Il 2026 si avvicina rapidamente e con esso arrivano scadenze normative che nessuna azienda italiana può permettersi di ignorare. La Direttiva NIS2 (Network and Information Security 2), recepita in Italia con il D.Lgs. 138/2024, sta entrando nella sua fase operativa più critica: entro maggio e giugno 2026, migliaia di piccole e medie imprese italiane dovranno aver completato la registrazione sul portale dell'Agenzia per la Cybersicurezza Nazionale (ACN) e avviato il processo di categorizzazione dei propri fornitori rilevanti. Non si tratta di un adempimento burocratico secondario: è un obbligo di legge con sanzioni significative per chi non rispetta i termini.

L'Italia conta circa 4,2 milioni di PMI che rappresentano il tessuto produttivo del Paese. Secondo i dati del Rapporto Clusit 2024, gli attacchi informatici in Italia sono cresciuti in modo costante negli ultimi anni, colpendo in modo sproporzionato le aziende di medie e piccole dimensioni, spesso prive di strutture di sicurezza adeguate. La NIS2 nasce proprio per rispondere a questa vulnerabilità sistemica, imponendo standard minimi di cybersicurezza a un numero molto più ampio di soggetti rispetto alla precedente Direttiva NIS del 2016. Il campo di applicazione si è esteso notevolmente: ora coinvolge anche settori come la manifattura, il commercio all'ingrosso di prodotti chimici, i servizi postali e molte altre categorie produttive tipiche del tessuto imprenditoriale italiano.

Capire cosa fare, entro quando e come farlo è diventata una priorità assoluta per amministratori delegati, responsabili IT e consulenti aziendali. In questo articolo analizziamo nel dettaglio le scadenze operative di maggio e giugno 2026, il funzionamento del portale ACN per la registrazione e auto-valutazione, e come affrontare correttamente la categorizzazione dei fornitori rilevanti, uno degli aspetti più complessi e sottovalutati dell'intera compliance NIS2.

Le scadenze NIS2 di maggio-giugno 2026: cosa devono fare le PMI italiane entro i termini

Il calendario operativo della NIS2 in Italia prevede una serie di scadenze progressive. La finestra temporale di maggio-giugno 2026 rappresenta uno dei momenti più importanti per i soggetti classificati come importanti (la categoria che include la maggior parte delle PMI rientranti nell'ambito di applicazione). Entro questi mesi, le aziende devono aver completato l'auto-registrazione sul portale ACN e inviato tutte le informazioni richieste per la categorizzazione definitiva.

In concreto, le attività principali da completare entro le scadenze di primavera 2026 includono:

  • Registrazione sul portale ACN: le aziende devono accedere alla piattaforma dedicata dell'Agenzia per la Cybersicurezza Nazionale e completare il processo di registrazione, fornendo dati identificativi, informazioni sull'attività svolta e sul perimetro tecnologico dell'organizzazione.
  • Auto-valutazione del livello di sicurezza: il portale ACN prevede un processo di auto-dichiarazione attraverso il quale l'azienda comunica le misure di sicurezza già adottate e quelle in corso di implementazione.
  • Designazione del punto di contatto per la sicurezza: ogni soggetto obbligato deve indicare un referente responsabile per le comunicazioni con l'ACN, inclusa la notifica degli incidenti significativi.
  • Avvio della gestione del rischio della catena di fornitura: le aziende devono iniziare a mappare i propri fornitori tecnologici e valutarne la rilevanza ai fini della sicurezza informatica.

È fondamentale sottolineare che il mancato rispetto di queste scadenze può comportare sanzioni amministrative che, per i soggetti importanti, possono arrivare fino a 7 milioni di euro o all'1,4% del fatturato annuo globale, secondo quanto previsto dal D.Lgs. 138/2024. Per una PMI con fatturato di 10 milioni di euro, si parla quindi di esposizione a sanzioni potenzialmente superiori a 100.000 euro, una cifra che può mettere seriamente a rischio la sostenibilità dell'impresa.

Il portale ACN per la NIS2: come registrarsi e completare l'auto-valutazione passo dopo passo

Il portale ACN dedicato alla NIS2 è lo strumento centrale attraverso il quale le aziende italiane devono interagire con l'Autorità nazionale competente. Accessibile tramite autenticazione con SPID o CIE (Carta d'Identità Elettronica), il portale guida l'utente attraverso un processo strutturato che comprende diverse fasi operative.

La prima fase consiste nella verifica dell'appartenenza all'ambito di applicazione. Molte PMI non sanno con certezza se rientrano nella NIS2: il portale prevede un percorso guidato che, sulla base del settore di attività (codice ATECO), delle dimensioni aziendali e della tipologia di servizi offerti, aiuta a determinare se l'azienda è classificata come soggetto essenziale o importante. Generalmente, le medie imprese (50-249 dipendenti, fatturato tra 10 e 50 milioni di euro) operanti in settori ad alta criticità rientrano nella categoria dei soggetti importanti.

Una volta completata la registrazione, le aziende devono compilare i questionari di auto-valutazione che coprono aree come:

  • Gestione degli accessi e autenticazione (Identity and Access Management)
  • Sicurezza delle reti e dei sistemi informativi
  • Procedure di backup e ripristino dei dati
  • Gestione degli incidenti e piani di risposta
  • Formazione del personale sulla cybersicurezza
  • Sicurezza fisica dei data center e delle infrastrutture critiche

Un esempio pratico: un'azienda manifatturiera lombarda con 80 dipendenti che produce componenti per il settore automotive dovrà registrarsi sul portale, indicare che opera nel settore manifatturiero avanzato, designare il proprio responsabile IT come punto di contatto ACN, e dichiarare se utilizza sistemi MFA (Multi-Factor Authentication) per l'accesso ai sistemi critici. Se la risposta è negativa, dovrà indicare un piano di implementazione con scadenze concrete.

Categorizzazione dei fornitori rilevanti NIS2: metodologia e impatto pratico sulla supply chain delle PMI

Uno degli aspetti più complessi e spesso sottovalutati della compliance NIS2 è la gestione della sicurezza della catena di fornitura. L'articolo 21 della direttiva, recepito nel D.Lgs. 138/2024, impone alle aziende obbligate di valutare e gestire i rischi di sicurezza derivanti dai propri fornitori tecnologici, soprattutto quelli che hanno accesso ai sistemi informativi dell'azienda o che forniscono componenti critici per l'erogazione del servizio.

La categorizzazione dei fornitori rilevanti è il processo attraverso il quale un'azienda identifica, classifica e valuta i propri vendor in base al livello di rischio che rappresentano. In pratica, non tutti i fornitori sono uguali: il fornitore del software gestionale ERP che ha accesso remoto ai server aziendali è molto più critico rispetto al fornitore di cancelleria. La NIS2 impone di formalizzare questa distinzione e di adottare misure proporzionate per ciascuna categoria.

Un approccio metodologico raccomandato per le PMI italiane prevede tre livelli di categorizzazione:

  • Fornitori critici (Tier 1): fornitori con accesso diretto ai sistemi informativi dell'azienda, gestori di dati sensibili o fornitori di infrastrutture cloud essenziali. Richiedono audit periodici, contratti con clausole di sicurezza specifiche e monitoraggio continuo.
  • Fornitori rilevanti (Tier 2): fornitori che influenzano indirettamente la sicurezza informatica aziendale, come integratori di sistema, fornitori di hardware di rete, provider di servizi gestiti (MSP). Richiedono questionari di autovalutazione e revisione periodica.
  • Fornitori standard (Tier 3): tutti gli altri fornitori con impatto minimo sulla sicurezza informatica. Richiedono solo una valutazione iniziale e clausole contrattuali standard.

Per una PMI italiana tipica, questo processo può sembrare oneroso, ma esistono strumenti pratici per semplificarlo. Il primo passo è creare un inventario completo di tutti i fornitori tecnologici, mappando per ciascuno: tipo di accesso ai sistemi aziendali, dati ai quali hanno accesso, criticità per la continuità operativa e certificazioni di sicurezza possedute (come ISO 27001 o SOC 2). Questa mappatura diventa poi la base per la reportistica richiesta dall'ACN.

Misure tecniche e organizzative obbligatorie NIS2: cosa deve implementare concretamente una PMI italiana

Al di là degli adempimenti amministrativi, la NIS2 impone l'adozione di misure tecniche e organizzative concrete per la gestione del rischio informatico. Queste misure devono essere proporzionate al livello di rischio dell'organizzazione, ma alcune sono praticamente obbligatorie per qualsiasi azienda rientrante nell'ambito di applicazione.

Sul piano tecnico, le misure fondamentali che ogni PMI italiana deve considerare includono l'implementazione dell'autenticazione a più fattori per tutti gli accessi ai sistemi critici, la crittografia dei dati sensibili sia in transito che a riposo, sistemi di backup e disaster recovery testati periodicamente, aggiornamenti regolari di software e firmware per eliminare vulnerabilità note, e sistemi di monitoraggio degli accessi e degli eventi di sicurezza (SIEM - Security Information and Event Management).

Sul piano organizzativo, invece, le aziende devono sviluppare e mantenere aggiornati:

  • Una politica di sicurezza informatica formale, approvata dalla direzione aziendale
  • Un piano di gestione degli incidenti con procedure chiare per la notifica all'ACN entro 24 ore dalla scoperta di un incidente significativo
  • Un programma di formazione periodica per tutto il personale sulle minacce informatiche più comuni (phishing, ransomware, social engineering)
  • Procedure di business continuity e ripristino dell'operatività dopo un incidente
  • Un processo strutturato di gestione delle vulnerabilità con scansioni periodiche dei sistemi

Un esempio concreto: una società di contabilità toscana con 60 dipendenti che gestisce i dati fiscali di centinaia di clienti aziendali rientra probabilmente nell'ambito NIS2 come fornitore di servizi digitali rilevanti. Questa azienda dovrebbe prioritariamente implementare MFA per tutti gli accessi al proprio software gestionale, attivare un sistema di backup giornaliero con copia off-site, e formare i propri collaboratori sul riconoscimento delle email di phishing, che rappresentano ancora il vettore di attacco più comune secondo il Rapporto Clusit.

Domande frequenti

La mia PMI rientra nell'ambito della NIS2? Come posso verificarlo?

La verifica dipende principalmente da tre fattori: il settore di attività dell'azienda (codice ATECO), le dimensioni (numero di dipendenti e fatturato) e la tipologia di servizi offerti. In linea generale, le aziende con più di 50 dipendenti o fatturato superiore a 10 milioni di euro che operano in settori considerati critici dalla direttiva (energia, trasporti, bancario, infrastrutture digitali, manifattura avanzata, gestione rifiuti e molti altri) rientrano nell'ambito di applicazione. Il modo più preciso per verificarlo è utilizzare il percorso guidato disponibile sul portale ACN oppure consultare un consulente specializzato in compliance NIS2, poiché alcuni casi limite richiedono un'analisi approfondita del modello di business aziendale.

Cosa succede se non mi registro sul portale ACN entro le scadenze di maggio-giugno 2026?

Il mancato rispetto delle scadenze di registrazione espone l'azienda a sanzioni amministrative. Per i soggetti classificati come importanti (la categoria che include la maggior parte delle PMI), le sanzioni previste dal D.Lgs. 138/2024 possono arrivare fino a 7 milioni di euro o all'1,4% del fatturato annuo globale, applicando il criterio che determina l'importo più elevato. Oltre alle sanzioni pecuniarie, in caso di incidente informatico non notificato correttamente, l'azienda potrebbe incorrere in responsabilità aggiuntive. È importante sottolineare che l'ACN ha dichiarato un approccio inizialmente orientato al supporto e alla guida delle aziende, ma i controlli formali e le sanzioni diventeranno progressivamente più rigorosi nel corso del 2026.

Quanto costa mettere in conformità una PMI italiana con la NIS2?

I costi variano significativamente in base alle dimensioni dell'azienda, al settore di attività e al livello di maturità tecnologica già raggiunto. Per una PMI di medie dimensioni (50-100 dipendenti) che parte da zero, si stima generalmente un investimento iniziale che copre: consulenza per la gap analysis e la redazione delle politiche di sicurezza (da 5.000 a 15.000 euro), implementazione di soluzioni tecnologiche (firewall avanzati, sistemi EDR, MFA, SIEM) con costi variabili in base alle soluzioni scelte, e formazione del personale. È importante considerare che molte aziende hanno già implementato parte delle misure richieste: in questi casi il costo di adeguamento può essere significativamente inferiore. L'investimento nella compliance NIS2, d'altro canto, riduce concretamente il rischio di incidenti informatici, il cui costo medio per una PMI europea è di gran lunga superiore al costo della prevenzione.

I fornitori della mia azienda devono essere anch'essi conformi alla NIS2?

Non necessariamente, ma la NIS2 impone a voi, come soggetto obbligato, di valutare e gestire i rischi di sicurezza derivanti dalla vostra catena di fornitura. Questo significa che dovete verificare le pratiche di sicurezza dei vostri fornitori critici e includere nei contratti clausole che li obblighino a rispettare standard minimi di cybersicurezza. Se un vostro fornitore critico non adotta misure adeguate, siete responsabili di gestire questo rischio attraverso controlli compensativi o, nei casi estremi, attraverso la sostituzione del fornitore. In pratica, questo sta creando un effetto a cascata: le grandi aziende già conformi stanno iniziando a richiedere dichiarazioni di conformità ai propri fornitori, accelerando indirettamente l'adeguamento dell'intera supply chain italiana.

Conclusione

La NIS2 non è semplicemente un obbligo normativo da assolvere il prima possibile per evitare sanzioni: è un'opportunità concreta per le PMI italiane di rafforzare la propria resilienza informatica in un contesto in cui le minacce digitali sono in costante crescita. Le scadenze di maggio-giugno 2026 sono vicine, e il tempo per organizzarsi in modo strutturato si sta esaurendo. Aspettare l'ultimo momento significa rischiare di non riuscire a completare tutti gli adempimenti richiesti, dall'iscrizione al portale ACN alla corretta categorizzazione dei fornitori, passando per l'implementazione delle misure tecniche e organizzative.

Il percorso verso la compliance NIS2 richiede competenze multidisciplinari: legali, tecniche e organizzative. Per molte PMI italiane, affidarsi a un consulente esperto in cybersicurezza e compliance normativa è la scelta più efficiente ed economicamente vantaggiosa, perché permette di evitare errori costosi e di ottimizzare gli investimenti in sicurezza in base al profilo di rischio specifico dell'azienda. Non aspettare: contatta oggi stesso un esperto IT specializzato in NIS2 per ricevere una valutazione gratuita della situazione della tua azienda e un piano di adeguamento personalizzato prima che le scadenze di primavera 2026 diventino un'emergenza.