Il 2026 si avvicina e con esso arrivano scadenze concrete e vincolanti per migliaia di aziende italiane che rientrano nel perimetro della Direttiva NIS2 (Network and Information Security 2). Se fino ad oggi molte PMI hanno osservato la normativa da lontano, pensando che riguardasse solo le grandi imprese o le infrastrutture critiche dello Stato, è il momento di rivedere questa convinzione. Il decreto legislativo italiano di recepimento, il D.Lgs. 138/2024, ha esteso significativamente il campo di applicazione, coinvolgendo decine di migliaia di soggetti su tutto il territorio nazionale.

Per le piccole e medie imprese italiane — che rappresentano la spina dorsale del tessuto produttivo nazionale — la NIS2 non è più una questione teorica. Maggio e giugno 2026 segnano tappe fondamentali: la registrazione obbligatoria sulla piattaforma digitale gestita dall'Agenzia per la Cybersicurezza Nazionale (ACN), la verifica della propria categoria di appartenenza e, aspetto spesso sottovalutato, la corretta mappatura e categorizzazione dei fornitori rilevanti. Ignorare queste scadenze espone le aziende a sanzioni amministrative significative, oltre che a rischi reputazionali.

In questo articolo ti spieghiamo in modo chiaro e pratico cosa devi fare, quando devi farlo e come prepararti al meglio. Non è necessario essere un esperto di cybersecurity per comprendere questi adempimenti, ma è indispensabile non rimandare ulteriormente. Le prossime settimane sono decisive per organizzare le attività interne e, se necessario, affidarsi a professionisti qualificati che possano accompagnare l'azienda in questo percorso di conformità.

Cosa prevede la NIS2 e chi sono i soggetti obbligati tra le PMI italiane

La Direttiva NIS2, recepita in Italia con il D.Lgs. 138/2024, distingue due categorie principali di soggetti obbligati: i soggetti essenziali e i soggetti importanti. I primi operano in settori ad altissima criticità come energia, trasporti, banche, infrastrutture digitali e sanità. I secondi includono settori come servizi postali, gestione rifiuti, produzione alimentare, fabbricazione di dispositivi medici, chimica e fornitori di servizi digitali.

La novità rispetto alla precedente NIS1 è che il perimetro si è allargato enormemente. Non si parla più solo di grandi operatori nazionali: anche una PMI con almeno 50 dipendenti e un fatturato annuo superiore a 10 milioni di euro può rientrare nell'ambito applicativo, se opera in uno dei settori elencati negli allegati del decreto. Questo significa che un'azienda manifatturiera di medie dimensioni, un provider di servizi IT regionale o un'impresa che gestisce forniture per la pubblica amministrazione potrebbe essere soggetta agli obblighi NIS2 senza ancora saperlo.

È importante sottolineare che la classificazione non è automatica: spetta all'azienda stessa effettuare una autovalutazione e, successivamente, registrarsi sulla piattaforma ACN. Tra i criteri di inclusione rientrano:

  • Il settore di attività (verificato tramite codice ATECO)
  • Le dimensioni aziendali (numero di dipendenti e soglie di fatturato)
  • Il ruolo ricoperto nella catena di fornitura di servizi essenziali
  • La tipologia di infrastrutture digitali gestite

Le scadenze di maggio e giugno 2026: cosa fare e quando sul portale ACN

Il portale dedicato alla registrazione NIS2, accessibile tramite il sito istituzionale dell'ACN, rappresenta il punto di contatto ufficiale tra le aziende e l'autorità di vigilanza. Secondo il calendario attuativo definito dall'ACN, entro il 31 maggio 2026 i soggetti che ritengono di rientrare nell'ambito di applicazione devono completare la registrazione sulla piattaforma e inviare le informazioni richieste per la propria categorizzazione.

La procedura di registrazione richiede la raccolta e l'inserimento di una serie di dati aziendali precisi. In particolare, le PMI dovranno indicare:

  • Dati identificativi dell'azienda (ragione sociale, codice fiscale, sede legale)
  • Settore di appartenenza e codici ATECO pertinenti
  • Numero di dipendenti e dati economici aggiornati
  • Nominativo del punto di contatto designato per le comunicazioni con ACN
  • Descrizione dei servizi erogati e delle infrastrutture IT utilizzate
  • Informazioni sulle misure di sicurezza già adottate

Entro giugno 2026, l'ACN procederà alla notifica ufficiale della categoria assegnata a ciascun soggetto (essenziale o importante), con conseguente attivazione degli obblighi specifici in termini di misure di sicurezza, gestione degli incidenti e reporting. Le aziende categorizzate come soggetti essenziali saranno soggette a controlli più stringenti e dovranno adottare misure tecniche e organizzative più complete rispetto ai soggetti importanti.

Categorizzazione dei fornitori rilevanti: un aspetto critico spesso trascurato

Uno degli aspetti più complessi e spesso sottovalutati della NIS2 riguarda la gestione della catena di fornitura. La direttiva — e il suo recepimento italiano — non si limita a richiedere alle aziende obbligate di mettere in sicurezza i propri sistemi interni: impone anche di valutare e gestire i rischi provenienti dai fornitori rilevanti, ovvero quei partner commerciali e tecnologici il cui compromesso potrebbe avere impatti diretti sulla continuità operativa o sulla sicurezza dei dati.

Per una PMI italiana, questo si traduce in un'attività concreta di mappatura: chi sono i fornitori di software gestionale, di servizi cloud, di connettività, di manutenzione IT? Quali di questi gestiscono dati sensibili o hanno accesso privilegiato ai sistemi aziendali? La categorizzazione dei fornitori rilevanti deve essere documentata e aggiornata periodicamente, e deve essere parte integrante del sistema di gestione del rischio cyber dell'azienda.

Le azioni pratiche da intraprendere in questo ambito includono:

  • Mappare tutti i fornitori di servizi IT e tecnologici attivi
  • Valutare il livello di accesso di ciascun fornitore ai sistemi e ai dati aziendali
  • Richiedere ai fornitori rilevanti evidenza delle proprie misure di sicurezza (es. certificazioni ISO 27001, SOC 2)
  • Inserire clausole contrattuali specifiche sulla sicurezza informatica nei nuovi contratti e nelle rinnovazioni
  • Stabilire procedure di verifica periodica (audit di seconda parte) per i fornitori ad alto rischio

Un esempio pratico: un'azienda manifatturiera di 80 dipendenti che utilizza un ERP in cloud, un CRM gestito da un partner esterno e un servizio di backup remoto deve classificare ciascuno di questi fornitori in base al livello di rischio che rappresentano. Se il provider ERP gestisce anche i dati di produzione e ha accesso remoto ai sistemi, è certamente un fornitore rilevante di primo livello e deve essere trattato di conseguenza.

Come prepararsi concretamente: roadmap operativa per le PMI nei prossimi mesi

Il tempo stringe ma è ancora possibile organizzarsi in modo efficace. Le PMI che non hanno ancora avviato un percorso di conformità NIS2 devono agire con tempestività seguendo una roadmap strutturata. La buona notizia è che molti degli adempimenti richiesti dalla NIS2 coincidono con buone pratiche di cybersecurity che le aziende dovrebbero già adottare indipendentemente dagli obblighi normativi.

Una roadmap operativa ragionevole per i prossimi mesi potrebbe articolarsi in questi passaggi:

  1. Verifica di applicabilità (immediata): controllare se l'azienda rientra nei settori e nelle soglie dimensionali previste dal D.Lgs. 138/2024, consultando gli allegati del decreto e, se necessario, un consulente specializzato.
  2. Nomina del punto di contatto (entro marzo 2026): designare internamente una figura responsabile degli adempimenti NIS2, che si interfaccerà con l'ACN e coordinerà le attività interne.
  3. Gap analysis di cybersecurity (entro aprile 2026): valutare lo stato attuale delle misure di sicurezza adottate rispetto ai requisiti NIS2, identificando le lacune da colmare.
  4. Mappatura fornitori rilevanti (entro aprile 2026): completare la categorizzazione dei fornitori e avviare le interlocuzioni contrattuali necessarie.
  5. Registrazione sul portale ACN (entro 31 maggio 2026): completare la procedura di registrazione con tutti i dati richiesti.
  6. Implementazione misure di sicurezza (da giugno 2026 in poi): adottare progressivamente le misure tecniche e organizzative richieste dalla propria categoria di soggetto.

È importante ricordare che la NIS2 non richiede la perfezione immediata, ma un approccio sistematico e documentato alla gestione del rischio cyber. L'ACN ha chiarito che valuterà la proporzionalità delle misure rispetto alle dimensioni e alle risorse dell'azienda, ma questo non significa che le PMI possano ignorare gli obblighi: significa che le misure richieste devono essere adeguate al profilo di rischio specifico dell'organizzazione.

Domande frequenti

La mia PMI deve registrarsi anche se non sono sicuro di rientrare nel perimetro NIS2?

Sì, è fortemente consigliato effettuare comunque la verifica di applicabilità in modo formale e documentato. Il D.Lgs. 138/2024 prevede che siano le aziende stesse a valutare la propria posizione rispetto ai criteri di inclusione. Se dopo un'analisi approfondita si conclude di non rientrare nell'ambito applicativo, è importante conservare la documentazione di questa valutazione. In caso di dubbio, è preferibile registrarsi sulla piattaforma ACN e attendere la categorizzazione ufficiale piuttosto che rischiare di risultare inadempienti.

Cosa succede se non rispetto le scadenze di maggio-giugno 2026?

Il D.Lgs. 138/2024 prevede un sistema sanzionatorio articolato. Per i soggetti essenziali, le sanzioni amministrative possono arrivare fino a 10 milioni di euro o al 2% del fatturato annuo globale, se superiore. Per i soggetti importanti, il massimo scende a 7 milioni di euro o all'1,4% del fatturato. Oltre alle sanzioni economiche, l'ACN può disporre misure correttive, audit ispettivi e, nei casi più gravi, la sospensione temporanea dell'attività. È opportuno precisare che le sanzioni saranno graduate in base alla gravità della violazione e alla cooperazione dimostrata dall'azienda.

Come funziona praticamente il portale ACN per la registrazione NIS2?

Il portale ACN dedicato alla NIS2 è accessibile tramite il sito ufficiale dell'Agenzia per la Cybersicurezza Nazionale (acn.gov.it). La registrazione avviene tramite autenticazione con SPID o CIE (Carta d'Identità Elettronica) da parte del legale rappresentante o di un delegato formalmente autorizzato. Una volta effettuato l'accesso, l'azienda deve compilare un questionario strutturato che raccoglie tutte le informazioni necessarie per la categorizzazione. L'ACN ha previsto guide operative e FAQ sul proprio sito per supportare le aziende nella compilazione. Si consiglia di preparare in anticipo tutti i dati richiesti per evitare di interrompere il processo a metà.

La NIS2 si applica anche alle microimprese con meno di 50 dipendenti?

In linea generale, le microimprese (meno di 10 dipendenti, fatturato inferiore a 2 milioni di euro) e le piccole imprese (meno di 50 dipendenti, fatturato inferiore a 10 milioni di euro) sono escluse dall'applicazione automatica della NIS2. Tuttavia esistono eccezioni importanti: se una piccola impresa è l'unico fornitore di un servizio essenziale in Italia, se gestisce infrastrutture critiche o se è un fornitore rilevante per un soggetto essenziale già obbligato, potrebbe comunque rientrare nel perimetro. Inoltre, anche le aziende formalmente escluse potrebbero essere indirettamente coinvolte attraverso i requisiti contrattuali imposti dai clienti soggetti alla NIS2.

Conclusione

Le scadenze di maggio e giugno 2026 rappresentano un passaggio concreto e non rinviabile per le PMI italiane che operano nei settori coinvolti dalla Direttiva NIS2. Non si tratta di un adempimento burocratico fine a sé stesso: la NIS2 è un'opportunità per strutturare in modo più maturo e resiliente la gestione della sicurezza informatica aziendale, proteggendo il business da minacce cyber sempre più sofisticate e frequenti. Secondo i dati del Rapporto Clusit 2024, l'Italia è uno dei paesi europei più colpiti da attacchi informatici, con un incremento significativo degli incidenti gravi negli ultimi anni: adeguarsi alla NIS2 significa anche ridurre concretamente la propria esposizione al rischio.

Preparare la documentazione, registrarsi sul portale ACN, mappare i fornitori rilevanti e avviare una gap analysis di cybersecurity sono tutte attività che richiedono tempo, competenze specifiche e una visione organizzativa chiara. Non aspettare l'ultimo momento: ogni settimana che passa è una settimana in meno per organizzarsi in modo efficace e senza stress.

Hai bisogno di supporto per verificare se la tua azienda rientra nel perimetro NIS2, per completare la registrazione sul portale ACN o per avviare la categorizzazione dei tuoi fornitori rilevanti? Contatta oggi stesso un esperto IT specializzato in compliance e cybersecurity: potrai ottenere una prima valutazione della tua situazione e costruire insieme un piano d'azione realistico e adeguato alle dimensioni e alle risorse della tua impresa. Non rimandare: le scadenze sono vicine e prepararsi per tempo fa la differenza.