatto sulla catena di approvvigionamento è ritenuto significativo. È quindi fondamentale non affidarsi solo alla dimensione aziendale, ma valutare il settore di appartenenza e il ruolo nella filiera.
L'ACN ha avviato la piattaforma di auto-registrazione che le aziende devono utilizzare per comunicare i propri dati entro le scadenze previste. Ecco i passaggi chiave per verificare la propria posizione:
- Identificare il settore di attività principale secondo la classificazione NIS2 (Allegati I e II del D.Lgs. 138/2024)
- Verificare dimensione aziendale: dipendenti, fatturato annuo e totale di bilancio
- Controllare se si è fornitori di servizi a soggetti già classificati come essenziali o importanti
- Accedere alla piattaforma ACN e completare la procedura di registrazione
- Attendere la comunicazione ufficiale di categoria da parte dell'ACN
Se non sei sicuro della tua posizione, il consiglio è di non aspettare la comunicazione d'ufficio: un'analisi preventiva condotta con il supporto di un consulente specializzato può farti risparmiare tempo e sanzioni.
Le scadenze NIS2 per il 2026: cosa deve fare una PMI italiana e quando
Il calendario degli adempimenti NIS2 in Italia si è articolato in più fasi. Il D.Lgs. 138/2024 ha fissato alcune scadenze già operative e altre che si concretizzeranno nel corso del 2025 e del 2026. Per le PMI, il momento cruciale è adesso: la finestra temporale per organizzarsi si sta chiudendo rapidamente.
Le principali scadenze da tenere a mente sono le seguenti:
- Entro il 28 febbraio 2025: avvio della registrazione sulla piattaforma ACN per i soggetti che ritengono di rientrare nell'ambito di applicazione
- Primavera 2025: l'ACN comunica ai soggetti registrati la loro categoria (essenziale o importante)
- 2026: entrata a pieno regime degli obblighi di sicurezza, inclusi i requisiti minimi tecnici e organizzativi, la gestione dei fornitori e il regime di notifica degli incidenti
È importante sottolineare che le scadenze non significano che ci sia tempo da perdere. Le misure di sicurezza richieste dalla NIS2 — dalla gestione del rischio alla business continuity, dalla crittografia alla sicurezza della supply chain — richiedono mesi di implementazione. Una PMI che inizia oggi ha appena il tempo necessario per essere conforme entro il 2026.
Gestione dei fornitori e sicurezza della supply chain: i nuovi obblighi concreti
Uno degli aspetti più sfidanti della NIS2 per le PMI riguarda la sicurezza della catena di approvvigionamento. L'articolo 21 della direttiva e il relativo recepimento italiano impongono alle organizzazioni di valutare e gestire i rischi di cybersicurezza non solo al proprio interno, ma anche nei confronti dei fornitori di servizi IT, software e infrastrutture digitali.
In pratica, questo significa che non basta proteggere la propria rete aziendale: occorre verificare che anche i fornitori di servizi cloud, i provider di software gestionale, i partner che accedono ai propri sistemi informativi rispettino standard di sicurezza adeguati. Per molte PMI italiane, che si affidano a un ecosistema di micro-fornitori locali, questo è un cambiamento culturale e operativo significativo.
Gli obblighi concreti sulla supply chain includono:
- Censimento di tutti i fornitori con accesso a sistemi o dati aziendali
- Valutazione del rischio per ciascun fornitore critico
- Inserimento di clausole contrattuali di cybersicurezza nei nuovi contratti e rinnovi
- Richiesta di documentazione sulla postura di sicurezza del fornitore (certificazioni, politiche, audit)
- Definizione di procedure per la gestione degli incidenti che coinvolgono i fornitori
- Monitoraggio continuo e aggiornamento periodico del registro dei fornitori
Un esempio pratico: un'azienda manifatturiera di medie dimensioni che utilizza un gestionale ERP in cloud deve verificare che il proprio fornitore SaaS abbia implementato misure adeguate di sicurezza, disponga di un piano di continuità operativa e sia disponibile a fornire evidenze documentali in caso di ispezione da parte dell'ACN. Se il contratto attuale non prevede queste clausole, va rinegoziato.
Notifica degli incidenti di sicurezza: tempi, modalità e cosa rischia chi non rispetta le regole
Tra gli obblighi più concreti e immediati della NIS2 vi è quello relativo alla notifica degli incidenti significativi. Le organizzazioni soggette alla direttiva sono tenute a segnalare all'ACN qualsiasi incidente che abbia un impatto rilevante sulla continuità dei servizi o sulla sicurezza dei dati, secondo una procedura strutturata in più fasi temporali.
Il regime di notifica previsto dalla NIS2 si articola in tre passaggi:
- Preallarme entro 24 ore: comunicazione iniziale all'ACN nel caso in cui si sospetti un incidente significativo, anche senza avere ancora la piena comprensione dell'accaduto
- Notifica entro 72 ore: comunicazione formale con le prime valutazioni sull'incidente, la sua natura, la portata iniziale e le misure adottate
- Relazione finale entro 30 giorni: documento completo con analisi delle cause, impatto, misure correttive adottate e lezioni apprese
Per le PMI italiane, spesso prive di un Security Operations Center (SOC) interno o di personale dedicato alla cybersicurezza, rispettare questi tempi richiede una preparazione preventiva. Occorre designare un referente interno per la gestione degli incidenti, dotarsi di strumenti di monitoraggio adeguati e definire procedure documentate da attivare in caso di attacco o anomalia.
Le sanzioni per chi non rispetta gli obblighi NIS2 sono significative: per i soggetti essenziali si arriva fino a 10 milioni di euro o il 2% del fatturato mondiale annuo (si applica il valore più alto), mentre per i soggetti importanti il massimo è di 7 milioni di euro o l'1,4% del fatturato. Non si tratta di importi simbolici: per una PMI con fatturato di 20 milioni, una sanzione all'1,4% significa 280.000 euro.
Domande frequenti
La mia PMI ha 30 dipendenti: sono obbligato a rispettare la NIS2?
Non necessariamente, ma non puoi escluderlo a priori. La soglia standard è quella delle medie imprese (50+ dipendenti o 10+ milioni di fatturato), ma esistono eccezioni importanti. Se la tua azienda opera in settori come l'energia, la sanità, i trasporti o i servizi digitali, oppure se sei fornitore critico di un soggetto essenziale, potresti rientrare nell'ambito di applicazione anche con dimensioni inferiori. Il consiglio è di effettuare una valutazione specifica basata sul settore e sul ruolo nella filiera, preferibilmente con il supporto di un consulente esperto.
Ho già il GDPR: la NIS2 aggiunge altri adempimenti o si sovrappone?
Le due normative si integrano ma non si sovrappongono completamente. Il GDPR si focalizza sulla protezione dei dati personali e coinvolge praticamente tutte le aziende. La NIS2 si focalizza sulla resilienza dei sistemi informativi e sulla continuità operativa, ed è limitata ai settori e alle soglie dimensionali previste. Alcune misure sono complementari — come la gestione degli incidenti e la sicurezza dei sistemi — ma la NIS2 aggiunge requisiti specifici su supply chain, business continuity, crittografia e formazione del personale che vanno oltre quanto già richiesto dal GDPR. Adeguarsi alla NIS2 rafforza anche la conformità al GDPR, ma richiede un piano di lavoro separato.
Entro quando devo registrarmi sulla piattaforma ACN?
La fase di registrazione è iniziata e l'ACN ha comunicato che i soggetti che ritengono di rientrare nell'ambito di applicazione devono registrarsi sulla piattaforma dedicata. Le scadenze ufficiali sono state indicate nel calendario pubblicato dall'ACN sul proprio sito istituzionale (acn.gov.it). È fondamentale non attendere la comunicazione d'ufficio: registrarsi proattivamente consente di ricevere la categorizzazione in tempo utile per pianificare gli adeguamenti. Chi non si registra nei tempi previsti rischia di trovarsi in situazione di inadempienza formale.
Cosa succede se subisco un attacco informatico prima di aver completato l'adeguamento NIS2?
In caso di incidente, l'obbligo di notifica all'ACN si applica a partire dal momento in cui il soggetto è formalmente incluso nell'ambito di applicazione della NIS2. Tuttavia, indipendentemente dalla categorizzazione, è sempre consigliabile documentare l'incidente e le misure adottate. L'ACN può tenere conto, in fase di valutazione delle sanzioni, del grado di avanzamento del processo di adeguamento e della buona fede dimostrata. Questo non esime dall'obbligo, ma può incidere sulla proporzionalità della risposta sanzionatoria. In ogni caso, attivare subito un piano di adeguamento è la scelta più prudente.
Conclusione
La NIS2 non è una direttiva lontana o riservata alle grandi aziende: è una realtà normativa che riguarda oggi migliaia di PMI italiane e che diventerà pienamente operativa nel 2026. Registrarsi sulla piattaforma ACN, comprendere la propria categoria, adeguare le misure di sicurezza, rivedere i contratti con i fornitori e prepararsi alla notifica degli incidenti non sono attività straordinarie: sono la nuova normalità per le imprese che operano in settori critici o sensibili.
Il tempo per agire è adesso. Ogni mese che passa riduce il margine disponibile per implementare i controlli richiesti, formare il personale, aggiornare i contratti e testare le procedure operative. Le aziende che iniziano oggi avranno un vantaggio competitivo reale: non solo eviteranno sanzioni, ma costruiranno una postura di sicurezza più solida, capace di ridurre il rischio di incidenti costosi e di aumentare la fiducia di clienti e partner.
Hai bisogno di capire se la tua azienda rientra nell'ambito NIS2 e da dove iniziare? Contatta oggi stesso un esperto IT specializzato in cybersicurezza e conformità normativa. Un'analisi iniziale può fare la differenza tra un adeguamento ordinato e sereno e una rincorsa affannosa verso scadenze che non aspettano nessuno.