Il 30 giugno 2026 si avvicina rapidamente e molte piccole e medie imprese italiane si trovano ancora impreparate di fronte a uno degli adempimenti di cybersicurezza più significativi degli ultimi anni. La Direttiva europea NIS2 (Network and Information Security 2), recepita in Italia con il Decreto Legislativo n. 138 del 4 agosto 2023, ha introdotto obblighi precisi per migliaia di organizzazioni operanti in settori considerati critici per l'economia e la società. Il punto di partenza obbligatorio per tutte le aziende potenzialmente soggette è la registrazione e categorizzazione sulla piattaforma dell'ACN, l'Agenzia per la Cybersicurezza Nazionale.

Molti imprenditori italiani pensano erroneamente che la NIS2 riguardi solo le grandi aziende o le multinazionali. In realtà, il decreto italiano ha ampliato significativamente la platea dei soggetti obbligati, includendo anche medie imprese che operano in settori come energia, trasporti, sanità, infrastrutture digitali, produzione manifatturiera avanzata, gestione dei rifiuti e molti altri. Secondo i dati diffusi da ACN, si stima che in Italia i soggetti potenzialmente coinvolti dalla normativa siano decine di migliaia, una cifra che rende questo adempimento un tema centrale per l'intero tessuto produttivo nazionale.

La scadenza del 30 giugno 2026 non rappresenta semplicemente un termine burocratico: è il momento entro cui le aziende devono completare la procedura di registrazione e categorizzazione sul portale ACN, ricevere la propria classificazione come soggetto essenziale o importante, e avviare concretamente il percorso di adeguamento ai requisiti di sicurezza informatica previsti dalla normativa. Ignorare questo obbligo espone le imprese a sanzioni amministrative significative e, soprattutto, a rischi reputazionali e operativi difficili da gestire a posteriori.

Cosa prevede la NIS2: obblighi concreti per le aziende italiane soggette alla direttiva

La Direttiva NIS2, rispetto alla sua predecessora NIS1, ha introdotto un approccio molto più prescrittivo e dettagliato. Non si tratta solo di dichiarare di occuparsi di cybersicurezza, ma di implementare misure tecniche e organizzative specifiche, proporzionate al rischio dell'organizzazione e alla propria classificazione. Il Decreto Legislativo 138/2023 distingue tra soggetti essenziali e soggetti importanti, con obblighi leggermente differenziati ma entrambi stringenti.

Tra i requisiti principali che le aziende dovranno soddisfare rientrano:

  • Gestione del rischio di cybersicurezza: le organizzazioni devono adottare politiche formali di analisi e gestione del rischio, non solo strumenti tecnologici.
  • Gestione degli incidenti: obbligo di notifica degli incidenti significativi all'ACN entro 24 ore dalla scoperta (notifica preliminare) e 72 ore per il rapporto dettagliato.
  • Continuità operativa: piani di business continuity e disaster recovery devono essere documentati e testati.
  • Sicurezza della supply chain: le aziende devono valutare i rischi legati ai propri fornitori e partner tecnologici.
  • Formazione e consapevolezza: il personale, incluso il management, deve ricevere formazione specifica sulla cybersicurezza.
  • Crittografia e controllo degli accessi: utilizzo di soluzioni tecniche adeguate per proteggere dati e sistemi.

Un aspetto spesso sottovalutato è la responsabilità diretta degli organi di amministrazione. La NIS2 italiana prevede esplicitamente che i vertici aziendali siano coinvolti e responsabili dell'adeguamento: non è più possibile delegare tutto all'IT manager senza che la direzione ne abbia piena contezza. Questo rappresenta un cambiamento culturale oltre che normativo.

Chi deve registrarsi entro il 30 giugno 2026: come capire se la tua PMI è soggetta NIS2

Determinare se la propria azienda rientra nell'ambito applicativo della NIS2 è il primo passo fondamentale. Il decreto italiano prevede che debbano registrarsi i soggetti che operano in uno dei settori ad alta criticità (allegato I del decreto) o nei settori critici (allegato II) e che rispettino determinati requisiti dimensionali.

In linea generale, sono soggette alla normativa le medie imprese (con almeno 50 dipendenti o fatturato annuo superiore a 10 milioni di euro) operanti nei settori rilevanti. Tuttavia, esistono eccezioni importanti: alcune categorie di soggetti sono incluse indipendentemente dalle dimensioni, come i fornitori di reti pubbliche di comunicazione elettronica, i prestatori di servizi fiduciari qualificati, i registri dei nomi di dominio di primo livello e altri operatori specifici. I settori ad alta criticità includono:

  • Energia (elettricità, gas, petrolio, idrogeno, teleriscaldamento)
  • Trasporti (aereo, ferroviario, navale, stradale)
  • Settore bancario e infrastrutture dei mercati finanziari
  • Sanità e produzione farmaceutica
  • Acqua potabile e acque reflue
  • Infrastrutture digitali e servizi ICT
  • Pubblica amministrazione
  • Spazio

I settori critici dell'allegato II aggiungono ulteriori ambiti come servizi postali, gestione dei rifiuti, produzione e distribuzione di prodotti chimici, produzione di dispositivi medici, industria alimentare, manifatturiero avanzato (automotive, aerospazio, macchinari industriali) e fornitori di servizi digitali come motori di ricerca, piattaforme di social network e marketplace online. Il consiglio pratico è di non fare valutazioni fai-da-te: verificare la propria posizione con il supporto di un consulente esperto o direttamente attraverso il portale ACN è la scelta più sicura.

Il processo di registrazione e categorizzazione ACN: passo dopo passo

L'ACN ha predisposto una piattaforma digitale dedicata attraverso cui le aziende devono effettuare la propria registrazione. Il processo, sebbene supportato da guide operative dell'Agenzia, richiede una preparazione adeguata per essere completato correttamente. Affrontarlo all'ultimo momento rischia di generare errori nella categorizzazione che potrebbero avere conseguenze normative.

Le fasi principali del processo di registrazione includono:

  1. Verifica preliminare dell'ambito: analisi interna per determinare se e in quali settori l'azienda opera tra quelli previsti dagli allegati del decreto.
  2. Raccolta dei dati aziendali: informazioni su dimensione aziendale, fatturato, numero di dipendenti, servizi erogati, infrastrutture e sistemi informatici utilizzati.
  3. Accesso alla piattaforma ACN: registrazione tramite SPID o CIE e compilazione del questionario di autovalutazione.
  4. Invio della registrazione: completamento e invio entro il termine del 30 giugno 2026.
  5. Ricezione della categorizzazione: ACN comunicherà all'azienda se è classificata come soggetto essenziale o importante.
  6. Avvio del percorso di adeguamento: sulla base della classificazione ricevuta, l'azienda dovrà implementare le misure richieste nei tempi previsti.

È importante sottolineare che la registrazione è solo il punto di partenza. Le misure di sicurezza dovranno essere implementate progressivamente, ma prima si avvia il percorso di adeguamento, più gestibile sarà il carico di lavoro tecnico e organizzativo. Aziende che aspettano di ricevere la categorizzazione per iniziare qualsiasi attività rischiano di trovarsi in una situazione di forte pressione temporale.

Sanzioni e rischi concreti per le PMI che non si adeguano alla NIS2

Le sanzioni previste dal Decreto Legislativo 138/2023 sono significative e calibrate sulla gravità delle violazioni. Per i soggetti essenziali, le sanzioni amministrative possono arrivare fino a 10 milioni di euro o al 2% del fatturato mondiale annuo totale, se superiore. Per i soggetti importanti, il massimo è di 7 milioni di euro o l'1,4% del fatturato mondiale. Si tratta di cifre che per una PMI possono rappresentare un rischio esistenziale.

Oltre alle sanzioni economiche dirette, le aziende non conformi rischiano:

  • La sospensione temporanea delle certificazioni o autorizzazioni necessarie all'esercizio dell'attività.
  • L'interdizione temporanea dei soggetti responsabili dall'esercizio di funzioni dirigenziali.
  • Gravi danni reputazionali in caso di incidenti non gestiti correttamente o notificati in ritardo.
  • Responsabilità civile nei confronti di clienti e partner danneggiati da incidenti di sicurezza.
  • Esclusione da gare d'appalto pubbliche e da filiere di fornitura di grandi aziende già conformi.

Quest'ultimo punto merita un'attenzione particolare: molte grandi aziende italiane già soggette alla NIS2 stanno iniziando a richiedere ai propri fornitori e partner garanzie di conformità. Una PMI non registrata e non adeguata rischia di perdere contratti importanti, al di là delle sanzioni formali previste dalla normativa. Il tema della sicurezza nella supply chain è esplicitamente richiamato dalla NIS2 come obbligo per i soggetti regolamentati, il che si traduce in una cascata di requisiti verso i fornitori.

Domande frequenti

Come faccio a sapere se la mia azienda è davvero soggetta alla NIS2?

Il modo più corretto per determinarlo è analizzare i servizi erogati dalla vostra azienda confrontandoli con gli allegati I e II del Decreto Legislativo 138/2023, verificando contestualmente i requisiti dimensionali (generalmente medie imprese con almeno 50 dipendenti o 10 milioni di fatturato). L'ACN ha messo a disposizione documentazione di supporto sul proprio portale istituzionale. Tuttavia, data la complessità della norma e le conseguenze di un'errata valutazione, il consiglio è di rivolgersi a un consulente specializzato in cybersicurezza e compliance normativa per una verifica professionale. Ricordate che anche non registrarsi quando si dovrebbe è una violazione sanzionabile.

Cosa succede se non mi registro entro il 30 giugno 2026?

La mancata registrazione entro il termine previsto costituisce una violazione della normativa e può essere oggetto di sanzioni amministrative da parte delle autorità competenti. ACN ha poteri di vigilanza, ispezione e sanzione. Oltre alla sanzione economica, la mancata registrazione impedisce all'azienda di ricevere la propria classificazione e di avviare formalmente il percorso di adeguamento, creando un ritardo complessivo che aumenta l'esposizione al rischio. È importante agire per tempo: non aspettare l'ultimo momento, perché la piattaforma potrebbe essere congestionata nei giorni prossimi alla scadenza e potrebbero emergere difficoltà tecniche o di completamento dei dati richiesti.

Quanto costa adeguarsi alla NIS2 per una PMI?

I costi di adeguamento variano significativamente in base alla situazione di partenza dell'azienda, al settore di appartenenza e alla propria classificazione come soggetto essenziale o importante. Un'azienda che ha già implementato buone pratiche di sicurezza informatica, come sistemi di backup strutturati, politiche di accesso, antivirus gestito e formazione del personale, avrà un gap minore da colmare. In linea generale, il costo comprende una fase di gap analysis e consulenza per identificare le aree di miglioramento, gli investimenti tecnologici necessari (strumenti di monitoraggio, sistemi di autenticazione forte, soluzioni di backup e recovery), la formazione del personale e la produzione di documentazione formale (politiche, procedure, piani). Investire oggi nell'adeguamento è più conveniente che pagare sanzioni domani, senza contare che molte delle misure richieste migliorano concretamente la resilienza operativa dell'azienda.

Chi è responsabile dell'adeguamento NIS2 in azienda?

La NIS2 stabilisce chiaramente che la responsabilità ricade sugli organi di amministrazione della società, ovvero sul Consiglio di Amministrazione, sull'Amministratore Delegato o sul titolare nel caso di imprese individuali o strutture più semplici. Non è sufficiente delegare tutto al responsabile IT interno o a un fornitore esterno: la direzione aziendale deve essere informata, coinvolta e formata sui rischi di cybersicurezza. Questo non significa che il management debba diventare tecnico, ma che deve comprendere i rischi principali, approvare le politiche di sicurezza e assicurarsi che le risorse necessarie per l'adeguamento siano allocate. In caso di violazioni gravi, la norma prevede la possibilità di interdizione temporanea dalle funzioni dirigenziali per i responsabili.

Conclusione

La scadenza del 30 giugno 2026 per la registrazione e categorizzazione ACN nell'ambito della NIS2 non è un appuntamento che le PMI italiane possono permettersi di ignorare o rimandare. Si tratta di un obbligo normativo con sanzioni concrete, ma soprattutto di un'opportunità per strutturare la propria postura di sicurezza informatica in modo maturo e consapevole, riducendo il rischio di incidenti che, secondo i dati del Rapporto Clusit, continuano ad aumentare per numero e gravità anche in Italia.

Il percorso corretto inizia ora: verificare se la propria azienda rientra nell'ambito applicativo, raccogliere le informazioni necessarie, completare la registrazione sulla piattaforma ACN e avviare una gap analysis per capire dove si è e cosa manca per essere pienamente conformi. Ogni settimana di ritardo rende il percorso più difficile e costoso.

Non aspettare che sia troppo tardi. Contatta oggi stesso un esperto di cybersicurezza e compliance normativa per una valutazione della tua situazione rispetto alla NIS2. Un professionista qualificato potrà guidarti nella verifica dell'ambito applicativo, nel processo di registrazione ACN e nella definizione di un piano di adeguamento realistico e proporzionato alle dimensioni e alle risorse della tua azienda. La cybersicurezza non è più una scelta: è un requisito di business.