Il 2026 rappresenta un anno cruciale per migliaia di aziende italiane alle prese con la Direttiva NIS2 (Network and Information Security 2), recepita in Italia con il Decreto Legislativo 138/2024. Se fino a oggi molte PMI hanno osservato il processo da lontano, le scadenze di maggio e giugno 2026 cambiano radicalmente la situazione: da quel momento in poi, non registrarsi o non aggiornare correttamente la propria posizione sul portale dell'Agenzia per la Cybersicurezza Nazionale (ACN) potrebbe comportare sanzioni significative e responsabilità dirette per gli amministratori aziendali.

Il contesto è quello di una minaccia cyber in costante crescita. Secondo il Rapporto Clusit 2024, gli attacchi informatici gravi a livello globale sono aumentati in modo costante negli ultimi anni, con il settore manifatturiero, i servizi professionali e le infrastrutture critiche tra i più colpiti. Le PMI italiane, spesso prive di strutture IT dedicate, rappresentano un anello debole della catena di sicurezza digitale europea, motivo per cui la NIS2 amplia esplicitamente il perimetro di applicazione rispetto alla precedente direttiva NIS1, includendo anche le medie imprese di settori considerati essenziali o importanti.

Questo articolo vuole essere una guida pratica e aggiornata per imprenditori, responsabili IT e consulenti che devono orientarsi tra le scadenze imminenti, le funzionalità del portale ACN, e il tema — spesso sottovalutato — della categorizzazione dei fornitori rilevanti. Non si tratta di adempimenti burocratici fini a sé stessi: costruire una catena di fornitura digitale sicura è oggi una necessità competitiva oltre che un obbligo normativo.

Chi Rientra nella NIS2: Soggetti Essenziali e Importanti per le PMI Italiane

La prima domanda che ogni imprenditore si pone è: la mia azienda rientra nel perimetro NIS2? La risposta dipende da due variabili principali: il settore di attività e le dimensioni aziendali. La Direttiva NIS2, e il relativo decreto italiano di recepimento, distinguono tra soggetti essenziali (grandi imprese in settori ad alta criticità) e soggetti importanti (medie imprese o aziende in settori a criticità media).

I settori inclusi nell'Allegato I (soggetti essenziali) comprendono energia, trasporti, bancario, infrastrutture dei mercati finanziari, settore sanitario, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi ICT, pubblica amministrazione e spazio. I settori dell'Allegato II (soggetti importanti) includono, tra gli altri, servizi postali, gestione rifiuti, produzione e distribuzione di sostanze chimiche, produzione e distribuzione alimentare, industria manifatturiera di prodotti critici (dispositivi medici, elettronica, macchinari, veicoli), fornitori digitali e ricerca.

  • Grandi imprese: oltre 250 dipendenti oppure fatturato superiore a 50 milioni di euro e bilancio superiore a 43 milioni di euro.
  • Medie imprese: tra 50 e 250 dipendenti oppure fatturato tra 10 e 50 milioni di euro.
  • Piccole imprese: generalmente escluse, salvo eccezioni specifiche per criticità infrastrutturale o su designazione dell'ACN.

È importante sottolineare che anche alcune piccole imprese possono essere incluse nel perimetro se forniscono servizi critici per altri soggetti NIS2 o se l'ACN le identifica come rilevanti per la sicurezza nazionale. Questa è una delle novità più impattanti per l'ecosistema delle PMI: anche chi non rientra direttamente potrebbe essere obbligato a conformarsi per mantenere rapporti commerciali con clienti soggetti alla direttiva.

Il Portale ACN e le Scadenze di Maggio-Giugno 2026: Cosa Fare Concretamente

Il portale di registrazione ACN, accessibile tramite identità digitale (SPID o CIE), è lo strumento attraverso cui le aziende devono comunicare all'Agenzia per la Cybersicurezza Nazionale la propria appartenenza al perimetro NIS2. La registrazione non è opzionale: è un obbligo di legge con scadenze precise che le PMI devono rispettare.

Secondo il calendario definito dal D.Lgs. 138/2024 e dalle successive indicazioni operative dell'ACN, le scadenze principali del primo semestre 2026 riguardano l'aggiornamento dei dati di registrazione già inseriti nel 2025 e la conferma o modifica della classificazione come soggetto essenziale o importante. In particolare, entro i termini di maggio-giugno 2026, le aziende devono verificare e aggiornare informazioni fondamentali quali i recapiti del punto di contatto per le notifiche di incidente, i servizi erogati, le tecnologie critiche utilizzate e l'elenco aggiornato dei fornitori rilevanti.

  • Accedere al portale ACN con SPID o CIE aziendale.
  • Verificare la correttezza dei dati di profilazione già inseriti.
  • Aggiornare l'elenco dei servizi NIS2-rilevanti erogati.
  • Nominare o confermare il punto di contatto responsabile delle comunicazioni con ACN.
  • Compilare la sezione relativa ai fornitori di servizi ICT rilevanti.
  • Verificare l'allineamento con i requisiti minimi di sicurezza previsti dall'art. 24 del D.Lgs. 138/2024.

Un errore comune tra le PMI è quello di considerare la registrazione un evento una tantum. In realtà, il portale ACN è uno strumento dinamico e continuamente aggiornabile: le aziende hanno l'obbligo di notificare variazioni significative (cambio di fornitore critico, modifica dei servizi erogati, incidenti rilevanti) entro i termini previsti. La mancata notifica di un incidente significativo, ad esempio, può comportare sanzioni fino al 2% del fatturato globale annuo per i soggetti essenziali.

Categorizzazione dei Fornitori Rilevanti: Un Obbligo Spesso Sottovalutato

Uno degli aspetti più complessi — e più spesso trascurati — della conformità NIS2 per le PMI riguarda la gestione del rischio nella catena di fornitura. L'articolo 21 della Direttiva NIS2 impone ai soggetti obbligati di adottare misure di sicurezza che includano esplicitamente la valutazione dei rischi associati ai fornitori di servizi ICT, cloud, software e qualsiasi altro fornitore che abbia accesso ai sistemi informativi aziendali.

La categorizzazione dei fornitori rilevanti è il processo attraverso cui un'azienda classifica i propri fornitori in base al livello di criticità che rappresentano per la continuità operativa e la sicurezza dei dati. Non tutti i fornitori sono uguali: un fornitore di cancelleria e un fornitore di servizi cloud che ospita l'ERP aziendale hanno profili di rischio radicalmente diversi. La NIS2 richiede di formalizzare questa distinzione in modo documentato.

  • Fornitori critici di primo livello: accesso diretto ai sistemi core (ERP, CRM, infrastruttura cloud, firewall gestiti). Richiedono valutazioni di sicurezza approfondite, clausole contrattuali specifiche e audit periodici.
  • Fornitori rilevanti di secondo livello: accesso parziale o indiretto ai sistemi (software gestionali, piattaforme SaaS, fornitori di connettività). Richiedono dichiarazioni di conformità e revisione contrattuale.
  • Fornitori a basso rischio: nessun accesso ai sistemi informativi critici. Monitoraggio standard sufficiente.

Un esempio pratico: una PMI manifatturiera con 80 dipendenti che utilizza un gestionale in cloud per la contabilità, un fornitore di manutenzione dei macchinari con accesso remoto ai PLC e un provider di posta elettronica ha almeno tre fornitori da categorizzare come rilevanti. Per ciascuno, dovrà verificare che esistano accordi contrattuali che includano obblighi di sicurezza, procedure di notifica degli incidenti e diritto di audit. Questo lavoro, se fatto correttamente, richiede tempo e competenze specifiche, ma è essenziale per dimostrare la conformità in caso di ispezione.

Sanzioni, Responsabilità degli Amministratori e Impatto sul Business

La NIS2 introduce un regime sanzionatorio significativamente più severo rispetto alla precedente direttiva, e soprattutto introduce un elemento di assoluta novità per il contesto italiano: la responsabilità personale degli organi di amministrazione. Gli amministratori delegati, i consigli di amministrazione e i dirigenti con funzioni apicali possono essere ritenuti personalmente responsabili per la mancata implementazione delle misure di sicurezza previste.

Le sanzioni pecuniarie previste dal D.Lgs. 138/2024 sono differenziate in base alla categoria del soggetto. Per i soggetti essenziali, le sanzioni possono arrivare fino a 10 milioni di euro o al 2% del fatturato mondiale annuo (si applica il valore più alto). Per i soggetti importanti, il massimo è 7 milioni di euro o l'1,4% del fatturato mondiale annuo. Oltre alle sanzioni pecuniarie, l'ACN può disporre misure temporanee come la sospensione di certificazioni o autorizzazioni necessarie all'esercizio dell'attività.

Dal punto di vista del business, la conformità NIS2 sta diventando un requisito implicito nelle relazioni commerciali. Le grandi aziende e le pubbliche amministrazioni stanno inserendo clausole di conformità NIS2 nei capitolati di gara e nei contratti di fornitura. Una PMI non conforme rischia concretamente di perdere opportunità commerciali rilevanti, oltre alle sanzioni dirette. Investire nella conformità NIS2 non è quindi solo un obbligo normativo, ma una leva competitiva.

Domande Frequenti

Come faccio a sapere se la mia PMI rientra nel perimetro NIS2?

Il criterio principale è la combinazione tra settore di attività e dimensioni aziendali. Se la tua azienda opera in uno dei settori elencati negli Allegati I o II del D.Lgs. 138/2024 e supera le soglie dimensionali previste (almeno 50 dipendenti o 10 milioni di fatturato), è probabile che rientri nel perimetro. Tuttavia, anche alcune piccole imprese possono essere incluse su designazione dell'ACN. Il modo più sicuro per avere certezza è consultare il testo del decreto, verificare la propria posizione sul portale ACN o affidarsi a un consulente specializzato in cybersicurezza e conformità normativa.

La registrazione al portale ACN è già obbligatoria o inizia nel 2026?

La registrazione iniziale al portale ACN per i soggetti NIS2 italiani è stata avviata nel corso del 2025. Le scadenze di maggio-giugno 2026 riguardano principalmente l'aggiornamento, la verifica e la conferma dei dati già inseriti, nonché la compilazione di sezioni specifiche come la categorizzazione dei fornitori e l'elenco dei servizi erogati. Le aziende che non si sono ancora registrate nel 2025 devono farlo con urgenza, poiché le scadenze del 2026 presuppongono una registrazione già avvenuta. È fondamentale monitorare le comunicazioni ufficiali dell'ACN per eventuali aggiornamenti sui termini.

Cosa succede se non rispetto le scadenze di aggiornamento del portale ACN?

Il mancato rispetto delle scadenze di registrazione e aggiornamento costituisce una violazione degli obblighi previsti dal D.Lgs. 138/2024 e può comportare l'avvio di procedimenti sanzionatori da parte dell'ACN. Le sanzioni variano in base alla gravità della violazione e alla categoria del soggetto (essenziale o importante), ma possono essere molto significative. Oltre alle sanzioni pecuniarie, esiste il rischio di misure accessorie e di danni reputazionali, specialmente nei confronti di clienti e partner commerciali che richiedono garanzie di conformità NIS2.

Come posso gestire la categorizzazione dei fornitori senza un team IT interno?

Molte PMI italiane non dispongono di un responsabile della sicurezza informatica interno (CISO). In questi casi, la soluzione più efficace è affidarsi a consulenti esterni specializzati in cybersicurezza o a Managed Security Service Provider (MSSP) che offrono servizi di compliance NIS2 come parte del loro portfolio. Il processo di categorizzazione dei fornitori può essere avviato in modo semplice creando un inventario di tutti i fornitori che hanno accesso — fisico o remoto — ai sistemi informativi aziendali, assegnando a ciascuno un profilo di rischio basato sul tipo di accesso e sulla criticità del servizio fornito. Esistono anche framework e template documentali disponibili sul sito dell'ACN e di ENISA che possono guidare questo processo.

Conclusione

Le scadenze NIS2 di maggio-giugno 2026 non sono un evento lontano: sono alle porte, e le PMI italiane che non si sono ancora mosse hanno poco tempo per mettersi in regola. L'aggiornamento del portale ACN, la corretta categorizzazione dei fornitori rilevanti e l'implementazione delle misure di sicurezza previste dalla normativa richiedono un lavoro sistematico che non si improvvisa nelle ultime settimane. Il rischio non è solo sanzionatorio: è reputazionale, commerciale e — in caso di incidente cyber — operativo.

La buona notizia è che non devi affrontare questo percorso da solo. Esistono professionisti IT e consulenti specializzati in conformità NIS2 che possono guidare la tua azienda in ogni fase: dalla valutazione iniziale del perimetro di applicabilità, alla registrazione e aggiornamento sul portale ACN, fino alla definizione di politiche di sicurezza adeguate e alla gestione del rischio nella catena di fornitura.

Contatta oggi stesso un esperto IT specializzato in cybersicurezza e conformità NIS2 per ricevere una valutazione della tua situazione attuale e un piano di azione concreto. Non aspettare che la scadenza sia imminente: ogni settimana di ritardo aumenta il rischio di non riuscire a completare tutti gli adempimenti in tempo. La sicurezza della tua azienda — e la sua competitività sul mercato — dipendono anche da questa scelta.