Il 2026 si avvicina e con esso si avvicinano alcune delle scadenze più significative per le imprese italiane nell'ambito della Direttiva NIS2 (Network and Information Security 2). Recepita in Italia con il Decreto Legislativo 138/2024, la normativa europea ha ridisegnato il panorama della cybersecurity obbligatoria, ampliando notevolmente la platea dei soggetti tenuti a conformarsi rispetto alla precedente NIS1. Se fino a qualche anno fa la sicurezza informatica era percepita come un problema delle grandi aziende o delle infrastrutture critiche statali, oggi la NIS2 cambia radicalmente questa prospettiva, coinvolgendo migliaia di piccole e medie imprese italiane in settori che spaziano dall'energia ai trasporti, dalla sanità ai servizi digitali.

Per molti imprenditori e responsabili IT di PMI, il tema NIS2 è ancora avvolto da una certa nebbia normativa. Le domande ricorrenti sono sempre le stesse: "La mia azienda rientra nell'ambito di applicazione?", "Cosa devo fare concretamente e quando?", "Cosa rischio se non mi adeguo?". Questo articolo nasce proprio per rispondere a questi interrogativi, con un focus specifico sulle scadenze operative di maggio e giugno 2026 legate al portale dell'Agenzia per la Cybersicurezza Nazionale (ACN) e alla nuova disciplina sulla categorizzazione dei fornitori rilevanti. Non si tratta di teoria: si tratta di adempimenti concreti che richiedono azioni immediate.

Secondo i dati elaborati da ENISA (l'Agenzia dell'Unione Europea per la Cybersicurezza), il numero di incidenti significativi ai danni di organizzazioni europee di medie dimensioni è aumentato costantemente negli ultimi anni. In Italia, il rapporto Clusit 2024 ha registrato una crescita degli attacchi informatici gravi, con il settore manifatturiero e quello dei servizi professionali tra i più colpiti — due comparti in cui le PMI italiane sono fortemente rappresentate. La NIS2 risponde esattamente a questa realtà, imponendo un innalzamento strutturale delle difese anche nelle organizzazioni di dimensioni più contenute. Ignorare le scadenze non è un'opzione: le sanzioni previste possono arrivare fino al 2% del fatturato annuo globale per i soggetti essenziali e all'1,4% per i soggetti importanti.

Chi sono i soggetti obbligati dalla NIS2: come capire se la tua PMI rientra

Il primo passo — e spesso il più complesso — è capire se la propria azienda rientra nell'ambito di applicazione della NIS2. Il Decreto Legislativo 138/2024 distingue tra soggetti essenziali e soggetti importanti, una classificazione che incide direttamente sull'intensità degli obblighi e sull'entità delle sanzioni. I soggetti essenziali operano nei settori ad alta criticità elencati nell'allegato I del decreto (energia, trasporti, banche, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi ICT, pubblica amministrazione, spazio). I soggetti importanti, invece, rientrano nei settori dell'allegato II: servizi postali, gestione dei rifiuti, produzione e distribuzione di sostanze chimiche, produzione e distribuzione di alimenti, fabbricazione di dispositivi medici, di prodotti informatici ed elettronici, macchine, autoveicoli e altri mezzi di trasporto, fornitori di servizi digitali.

Per le PMI, la soglia dimensionale è un fattore determinante. In linea generale, la NIS2 si applica alle medie imprese (50-249 dipendenti, fatturato annuo tra 10 e 50 milioni di euro o totale di bilancio tra 10 e 43 milioni) e alle grandi imprese (oltre 250 dipendenti). Le microimprese e le piccole imprese (sotto i 50 dipendenti) sono generalmente esentate, salvo eccezioni specifiche legate alla criticità del settore o al ruolo di fornitore unico di servizi essenziali. È fondamentale non fermarsi a una valutazione superficiale: molte PMI italiane che pensano di essere escluse potrebbero in realtà rientrare nell'obbligo per via della loro posizione nella catena di fornitura di operatori critici.

  • Settori allegato I (soggetti essenziali): energia, trasporti, banche, sanità, acqua, infrastrutture digitali, PA, spazio
  • Settori allegato II (soggetti importanti): servizi postali, rifiuti, chimica, alimentare, manifatturiero avanzato, servizi digitali
  • Soglie dimensionali: medie imprese (50+ dipendenti o 10M+ fatturato) e grandi imprese (250+ dipendenti)
  • Eccezioni al ribasso: piccole imprese fornitrici critiche o operanti in settori ad alto rischio possono essere incluse su decisione dell'ACN

Il portale ACN e la registrazione obbligatoria: cosa fare entro le scadenze di maggio-giugno 2026

L'Agenzia per la Cybersicurezza Nazionale ha predisposto un portale dedicato alla NIS2 attraverso il quale i soggetti obbligati devono procedere alla registrazione e alla comunicazione dei dati richiesti. Questo adempimento non è opzionale: la registrazione sul portale ACN è il punto di partenza di tutto il percorso di conformità e consente all'autorità competente di costruire il registro nazionale dei soggetti NIS2. Il processo di registrazione richiede la comunicazione di informazioni specifiche sull'organizzazione: settore di appartenenza, dimensioni aziendali, servizi erogati, referenti per la sicurezza informatica e recapiti per le notifiche di incidente.

Le scadenze operative previste per il primo semestre 2026 riguardano in particolare due macro-attività: il completamento della fase di auto-registrazione per i soggetti che non lo hanno ancora fatto e la risposta alle eventuali richieste di integrazione o chiarimento da parte dell'ACN in seguito alla prima tornata di verifiche. Le finestre temporali di maggio e giugno 2026 sono critiche perché coincidono con il consolidamento del registro nazionale e con l'avvio delle prime attività di supervisione. Chi non è registrato entro queste date si espone non solo alle sanzioni, ma anche all'impossibilità di ottenere eventuali deroghe o periodi di adeguamento graduali previsti per i soggetti che hanno dimostrato buona fede procedurale.

  • Accedere al portale ACN (piattaforma NIS2 ufficiale) tramite identità digitale (SPID/CIE aziendale o CNS)
  • Compilare il questionario di auto-valutazione per determinare la categoria di appartenenza
  • Indicare il nominativo del punto di contatto per la cybersicurezza (può essere interno o un fornitore esterno qualificato)
  • Caricare le informazioni sui servizi critici erogati e sulle interdipendenze con altri soggetti NIS2
  • Monitorare le comunicazioni ufficiali ACN per eventuali richieste di integrazione entro i termini previsti

Un aspetto pratico spesso sottovalutato: la registrazione richiede una preparazione interna non banale. Prima di accedere al portale, è necessario che l'azienda abbia già effettuato una mappatura dei propri asset informatici critici e dei servizi erogati. Improvvisare durante la compilazione del questionario è un errore che può portare a categorizzazioni errate e a obblighi mal calibrati. Molte PMI stanno scegliendo di affidarsi a un CISO as a Service o a consulenti specializzati per gestire questa fase in modo strutturato.

Categorizzazione dei fornitori rilevanti: obblighi concreti nella supply chain

Uno degli aspetti più innovativi — e più impegnativi — della NIS2 riguarda la sicurezza della catena di approvvigionamento. L'articolo 21 del decreto impone ai soggetti obbligati di gestire i rischi derivanti dai propri fornitori e dai prestatori di servizi. In pratica, non basta mettere in sicurezza la propria organizzazione: bisogna anche valutare e classificare i fornitori in base alla loro rilevanza per la continuità dei servizi essenziali e al rischio informatico che introducono nella catena.

La categorizzazione dei fornitori rilevanti è un processo strutturato che prevede almeno tre livelli di analisi: identificazione dei fornitori critici (quelli senza i quali il servizio essenziale non può essere erogato), valutazione della loro postura di sicurezza informatica (attraverso questionari, audit o certificazioni) e definizione di clausole contrattuali minime in materia di cybersecurity. Questo processo deve essere documentato e aggiornato periodicamente, e rappresenta uno dei punti di verifica prioritari nelle ispezioni ACN.

  • Fornitori tier-1 critici: cloud provider, fornitori di software gestionale ERP, operatori di rete, fornitori di servizi di backup e disaster recovery
  • Fornitori tier-2 rilevanti: fornitori di hardware, sistemisti esterni, società di manutenzione IT
  • Clausole contrattuali minime: obbligo di notifica degli incidenti al cliente, requisiti minimi di sicurezza, diritto di audit, obbligo di aggiornamento e patching
  • Documentazione richiesta: registro fornitori classificati, verbali di valutazione, contratti aggiornati, piani di risposta agli incidenti condivisi

Un esempio pratico: una PMI manifatturiera italiana che utilizza un software di gestione della produzione in cloud hosted da un provider esterno deve classificare quel provider come fornitore rilevante, verificare che abbia misure di sicurezza adeguate (ad esempio certificazione ISO 27001 o SOC 2), e includere nel contratto clausole specifiche sulla notifica degli incidenti e sulla continuità del servizio. Questo non è solo un esercizio burocratico: è una tutela reale per l'azienda, che in caso di attacco informatico al fornitore può trovarsi completamente paralizzata.

Le misure tecniche e organizzative minime richieste dalla NIS2 per le PMI

Oltre alla registrazione e alla gestione dei fornitori, la NIS2 impone l'adozione di un insieme di misure tecniche, operative e organizzative proporzionate al rischio. Il principio cardine è quello della proporzionalità: le misure devono essere adeguate alle dimensioni dell'organizzazione, alla sua esposizione al rischio e alle risorse disponibili. Tuttavia, la proporzionalità non significa libertà totale: esistono misure minime che tutti i soggetti obbligati devono adottare, indipendentemente dalla dimensione.

Le misure obbligatorie previste dall'articolo 24 del Decreto 138/2024 includono la gestione del rischio informatico (con un processo formale di risk assessment), la sicurezza nella gestione delle risorse umane (formazione, consapevolezza, procedure disciplinari), le politiche di controllo degli accessi e gestione delle identità, la crittografia dei dati sensibili, la continuità operativa e il disaster recovery, la gestione delle vulnerabilità e degli aggiornamenti di sicurezza, e le procedure di notifica degli incidenti.

  • Risk assessment periodico: almeno annuale, con documentazione formale dei rischi identificati e delle misure di mitigazione
  • Multi-factor authentication (MFA): obbligatoria per tutti gli accessi ai sistemi critici
  • Backup e disaster recovery: piano testato e documentato, con RTO e RPO definiti
  • Incident response plan: procedura documentata per la gestione e la notifica degli incidenti entro 24 ore (notifica preliminare) e 72 ore (notifica dettagliata) all'ACN
  • Formazione del personale: programma annuale di cybersecurity awareness per tutti i dipendenti
  • Vulnerability management: processo sistematico di identificazione e remediation delle vulnerabilità nei sistemi informatici

Per una PMI con risorse IT limitate, l'approccio più efficace è quello di partire da un gap analysis rispetto a questi requisiti, identificando le aree di maggiore esposizione e pianificando gli interventi in modo prioritizzato. Strumenti come il Framework Nazionale per la Cybersecurity e la Data Protection (basato sul NIST CSF), promosso dallo stesso ecosistema ACN, forniscono una guida metodologica preziosa e allineata ai requisiti NIS2.

Domande frequenti

Una piccola impresa con meno di 50 dipendenti è obbligata a conformarsi alla NIS2?

In linea generale, no: la NIS2 si applica principalmente alle medie e grandi imprese. Tuttavia, esistono eccezioni importanti. Una piccola impresa che opera come fornitore critico di un soggetto essenziale, o che rappresenta l'unico fornitore di un servizio indispensabile per l'infrastruttura nazionale, può essere inclusa nell'ambito di applicazione su decisione dell'ACN. Inoltre, anche se formalmente esentate, le piccole imprese che sono fornitrici di soggetti NIS2 dovranno probabilmente adeguarsi alle clausole contrattuali imposte dai loro clienti obbligati. In pratica, la NIS2 produce effetti a cascata lungo tutta la supply chain, indipendentemente dalla dimensione del singolo fornitore.

Cosa succede se non mi registro sul portale ACN entro le scadenze previste?

La mancata registrazione sul portale ACN costituisce una violazione degli obblighi NIS2 e può comportare l'avvio di procedimenti sanzionatori da parte dell'autorità competente. Le sanzioni previste dal Decreto 138/2024 sono significative: fino al 2% del fatturato annuo globale per i soggetti essenziali e fino all'1,4% del fatturato annuo globale per i soggetti importanti, con un minimo di 7 milioni di euro per i soggetti essenziali e 1,4 milioni per i soggetti importanti. Oltre alle sanzioni pecuniarie, l'ACN può disporre misure temporanee come la sospensione delle certificazioni o l'imposizione di obblighi di audit straordinari. È importante precisare che l'ACN ha indicato un approccio graduale nella fase iniziale, ma questo non significa impunità: chi dimostra di non aver fatto nulla rischia di essere trattato in modo più severo rispetto a chi ha avviato un percorso di conformità anche parziale.

Come devo gestire i fornitori cloud stranieri nell'ambito della NIS2?

I fornitori cloud stranieri (come i grandi hyperscaler americani o asiatici) devono essere trattati esattamente come qualsiasi altro fornitore rilevante: vanno identificati, classificati in base alla loro criticità e sottoposti a una valutazione della loro postura di sicurezza. In pratica, questo significa verificare le loro certificazioni di sicurezza (ISO 27001, SOC 2 Type II, CSA STAR), analizzare i loro termini contrattuali in materia di sicurezza e notifica degli incidenti, e valutare i rischi legati alla sovranità del dato e alle giurisdizioni extraeuropee. Se i termini contrattuali standard del provider non includono le clausole minime richieste dalla NIS2, l'azienda deve negoziare addendum contrattuali o valutare fornitori alternativi. Questo è uno degli aspetti più complessi della conformità NIS2 per le PMI, che spesso utilizzano servizi cloud di massa con scarso potere negoziale.

Quanto costa conformarsi alla NIS2 per una PMI italiana?

Non esiste un costo standard, perché dipende fortemente dalla situazione di partenza dell'azienda, dal settore e dalle misure già in atto. Tuttavia, è possibile fornire una stima orientativa. Il processo di conformità NIS2 per una PMI media include tipicamente: una gap analysis iniziale (da 3.000 a 8.000 euro), la predisposizione della documentazione richiesta come policy, procedure e registro dei fornitori (da 5.000 a 15.000 euro), eventuali interventi tecnici per colmare le lacune identificate come MFA, backup, vulnerability management (variabile, da 5.000 a oltre 30.000 euro a seconda delle carenze), e il mantenimento continuativo come formazione, aggiornamenti e audit (da 3.000 a 8.000 euro annui). Si tratta di investimenti significativi per una PMI, ma da confrontare con i costi di un incidente informatico non gestito — che secondo il rapporto Clusit può superare facilmente i 100.000 euro per un'impresa di medie dimensioni — e con le sanzioni potenzialmente molto più elevate.

Conclusione

Le scadenze di maggio e giugno 2026 non sono un orizzonte lontano: sono dietro l'angolo, e il tempo per prepararsi in modo strutturato si sta riducendo rapidamente. La NIS2 non è l'ennesimo adempimento burocratico da gestire all'ultimo minuto: è una trasformazione profonda del modo in cui le imprese italiane devono approcciarsi alla sicurezza informatica. Registrarsi sul portale ACN, classificare i propri fornitori rilevanti, adottare le misure tecniche e organizzative minime, e documentare tutto in modo verificabile sono attività che richiedono tempo, competenze e pianificazione.

Le PMI che affronteranno questo percorso con serietà non solo eviteranno le sanzioni, ma costruiranno una resilienza informatica reale che le proteggerà da minacce concrete e crescenti. Al contrario, chi rimanda o affronta il tema superficialmente si espone a rischi che vanno ben oltre le sanzioni normative: interruzioni operative, perdita di clienti, danni reputazionali e responsabilità legali.

Se la tua azienda opera in uno dei settori coinvolti dalla NIS2 e non sai da dove iniziare, non aspettare oltre. Contatta oggi stesso un esperto IT specializzato in cybersecurity e conformità normativa: una valutazione iniziale del tuo livello di conformità è il primo passo concreto verso la protezione della tua impresa e il rispetto delle scadenze 2026. Il tempo a disposizione si misura in mesi, non in anni.