Il 2026 rappresenta un anno cruciale per migliaia di aziende italiane che si trovano ad affrontare le scadenze operative della Direttiva NIS2 (Network and Information Security 2), recepita in Italia con il Decreto Legislativo 138/2024. Se fino a qualche mese fa il tema sembrava lontano o riservato alle grandi imprese, oggi la realtà è ben diversa: molte PMI italiane rientrano nell'ambito di applicazione della normativa, con obblighi concreti che devono essere rispettati entro date precise, pena sanzioni significative e responsabilità dirette per i vertici aziendali.

La direttiva europea NIS2 ha ampliato enormemente il perimetro dei soggetti obbligati rispetto alla precedente NIS1, includendo non solo operatori di servizi essenziali ma anche aziende di medie dimensioni operanti in settori considerati critici per l'economia e la sicurezza nazionale. In Italia, l'Agenzia per la Cybersicurezza Nazionale (ACN) è il soggetto competente per l'attuazione della normativa, e ha predisposto un portale dedicato attraverso cui le organizzazioni devono procedere con la propria registrazione, autovalutazione e comunicazione degli incidenti. Per molti imprenditori e responsabili IT di PMI, navigare questo scenario normativo può sembrare complesso, ma con le informazioni giuste è possibile affrontarlo in modo strutturato.

In questo articolo analizziamo nel dettaglio le scadenze di maggio e giugno 2026, gli adempimenti pratici che le PMI devono completare, le modalità di utilizzo del portale ACN e le implicazioni della categorizzazione dei fornitori. L'obiettivo è offrire una guida operativa, chiara e aggiornata, che aiuti imprenditori e responsabili IT a pianificare le azioni necessarie senza incorrere in ritardi o sanzioni.

Chi Sono i Soggetti Obbligati NIS2: PMI Italiane nei Settori Critici

Uno degli aspetti più rilevanti della NIS2 rispetto alla precedente direttiva è proprio l'estensione del perimetro. La normativa distingue tra soggetti essenziali e soggetti importanti, e in entrambi i casi possono rientrare anche aziende di dimensioni medie. In Italia, il Decreto Legislativo 138/2024 ha recepito questa distinzione, identificando i settori di applicazione e le soglie dimensionali.

I settori ad alta criticità includono, tra gli altri: energia, trasporti, settore bancario e infrastrutture finanziarie, sanità, acqua potabile e acque reflue, infrastrutture digitali, pubblica amministrazione e spazio. I settori critici aggiuntivi comprendono: servizi postali e di corriere, gestione dei rifiuti, produzione e distribuzione di prodotti chimici, produzione e distribuzione alimentare, fabbricazione di dispositivi medici, informatica ed elettronica, ingegneria meccanica, autoveicoli, fornitori digitali e ricerca scientifica.

Per quanto riguarda le soglie dimensionali, sono generalmente incluse le organizzazioni con almeno 50 dipendenti o con un fatturato annuo superiore a 10 milioni di euro, purché operino nei settori elencati. Tuttavia, esistono eccezioni: alcune tipologie di soggetti, come fornitori di servizi DNS, registri di nomi di dominio TLD e fornitori di servizi cloud, sono inclusi indipendentemente dalle dimensioni. È quindi fondamentale che ogni PMI verifichi attentamente la propria posizione prima delle scadenze.

  • Soggetti essenziali: grandi operatori nei settori ad alta criticità, con obblighi più stringenti e vigilanza ex-ante da parte di ACN
  • Soggetti importanti: medie imprese nei settori critici, con obblighi analoghi ma vigilanza principalmente ex-post
  • Esclusioni parziali: microimprese (meno di 10 dipendenti, fatturato sotto 2 milioni) generalmente escluse, salvo eccezioni specifiche
  • Filiere e fornitori: anche le aziende non direttamente incluse possono essere coinvolte come parte della supply chain di un soggetto obbligato

Scadenze Maggio-Giugno 2026: Il Calendario degli Adempimenti NIS2 per le PMI

Il calendario operativo NIS2 in Italia prevede una serie di scadenze progressive, con alcune date particolarmente rilevanti concentrate tra maggio e giugno 2026. Queste scadenze riguardano principalmente la registrazione sul portale ACN, l'autovalutazione del livello di rischio e la comunicazione delle informazioni richieste dall'Agenzia. È importante sottolineare che le scadenze possono essere soggette ad aggiornamenti da parte di ACN, quindi è essenziale monitorare costantemente il sito ufficiale dell'Agenzia.

Il processo di registrazione al portale ACN è il primo adempimento formale richiesto alle organizzazioni che ritengono di rientrare nell'ambito di applicazione della normativa. Attraverso questo portale, le aziende devono fornire informazioni sulla propria struttura, sui servizi erogati, sulle misure di sicurezza adottate e sui referenti responsabili della cybersicurezza. La designazione di un punto di contatto e, nei casi previsti, di un Responsabile della Sicurezza delle Informazioni (CISO), è parte integrante di questo processo.

Ecco una sintesi degli adempimenti principali da completare entro le scadenze di primavera 2026:

  • Registrazione sul portale ACN: identificazione dell'organizzazione e del settore di appartenenza, designazione del punto di contatto ufficiale
  • Autovalutazione del rischio: compilazione del questionario di autovalutazione sulla maturità cyber dell'organizzazione
  • Notifica delle informazioni di base: trasmissione dei dati richiesti da ACN su infrastrutture, asset critici e misure di sicurezza in uso
  • Nomina del responsabile NIS2: identificazione formale del soggetto responsabile degli adempimenti normativi all'interno dell'organizzazione
  • Verifica della categorizzazione: conferma o contestazione della propria classificazione come soggetto essenziale o importante

Per una PMI che non ha ancora avviato questo processo, il tempo stringe. È consigliabile iniziare immediatamente con una gap analysis interna per identificare i requisiti mancanti e pianificare le azioni correttive con sufficiente anticipo rispetto alle scadenze formali.

Il Portale ACN NIS2: Come Registrarsi e Gestire gli Obblighi Digitali

Il portale ACN dedicato alla NIS2 è lo strumento centrale attraverso cui le organizzazioni italiane interagiscono con l'Agenzia per la Cybersicurezza Nazionale per tutti gli adempimenti previsti dalla normativa. L'accesso avviene tramite SPID o CIE (Carta d'Identità Elettronica) del legale rappresentante o del soggetto delegato, garantendo così l'identificazione certa del dichiarante e la validità legale delle comunicazioni.

Una volta effettuato l'accesso, l'organizzazione deve completare una serie di passaggi guidati che includono: l'inserimento dei dati anagrafici e strutturali dell'azienda, la selezione del settore e sotto-settore di appartenenza secondo la tassonomia NIS2, la descrizione dei servizi erogati considerati rilevanti ai fini della normativa, e la compilazione del modulo di autovalutazione del livello di maturità in materia di cybersicurezza. Questo processo, sebbene guidato, richiede una buona conoscenza dell'infrastruttura IT aziendale e delle misure di sicurezza già in essere.

Un aspetto pratico importante: il portale richiede informazioni dettagliate sulle misure tecniche e organizzative adottate per la gestione del rischio cyber. Per una PMI che non ha mai formalizzato queste procedure, potrebbe essere necessario un lavoro preparatorio significativo. Le aree su cui ACN richiede informazioni includono tipicamente:

  • Politiche di sicurezza delle informazioni formalmente documentate
  • Procedure di gestione degli incidenti e dei data breach
  • Piani di continuità operativa e disaster recovery
  • Misure di controllo degli accessi e autenticazione
  • Procedure di aggiornamento e patch management dei sistemi
  • Formazione del personale in materia di cybersicurezza
  • Gestione della sicurezza nella supply chain

Categorizzazione dei Fornitori NIS2: Gestione della Supply Chain per le PMI

Uno degli aspetti più complessi e spesso sottovalutati della NIS2 riguarda la gestione della sicurezza nella catena di fornitura. La direttiva impone ai soggetti obbligati di valutare e gestire i rischi di cybersicurezza che derivano dai propri fornitori e partner tecnologici, introducendo di fatto un obbligo di due diligence esteso all'intera supply chain. Questo significa che una PMI classificata come soggetto NIS2 deve analizzare e categorizzare i propri fornitori in base al livello di rischio che rappresentano per la continuità e sicurezza dei propri servizi.

La categorizzazione dei fornitori si basa su criteri quali: la criticità del servizio o prodotto fornito rispetto alle operazioni aziendali, il livello di accesso che il fornitore ha ai sistemi e ai dati dell'organizzazione, il grado di dipendenza operativa dall'azienda fornitrice e il profilo di rischio cyber del fornitore stesso. In pratica, un fornitore di software gestionale che ha accesso remoto ai sistemi aziendali sarà classificato con un livello di rischio ben diverso da un fornitore di materiale d'ufficio.

Dal punto di vista operativo, le PMI devono strutturare un processo di vendor risk management che includa almeno i seguenti elementi:

  • Inventario dei fornitori critici: mappatura di tutti i fornitori che hanno accesso a sistemi, dati o infrastrutture rilevanti
  • Questionari di sicurezza: valutazione del livello di maturità cyber dei fornitori tramite questionari standardizzati
  • Clausole contrattuali NIS2: inserimento nei contratti di fornitura di clausole specifiche sulla sicurezza informatica e sulla notifica degli incidenti
  • Monitoraggio continuo: revisione periodica del profilo di rischio dei fornitori, almeno annuale
  • Piano di risposta agli incidenti della supply chain: procedure per gestire incidenti che coinvolgano i fornitori

Per molte PMI italiane, questo rappresenta un cambiamento culturale oltre che operativo. Lavorare con fornitori IT storici senza contratti formali aggiornati, o affidarsi a soluzioni cloud senza verificare le certificazioni di sicurezza del provider, sono situazioni comuni che la NIS2 impone di affrontare e risolvere. Il consiglio pratico è di iniziare dalla mappatura dei fornitori più critici — tipicamente quelli che gestiscono ERP, CRM, infrastruttura cloud e servizi di rete — e procedere per priorità.

Sanzioni NIS2 e Responsabilità dei Vertici Aziendali: Cosa Rischiano le PMI

Comprendere le sanzioni previste dalla normativa NIS2 è fondamentale per motivare un'azione tempestiva da parte dei vertici aziendali. Il Decreto Legislativo 138/2024 prevede un regime sanzionatorio articolato, con importi che variano in funzione della classificazione del soggetto (essenziale o importante) e della gravità della violazione. Per i soggetti essenziali, le sanzioni amministrative possono arrivare fino al 2% del fatturato mondiale annuo o a 10 milioni di euro (si applica il maggiore dei due importi). Per i soggetti importanti, il massimo è pari all'1,4% del fatturato mondiale annuo o a 7 milioni di euro.

Ma l'aspetto forse più rilevante per le PMI è la responsabilità personale dei vertici aziendali. La NIS2 introduce esplicitamente la possibilità che gli organi di gestione — amministratori delegati, consigli di amministrazione, soci con poteri gestionali — possano essere ritenuti personalmente responsabili in caso di violazioni gravi derivanti da negligenza o mancata supervisione. Questo significa che la cybersicurezza non è più solo un problema dell'IT manager, ma una responsabilità diretta del management.

Le violazioni più frequentemente sanzionate riguardano tipicamente: la mancata registrazione presso ACN nei termini previsti, la mancata o tardiva notifica degli incidenti significativi, l'assenza di misure tecniche e organizzative adeguate, e la mancata collaborazione con le attività di vigilanza di ACN. Per una PMI, evitare queste situazioni richiede un investimento in conformità che, se fatto in modo strutturato, porta benefici concreti anche in termini di resilienza operativa e fiducia dei clienti.

Domande Frequenti

Come faccio a sapere se la mia PMI rientra nell'ambito di applicazione della NIS2?

Il primo passo è verificare se la tua azienda opera in uno dei settori elencati negli allegati del Decreto Legislativo 138/2024 e se supera le soglie dimensionali previste (generalmente 50 dipendenti o 10 milioni di euro di fatturato). ACN ha pubblicato sul proprio sito ufficiale strumenti di autovalutazione e guide operative. In caso di dubbio, è fortemente consigliabile consultare un consulente specializzato in conformità NIS2, poiché le conseguenze di una valutazione errata possono essere significative in entrambe le direzioni: non registrarsi quando si è obbligati espone a sanzioni, ma anche gli oneri di conformità non necessari rappresentano un costo evitabile.

Cosa succede se non rispetto le scadenze di registrazione al portale ACN?

La mancata registrazione entro i termini previsti costituisce una violazione degli obblighi NIS2 e può comportare l'avvio di procedimenti sanzionatori da parte di ACN. Le sanzioni, come descritto nell'articolo, possono essere molto significative in proporzione al fatturato aziendale. Oltre alla sanzione economica, la mancata conformità può avere impatti reputazionali, in particolare nei confronti di clienti e partner che richiedono garanzie sulla sicurezza della supply chain. In caso di ritardo, è comunque consigliabile procedere alla registrazione il prima possibile e, se necessario, comunicare proattivamente con ACN.

La mia azienda non è obbligata dalla NIS2, ma lavoro come fornitore di un'azienda che lo è: cosa devo fare?

Anche se non sei direttamente soggetto agli obblighi NIS2, il tuo cliente obbligato dovrà valutare e gestire il rischio che tu rappresenti come fornitore. Questo significa che potresti ricevere richieste di compilare questionari di sicurezza, firmare addendum contrattuali con clausole NIS2, fornire evidenza di certificazioni o standard di sicurezza adottati, e impegnarti a notificare eventuali incidenti che potrebbero impattare il tuo cliente. Adottare buone pratiche di cybersicurezza e documentarle formalmente ti renderà un fornitore più affidabile e competitivo sul mercato.

Quali misure tecniche minime devo adottare per essere conforme alla NIS2?

La NIS2 non prescrive tecnologie specifiche ma richiede l'adozione di misure proporzionate al rischio. Le aree minime da coprire includono: una politica di sicurezza delle informazioni documentata e approvata dal management, l'autenticazione a più fattori (MFA) per l'accesso ai sistemi critici, procedure di backup e ripristino testate regolarmente, un piano di gestione degli incidenti con procedure di notifica, la cifratura dei dati sensibili in transito e a riposo, la gestione delle patch e degli aggiornamenti di sicurezza, e la formazione periodica del personale. Per una PMI senza un team IT dedicato, affidarsi a un Managed Security Service Provider (MSSP) può essere la soluzione più efficiente ed economicamente sostenibile.

Conclusione

Le scadenze NIS2 di maggio e giugno 2026 non sono più un orizzonte lontano: sono una realtà operativa che richiede azione immediata da parte di migliaia di PMI italiane. Registrarsi sul portale ACN, completare l'autovalutazione, strutturare la gestione dei fornitori e adottare le misure tecniche minime richieste sono passaggi concreti che ogni organizzazione obbligata deve affrontare con serietà e pianificazione. Il rischio di ignorare questi adempimenti non è solo quello di una sanzione economica, ma di una vulnerabilità reale che può compromettere la continuità operativa e la fiducia dei clienti.

La buona notizia è che affrontare la conformità NIS2 in modo strutturato porta benefici tangibili: maggiore resilienza cyber, processi IT più robusti, e un posizionamento competitivo più forte in mercati dove la sicurezza della supply chain è sempre più un requisito di business, non solo normativo. Il percorso non deve essere affrontato da soli: esistono professionisti e consulenti specializzati che possono guidare la tua azienda attraverso ogni fase del processo.

Hai bisogno di supporto per valutare se la tua azienda rientra negli obblighi NIS2, per completare la registrazione al portale ACN o per strutturare la gestione della supply chain cyber? Contatta subito un esperto IT specializzato in conformità NIS2: un'analisi tempestiva oggi può farti risparmiare tempo, denaro e rischi legali domani.