Il 2026 si avvicina rapidamente e, con esso, una delle scadenze più importanti in materia di sicurezza informatica per le imprese italiane: l'entrata in vigore piena degli obblighi previsti dalla Direttiva NIS2 (Network and Information Security 2), recepita in Italia con il Decreto Legislativo 138/2024. Per molte PMI italiane, si tratta del primo vero confronto con un impianto normativo strutturato sulla cybersecurity, e il rischio di arrivare impreparati alle scadenze di maggio e giugno 2026 è concreto e non va sottovalutato.

Fino a poco tempo fa, la sicurezza informatica era percepita da gran parte delle piccole e medie imprese come un tema riservato alle grandi corporation o alle infrastrutture critiche nazionali. La NIS2 ha cambiato radicalmente questa prospettiva: il perimetro di applicazione della direttiva è stato significativamente ampliato rispetto alla precedente NIS1, includendo ora settori come la manifattura avanzata, i servizi postali, la gestione dei rifiuti, la produzione alimentare e molti altri ambiti tipici del tessuto produttivo italiano. Secondo i dati di ENISA (European Union Agency for Cybersecurity), il numero di soggetti potenzialmente coinvolti in Europa si è moltiplicato rispetto alla direttiva precedente, toccando decine di migliaia di organizzazioni in Italia.

In questo scenario, il ruolo dell'ACN (Agenzia per la Cybersicurezza Nazionale) è centrale: è l'autorità competente italiana per l'attuazione della NIS2, e ha predisposto un portale dedicato attraverso cui le organizzazioni devono registrarsi, comunicare i propri dati e avviare il percorso di conformità. Capire come funziona questo portale, quali sono le scadenze operative e come gestire la categorizzazione dei fornitori sono i tre pilastri pratici su cui ogni PMI deve costruire la propria strategia NIS2 per il 2026.

Cosa Prevede la NIS2 per le PMI Italiane: Soggetti Essenziali e Importanti

La Direttiva NIS2, e il suo recepimento italiano, distingue due categorie principali di soggetti obbligati: i soggetti essenziali e i soggetti importanti. Questa distinzione non è solo terminologica: determina il livello di vigilanza a cui l'organizzazione sarà sottoposta e, in parte, l'intensità degli obblighi di sicurezza da implementare. Per le PMI, è fondamentale capire in quale categoria ricadono.

I soggetti essenziali operano generalmente in settori ad alta criticità come energia, trasporti, banche, infrastrutture sanitarie, acqua potabile e infrastrutture digitali. I soggetti importanti coprono invece settori come servizi postali, gestione rifiuti, produzione e distribuzione di alimenti, fabbricazione di dispositivi medici, chimica e diversi comparti manifatturieri. Una PMI con più di 50 dipendenti e un fatturato superiore a 10 milioni di euro che opera in uno di questi settori è, con ogni probabilità, soggetta agli obblighi NIS2.

  • Soggetti essenziali: vigilanza proattiva da parte di ACN, sanzioni fino al 2% del fatturato globale annuo
  • Soggetti importanti: vigilanza reattiva (su segnalazione o incidente), sanzioni fino all'1,4% del fatturato globale annuo
  • Soglie dimensionali: in linea generale, si applicano alle medie e grandi imprese, ma con eccezioni settoriali per le micro e piccole imprese in settori critici
  • Obbligo di notifica degli incidenti: entro 24 ore (pre-notifica), 72 ore (notifica iniziale) e 30 giorni (rapporto finale) per tutti i soggetti obbligati

È importante sottolineare che la valutazione della propria appartenenza a una categoria non è sempre immediata. Molte PMI che operano come fornitori di catena per grandi aziende o per la Pubblica Amministrazione potrebbero ricadere nel perimetro NIS2 anche senza esserne consapevoli. In questi casi, il consiglio è di effettuare quanto prima un'analisi di applicabilità con il supporto di un consulente specializzato.

Scadenze Operative Maggio-Giugno 2026: Il Calendario degli Adempimenti NIS2

Il Decreto Legislativo 138/2024 ha definito un calendario graduale di entrata in vigore degli obblighi. Le scadenze di maggio e giugno 2026 rappresentano il momento in cui la maggior parte delle organizzazioni dovrà aver completato la fase di registrazione e avviato concretamente i percorsi di conformità tecnica e organizzativa. Non rispettare queste scadenze espone le aziende a sanzioni amministrative significative e, soprattutto, a vulnerabilità di sicurezza non gestite.

In particolare, il portale ACN ha aperto le funzionalità di auto-registrazione per consentire alle organizzazioni di censirsi e comunicare i dati necessari per la categorizzazione. ACN, sulla base delle informazioni ricevute, determinerà l'inquadramento definitivo di ciascun soggetto. Questo processo non è automatico né istantaneo: richiede tempo, documentazione e una conoscenza approfondita della propria struttura organizzativa e dei servizi erogati.

  • Entro fine 2025 / inizio 2026: completamento della registrazione sul portale ACN da parte di tutti i soggetti che ritengono di rientrare nel perimetro NIS2
  • Maggio 2026: termine orientativo per la conclusione della fase di categorizzazione da parte di ACN e comunicazione agli interessati
  • Giugno 2026: avvio della piena operatività degli obblighi di sicurezza e notifica degli incidenti per i soggetti categorizzati
  • Entro 18 mesi dalla notifica: implementazione completa delle misure di sicurezza tecnica e organizzativa richieste

È fondamentale non aspettare passivamente la comunicazione di ACN. Le organizzazioni devono attivarsi proattivamente, registrarsi sul portale, nominare il punto di contatto e il responsabile della sicurezza informatica, e avviare la gap analysis rispetto ai requisiti tecnici richiesti dall'articolo 24 del decreto. Ogni mese di ritardo riduce il tempo disponibile per implementare le misure necessarie prima delle verifiche ispettive.

Il Portale ACN per la Registrazione NIS2: Come Funziona e Cosa Serve

Il portale ACN (Agenzia per la Cybersicurezza Nazionale) è lo strumento operativo centrale per la gestione degli adempimenti NIS2 in Italia. Accessibile tramite il sito istituzionale dell'agenzia, il portale richiede l'autenticazione tramite SPID o CIE (Carta d'Identità Elettronica) e consente alle organizzazioni di completare il processo di auto-notifica e registrazione previsto dalla normativa.

Durante la registrazione, le organizzazioni devono fornire una serie di informazioni strutturate che includono: i dati identificativi dell'organizzazione (codice fiscale, partita IVA, settore di attività ATECO), la descrizione dei servizi erogati, il numero di dipendenti e il fatturato, i dati del punto di contatto NIS2 (che deve essere una persona fisica raggiungibile 24/7 per comunicazioni urgenti legate a incidenti di sicurezza), e una prima valutazione della propria appartenenza alla categoria di soggetto essenziale o importante.

  • Accesso tramite SPID aziendale o CIE del legale rappresentante
  • Compilazione del questionario di auto-valutazione settoriale
  • Designazione del punto di contatto NIS2 (nome, ruolo, recapiti)
  • Indicazione dei sistemi informativi e delle reti rilevanti per l'erogazione del servizio
  • Dichiarazione delle eventuali interdipendenze con altri soggetti NIS2 o fornitori critici

Un aspetto spesso trascurato è che la registrazione sul portale ACN non è un adempimento una tantum: le organizzazioni hanno l'obbligo di aggiornare le informazioni in caso di variazioni significative (cambio di attività, acquisizioni, variazioni dimensionali). Questo implica la necessità di designare internamente un responsabile che monitori continuativamente lo stato della registrazione e le eventuali comunicazioni provenienti da ACN attraverso il portale stesso.

Categorizzazione dei Fornitori NIS2: Gestire la Supply Chain di Sicurezza

Uno degli aspetti più innovativi — e più complessi — della NIS2 rispetto alla precedente direttiva è l'attenzione esplicita alla sicurezza della catena di fornitura (supply chain security). L'articolo 24 del D.Lgs. 138/2024 richiede ai soggetti obbligati di adottare misure adeguate per gestire i rischi derivanti dai propri fornitori e prestatori di servizi, in particolare quelli che hanno accesso ai sistemi informativi dell'organizzazione o che forniscono componenti critiche per l'erogazione del servizio.

Per una PMI italiana, questo significa dover effettuare una vera e propria mappatura e categorizzazione dei fornitori in funzione del rischio che rappresentano per la sicurezza informatica aziendale. Non tutti i fornitori hanno lo stesso livello di criticità: un fornitore di cancelleria ha un profilo di rischio molto diverso da un provider cloud che ospita i dati dei clienti, o da un system integrator che ha accesso remoto ai sistemi di produzione.

Un approccio pratico per le PMI può essere strutturato in tre livelli:

  • Fornitori critici: accesso diretto ai sistemi IT/OT, gestione di dati sensibili, provider di servizi cloud o di connettività. Richiedono contratti con clausole di sicurezza specifiche, audit periodici e verifica delle certificazioni (es. ISO 27001)
  • Fornitori rilevanti: software gestionali, servizi di manutenzione informatica, consulenti con accesso occasionale ai sistemi. Richiedono questionari di sicurezza e NDA rafforzati
  • Fornitori standard: nessun accesso ai sistemi informativi critici. Gestibili con clausole contrattuali standard GDPR e NIS2

È importante che la categorizzazione dei fornitori non rimanga un documento statico: deve essere rivista almeno annualmente e ogni volta che si introduce un nuovo fornitore critico o si modifica significativamente la natura di un rapporto di fornitura esistente. ACN potrà richiedere evidenza di questo processo durante eventuali attività ispettive, quindi è essenziale che la mappatura sia documentata, datata e firmata dal responsabile competente.

Domande Frequenti

Una PMI con meno di 50 dipendenti è esclusa dagli obblighi NIS2?

Non necessariamente. Sebbene la soglia generale per l'applicazione della NIS2 riguardi le medie e grandi imprese (oltre 50 dipendenti o 10 milioni di euro di fatturato), esistono eccezioni settoriali esplicite. Le micro e piccole imprese che operano in settori particolarmente critici — come la fornitura di servizi DNS, registri di nomi di dominio, operatori di reti pubbliche di comunicazione elettronica, o che sono l'unico fornitore in un settore essenziale — possono essere incluse nel perimetro NIS2 indipendentemente dalle dimensioni. Inoltre, le PMI che fungono da fornitori critici per soggetti NIS2 di maggiori dimensioni potrebbero ricevere pressioni contrattuali per adeguarsi agli standard richiesti dalla direttiva anche senza un obbligo diretto. Il consiglio è di effettuare una verifica puntuale con un esperto prima di assumere di essere esclusi.

Cosa rischia concretamente un'azienda che non rispetta le scadenze NIS2?

Le sanzioni previste dal D.Lgs. 138/2024 sono significative. Per i soggetti essenziali, le sanzioni amministrative possono arrivare fino al 2% del fatturato annuo globale o 10 milioni di euro (si applica il maggiore dei due importi). Per i soggetti importanti, il massimale è dell'1,4% del fatturato annuo globale o 7 milioni di euro. Oltre alle sanzioni pecuniarie, ACN può adottare misure di vigilanza più stringenti, richiedere audit straordinari, imporre limitazioni temporanee all'erogazione del servizio e, nei casi più gravi, rendere pubblica la non conformità dell'organizzazione. Non da ultimo, in caso di incidente informatico che abbia provocato danni a terzi, la mancata conformità NIS2 potrebbe aggravare la posizione dell'azienda in eventuali procedimenti civili o penali.

Quanto tempo ci vuole per essere conformi alla NIS2 e da dove si comincia?

La conformità NIS2 non è un progetto che si completa in poche settimane: per una PMI che parte da zero, è realistico stimare un percorso di 12-18 mesi per implementare tutte le misure tecniche e organizzative richieste. Il punto di partenza obbligato è la gap analysis: un'analisi dello stato attuale della sicurezza informatica aziendale rispetto ai requisiti dell'articolo 24 del decreto (gestione del rischio, sicurezza della supply chain, piani di continuità operativa, crittografia, autenticazione multifattore, formazione del personale, ecc.). Dalla gap analysis emerge un piano di remediation prioritizzato, che va poi eseguito con le risorse interne disponibili o con il supporto di fornitori specializzati. La registrazione sul portale ACN deve avvenire il prima possibile, indipendentemente dallo stato di avanzamento del progetto di conformità.

La NIS2 si sovrappone al GDPR? Come gestire i due regimi normativi insieme?

NIS2 e GDPR sono normative distinte ma complementari e in parte sovrapposte. Entrambe richiedono misure di sicurezza adeguate per proteggere i dati e i sistemi informativi, ma con finalità diverse: il GDPR tutela i dati personali degli individui, mentre la NIS2 mira a garantire la resilienza e la continuità dei servizi digitali essenziali. Alcune misure di sicurezza sono richieste da entrambe le normative (es. cifratura dei dati, autenticazione robusta, gestione degli incidenti), quindi un'implementazione coordinata consente di ottimizzare gli investimenti evitando duplicazioni. La differenza principale riguarda la notifica degli incidenti: il GDPR prevede la notifica al Garante della Privacy entro 72 ore in caso di data breach, mentre la NIS2 richiede la notifica ad ACN secondo una tempistica a tre fasi (24h, 72h, 30 giorni) per qualsiasi incidente significativo, non solo quelli che coinvolgono dati personali. Un approccio integrato alla conformità, che consideri entrambe le normative in modo sinergico, è la soluzione più efficiente per le PMI.

Conclusione

Le scadenze NIS2 di maggio e giugno 2026 non sono lontane, e il tempo per agire in modo strutturato e consapevole si sta riducendo. Per le PMI italiane, la conformità alla NIS2 non deve essere vissuta come un peso burocratico aggiuntivo, ma come un'opportunità concreta per migliorare la propria postura di sicurezza informatica, ridurre il rischio di incidenti costosi e rafforzare la fiducia di clienti e partner commerciali. In un contesto in cui gli attacchi informatici alle imprese italiane sono in costante crescita — come documentato dai rapporti annuali del Clusit (Associazione Italiana per la Sicurezza Informatica) — investire nella sicurezza non è più una scelta opzionale, ma una necessità strategica.

Il primo passo concreto è la registrazione sul portale ACN e la nomina di un punto di contatto NIS2 all'interno della propria organizzazione. Il secondo è avviare una gap analysis onesta e documentata per capire dove si è e quanto c'è da fare. Il terzo è costruire un piano di conformità realistico, con budget, tempi e responsabilità chiaramente definiti. Nessuno di questi passi richiede di essere un esperto di cybersecurity, ma tutti beneficiano enormemente dal supporto di professionisti con esperienza specifica in materia di NIS2 e sicurezza informatica per le PMI.

Non aspettare che sia ACN a contattarti. Se la tua azienda opera in un settore potenzialmente incluso nel perimetro NIS2 e non hai ancora avviato il processo di valutazione e registrazione, contatta oggi stesso un esperto IT specializzato in conformità normativa. Un consulente qualificato può guidarti attraverso l'auto-valutazione, supportarti nella registrazione al portale ACN, aiutarti a categorizzare correttamente i tuoi fornitori e costruire un piano di adeguamento realistico e sostenibile per la tua realtà aziendale. Il costo di prepararsi è sempre inferiore al costo di non farlo.