Il conto alla rovescia è ufficialmente iniziato. Le PMI italiane che rientrano nel perimetro della Direttiva NIS2 si trovano di fronte a scadenze concrete e ravvicinate: maggio e giugno 2026 rappresentano momenti cardine nel percorso di adeguamento alla normativa europea sulla sicurezza delle reti e dei sistemi informativi. Dopo anni di dibattiti, rinvii e decreti attuativi, il quadro regolatorio si sta finalmente consolidando in Italia, grazie anche all'operatività crescente del portale gestito dall'Agenzia per la Cybersicurezza Nazionale (ACN). Per molti imprenditori e responsabili IT, però, la realtà quotidiana è ancora confusa: cosa bisogna fare esattamente? Entro quando? E soprattutto, chi è davvero obbligato?

La NIS2 non è una questione che riguarda solo le grandi corporation o le infrastrutture critiche nazionali. Il decreto legislativo di recepimento italiano, il D.Lgs. 138/2024, ha allargato significativamente il perimetro dei soggetti obbligati, includendo migliaia di medie e piccole imprese che operano in settori considerati essenziali o importanti. Questa estensione del campo di applicazione è stata una delle principali novità rispetto alla precedente direttiva NIS del 2016, e ha colto di sorpresa molte realtà imprenditoriali italiane che non si erano mai occupate strutturalmente di cybersicurezza. Il Rapporto Clusit 2024 ha evidenziato come l'Italia sia uno dei paesi europei maggiormente colpiti da attacchi informatici, con una crescita degli incidenti gravi che rende l'adeguamento normativo non solo un obbligo legale ma una necessità strategica reale.

In questo articolo analizziamo nel dettaglio le scadenze operative di maggio e giugno 2026, le novità introdotte dall'ACN sul portale di registrazione, e soprattutto come le PMI italiane devono affrontare la categorizzazione dei fornitori rilevanti: uno degli aspetti più sottovalutati e al tempo stesso più critici dell'intera compliance NIS2. Forniremo esempi concreti, consigli pratici e risponderemo alle domande più frequenti che ci vengono poste da imprenditori e responsabili aziendali in tutta Italia.

Le scadenze NIS2 di maggio e giugno 2026: cosa deve fare la tua azienda entro queste date

Il calendario degli adempimenti NIS2 in Italia si è strutturato su più fasi temporali, e il biennio 2025-2026 rappresenta il periodo più intenso dal punto di vista operativo. Dopo la prima finestra di registrazione aperta nel 2024, l'ACN ha definito nuovi cicli di adempimento che coinvolgono in modo più diretto le aziende classificate come soggetti importanti — la categoria che comprende la maggior parte delle PMI obbligate.

Nel dettaglio, entro il 31 maggio 2026 i soggetti che hanno completato la registrazione sul portale ACN devono procedere con l'aggiornamento delle informazioni relative alla propria infrastruttura tecnologica, ai referenti per la sicurezza informatica e — elemento cruciale — all'inventario dei fornitori di servizi ICT considerati rilevanti per la continuità operativa. Questa scadenza non è simbolica: la mancata comunicazione o l'aggiornamento incompleto espone l'azienda a sanzioni amministrative che per i soggetti importanti possono arrivare fino a 7 milioni di euro o il 1,4% del fatturato mondiale annuo, a seconda di quale importo risulti superiore.

Entro il 30 giugno 2026, invece, scatta l'obbligo di dimostrare l'avvio concreto delle misure di sicurezza minime previste dall'articolo 24 del D.Lgs. 138/2024. Non si tratta di certificare una conformità completa — quella è un percorso pluriennale — ma di documentare che l'azienda ha adottato un approccio sistematico alla gestione del rischio cyber. Le principali attività richieste includono:

  • Adozione di una politica di sicurezza delle informazioni formalizzata e approvata dal vertice aziendale
  • Completamento di una analisi del rischio basata su metodologie riconosciute (es. ISO 27005, NIST)
  • Definizione di procedure per la gestione degli incidenti di sicurezza e relativa notifica all'ACN entro 24 ore per gli incidenti significativi
  • Implementazione di misure di continuità operativa e disaster recovery proporzionate alla dimensione aziendale
  • Attivazione di controlli minimi per la sicurezza della supply chain digitale

Per una PMI con 50-100 dipendenti, questo non significa necessariamente investire cifre astronomiche. Significa però avere documentazione, processi e una persona chiaramente responsabile. Molte aziende si stanno rivolgendo a consulenti esterni o a Managed Security Service Provider (MSSP) per accelerare questo percorso senza dover assumere personale dedicato.

Il portale ACN aggiornato: novità operative per registrazione e adempimenti 2026

Il portale ACN per la NIS2 (accessibile tramite il sito ufficiale dell'Agenzia per la Cybersicurezza Nazionale) ha subito aggiornamenti significativi nel corso del 2025 per supportare le nuove fasi di compliance. Comprendere come utilizzarlo correttamente è fondamentale per non perdere scadenze o commettere errori formali che potrebbero comportare comunicazioni di inadempimento.

La principale novità introdotta nell'aggiornamento del portale riguarda la sezione dedicata alla supply chain: le aziende devono ora inserire e classificare i propri fornitori ICT all'interno di categorie predefinite, specificando la tipologia di servizio fornito, il livello di accesso ai sistemi aziendali e la criticità stimata per la continuità del business. Questo registro non è solo un adempimento formale: diventa la base su cui costruire una strategia concreta di gestione del rischio fornitore.

Un'altra novità rilevante riguarda il processo di notifica degli incidenti: il portale ora prevede un flusso guidato che differenzia tra pre-notifica (entro 24 ore dall'identificazione dell'incidente), notifica iniziale (entro 72 ore) e rapporto finale (entro un mese). Questo schema, allineato con le linee guida ENISA, semplifica la vita delle aziende rispetto alla gestione manuale delle comunicazioni, ma richiede che internamente ci siano processi chiari per identificare tempestivamente un incidente significativo.

  • Accesso al portale: tramite SPID o CIE del legale rappresentante o del soggetto delegato
  • Aggiornamento del profilo aziendale: verifica dei dati anagrafici, settore ATECO di riferimento e dimensione aziendale
  • Compilazione dell'inventario fornitori: nuova sezione obbligatoria con template scaricabile
  • Upload documentazione: possibilità di allegare policy, analisi del rischio e piani di continuità
  • Gestione deleghe: il legale rappresentante può delegare un responsabile tecnico per la gestione operativa del portale

Un consiglio pratico: prima di procedere con la compilazione, è opportuno raccogliere internamente tutte le informazioni sui sistemi IT in uso, i contratti con i fornitori tecnologici e la documentazione di sicurezza esistente. Affrontare il portale senza questa preparazione preliminare porta spesso a compilazioni incomplete che richiedono successive rettifiche.

Categorizzazione dei fornitori rilevanti: l'aspetto più critico per le PMI nella supply chain NIS2

La sicurezza della supply chain digitale è probabilmente l'aspetto della NIS2 più sottovalutato dalle PMI italiane e al tempo stesso quello che presenta i rischi più concreti. Secondo i dati ENISA riportati nel Threat Landscape 2024, gli attacchi che sfruttano vulnerabilità nei fornitori di terze parti rappresentano una quota crescente degli incidenti gravi a livello europeo. Non è un caso che la direttiva dedichi attenzione specifica a questo tema.

Cosa si intende per fornitore rilevante nel contesto NIS2? In estrema sintesi, è qualsiasi soggetto esterno che fornisce all'azienda servizi, tecnologie o componenti ICT il cui malfunzionamento o compromissione potrebbe impattare significativamente sulla sicurezza o continuità operativa del soggetto obbligato. Questa definizione comprende un perimetro molto ampio: dal provider cloud che ospita il gestionale aziendale, al fornitore del sistema di videosorveglianza IP, fino al consulente esterno con accesso remoto ai server.

Il processo di categorizzazione richiesto dall'ACN prevede di classificare ogni fornitore rilevante secondo criteri di:

  • Criticità del servizio: quanto è centrale il servizio fornito per le operazioni quotidiane dell'azienda?
  • Livello di accesso ai sistemi: il fornitore ha accesso diretto ai sistemi IT? In che misura?
  • Dati trattati: il fornitore gestisce dati sensibili o riservati dell'azienda o dei suoi clienti?
  • Sostituibilità: quanto tempo richiederebbe sostituire quel fornitore in caso di problemi?
  • Garanzie di sicurezza offerte: il fornitore dispone di certificazioni (es. ISO 27001) o ha accettato clausole contrattuali di sicurezza?

Un esempio pratico: una PMI manifatturiera di medie dimensioni potrebbe avere come fornitori rilevanti il proprio ERP in cloud, il provider di connettività internet, il sistema MES di gestione della produzione e la società che gestisce il backup dei dati. Ciascuno di questi va analizzato, classificato e inserito nel portale ACN con le relative informazioni. Se uno di questi fornitori subisce un attacco e questo si propaga all'azienda cliente, la PMI deve essere in grado di dimostrare di aver adottato misure proporzionate per mitigare quel rischio.

Dal punto di vista contrattuale, la NIS2 impone implicitamente una revisione dei contratti con i fornitori ICT rilevanti per includere clausole che garantiscano: notifica tempestiva in caso di incidenti di sicurezza, diritto di audit, adozione di misure minime di sicurezza certificate e responsabilità condivisa nella gestione degli incidenti. Molte PMI stanno scoprendo solo ora che i loro contratti esistenti con fornitori tecnologici sono del tutto silenti su questi temi.

Sanzioni NIS2 e rischi concreti per le PMI non conformi: un quadro chiaro

Parlare di sanzioni non significa alimentare inutile allarmismo: significa aiutare gli imprenditori a valutare correttamente il rischio di inazione. Il D.Lgs. 138/2024 prevede un sistema sanzionatorio articolato che distingue tra soggetti essenziali e soggetti importanti, con la maggior parte delle PMI obbligate che ricade nella seconda categoria.

Per i soggetti importanti, le sanzioni amministrative pecuniarie possono arrivare fino a 7 milioni di euro o all'1,4% del fatturato annuo mondiale dell'impresa. Non si tratta di sanzioni automatiche: il sistema prevede un'attività ispettiva da parte dell'ACN, con possibilità di ricevere prescrizioni e un periodo per adeguarsi prima dell'applicazione delle penalità più severe. Tuttavia, in caso di incidente grave seguito da una verifica che accerti la mancanza delle misure minime obbligatorie, le conseguenze economiche possono essere significative anche per una PMI.

Oltre alle sanzioni economiche dirette, esistono rischi collaterali spesso sottovalutati:

  • Responsabilità degli organi di amministrazione: la NIS2 prevede esplicitamente che i vertici aziendali siano personalmente responsabili dell'adeguamento. I consigli di amministrazione non possono delegare completamente questa responsabilità all'IT
  • Impatto sulla reputazione: un incidente reso noto, unito alla mancanza di conformità NIS2, può danneggiare la credibilità dell'azienda presso clienti e partner commerciali
  • Effetti sulle assicurazioni cyber: molti assicuratori stanno iniziando a richiedere evidenza di compliance NIS2 come condizione per la copertura o per il mantenimento dei premi
  • Requisiti delle grandi aziende clienti: le grandi imprese già soggette alla NIS2 come soggetti essenziali stanno inserendo nei loro contratti di fornitura clausole che richiedono ai fornitori (anche PMI) di dimostrare un adeguato livello di sicurezza informatica

Quest'ultimo punto merita attenzione particolare: molte PMI italiane che pensano di non essere direttamente obbligate dalla NIS2 si troveranno indirettamente costrette ad adeguarsi per mantenere i contratti con i clienti più importanti. È la dinamica della supply chain che si ripercuote a cascata lungo tutta la filiera produttiva e dei servizi.

Domande frequenti

La mia PMI è davvero obbligata dalla NIS2 o la normativa riguarda solo le grandi imprese?

Questa è la domanda più comune e la risposta non è sempre immediata. La NIS2, recepita in Italia con il D.Lgs. 138/2024, si applica alle organizzazioni che operano in settori considerati essenziali o importanti (energia, trasporti, sanità, infrastrutture digitali, manifattura avanzata, gestione dei rifiuti, settore alimentare e molti altri) e che superano determinate soglie dimensionali. In linea generale, le medie imprese (oltre 50 dipendenti o fatturato superiore a 10 milioni di euro) nei settori rilevanti sono incluse. Tuttavia, esistono categorie di soggetti obbligati indipendentemente dalla dimensione. Il modo più corretto per verificare la propria posizione è utilizzare il portale ACN o consultare un consulente specializzato in compliance NIS2, evitando di basarsi su interpretazioni generiche che potrebbero rivelarsi inesatte per la propria specifica situazione.

Cosa succede se non mi registro sul portale ACN entro le scadenze previste?

La mancata registrazione o il mancato aggiornamento delle informazioni entro le scadenze stabilite dall'ACN costituisce già di per sé un inadempimento sanzionabile. In una prima fase, l'Agenzia tipicamente procede con comunicazioni di sollecito e avvio di procedimenti ispettivi. Tuttavia, in caso di persistente inadempimento, specialmente se associato a un incidente di sicurezza, le sanzioni possono essere applicate in misura significativa. È importante sottolineare che la registrazione sul portale non è solo un adempimento burocratico: è il punto di partenza dell'intero percorso di compliance e consente all'ACN di classificare correttamente l'azienda e di fornire indicazioni operative specifiche per il proprio settore.

Quanto costa adeguarsi alla NIS2 per una PMI italiana di medie dimensioni?

Non esiste un costo standard, perché dipende fortemente dalla situazione di partenza dell'azienda in termini di maturità della sicurezza informatica. Per una PMI che parte quasi da zero, i costi di un percorso di adeguamento completo possono variare da poche decine di migliaia di euro (per interventi essenziali con supporto consulenziale esterno) a cifre più elevate se si devono implementare tecnologie significative. Tuttavia, è utile contestualizzare: molte delle misure richieste dalla NIS2 — backup affidabili, gestione delle patch, autenticazione multifattore, formazione del personale — sono investimenti che ogni azienda dovrebbe già aver fatto indipendentemente dall'obbligo normativo. La NIS2 fornisce un framework strutturato per fare ciò che era già necessario. I fondi del PNRR e alcuni bandi regionali possono inoltre supportare le PMI negli investimenti in cybersicurezza.

Come devo gestire i fornitori che non vogliono fornire informazioni sulla loro sicurezza informatica?

Questa è una situazione sempre più frequente e rivela uno dei cambiamenti culturali profondi che la NIS2 sta accelerando nel mercato italiano. Se un fornitore rilevante si rifiuta di fornire informazioni sulla propria postura di sicurezza o di accettare clausole contrattuali minime, questo comportamento deve essere considerato esso stesso un fattore di rischio da valutare e documentare. In pratica, le aziende obbligate dalla NIS2 devono inserire nel processo di selezione e valutazione dei fornitori ICT criteri di sicurezza informatica, richiedere la compilazione di questionari di autovalutazione, e preferire fornitori che dispongono di certificazioni riconosciute come la ISO 27001. In alcuni casi, potrebbe essere necessario considerare la sostituzione di fornitori che non sono in grado o non sono disposti a fornire garanzie adeguate.

Conclusione

Le scadenze di maggio e giugno 2026 per la NIS2 non sono lontane, e per le PMI italiane il tempo per affrontare questo percorso con la dovuta metodicità si sta riducendo. La buona notizia è che non si tratta di un muro invalicabile: con il giusto supporto, un'analisi onesta della propria situazione attuale e un piano di lavoro strutturato, anche le realtà più piccole possono raggiungere il livello di compliance richiesto senza stravolgere la propria organizzazione.

L'aggiornamento del portale ACN, la categorizzazione dei fornitori rilevanti e l'adozione delle misure minime di sicurezza sono passaggi concreti e realizzabili. Ciò che fa la differenza è iniziare adesso, non aspettare l'ultimo mese utile. La cybersicurezza non è più un argomento da delegare interamente all'ufficio IT o al consulente esterno: è una questione di governance aziendale che riguarda i vertici dell'impresa.

Se non sai da dove iniziare, se hai dubbi sulla tua posizione rispetto alla NIS2 o se hai bisogno di supporto per completare la registrazione sul portale ACN e strutturare il tuo piano di adeguamento, contatta oggi stesso un esperto IT specializzato in compliance NIS2. Un professionista qualificato può aiutarti a fare chiarezza in tempi brevi, identificare le priorità reali per la tua azienda e costruire un percorso sostenibile verso la conformità. Non aspettare che sia l'ACN a contattare te.