Quattro mesi alla scadenza

Mancano poco più di quattro mesi al 31 ottobre 2026, data entro cui i soggetti già iscritti nell’elenco NIS dell’Agenzia per la Cybersicurezza Nazionale dovranno avere operative tutte le misure di sicurezza di base previste dagli Allegati 1 e 2 della Determinazione ACN n. 379907/2025. Con evidenze documentali dimostrabili, non solo dichiarazioni.

L’elenco provvisorio dei soggetti NIS supera ormai le 21.000 unità, di cui circa 5.000 qualificati come essenziali. È una platea enorme, mai vista prima in Italia per una normativa cyber, e copre diciotto settori: dall’energia ai trasporti, dalle banche alla sanità, dalla pubblica amministrazione alla manifattura critica, fino alla ricerca scientifica e ai servizi postali.

Cosa è davvero la NIS2 (in tre righe)

La Direttiva (UE) 2022/2555 – conosciuta come NIS2 – è stata recepita in Italia con il D.Lgs. 138/2024. Sostituisce e amplia la vecchia NIS, alza l’asticella delle misure di sicurezza obbligatorie, introduce sanzioni pesanti e – per la prima volta – chiede ai soggetti coinvolti di rispondere anche della sicurezza dei propri fornitori. È quest’ultimo punto a generare l’effetto a catena che molte aziende non hanno ancora messo a fuoco.

Il calendario delle scadenze 2026

Il primo semestre 2026 è stato uno tsunami di adempimenti. Il secondo lo sarà altrettanto. Ecco la timeline da tenere sotto controllo:

• 15 gennaio 2026 — Diventa pienamente operativo l’obbligo di notifica degli incidenti: pre-notifica al CSIRT Italia entro 24 ore, notifica completa entro 72 ore.
• 1° gennaio – 28 febbraio 2026 — Finestra annuale di registrazione e rinnovo dei soggetti nell’elenco NIS.
• 20 aprile 2026 — Determinazione ACN n. 155238 che definisce il modello di categorizzazione delle attività: dieci macro-aree, quattro categorie di rilevanza (impatto minimo, basso, medio, alto).
• 31 maggio 2026 — Termine per comunicare all’ACN i propri fornitori rilevanti.
• 30 giugno 2026 — Categorizzazione delle attività e servizi sulla piattaforma ACN.
• 31 ottobre 2026 — Scadenza finale: tutte le misure di sicurezza di base devono essere operative.

Soggetti essenziali e soggetti importanti: chi è chi

La NIS2 ha mandato in pensione la vecchia distinzione tra Operatori di Servizi Essenziali e Fornitori di Servizi Digitali. Al loro posto due categorie più ampie:

• Soggetti essenziali: operano nei settori più critici (energia, sanità, trasporti, banche, infrastrutture digitali, PA centrale). Devono adottare 43 misure articolate in 116 requisiti (Allegato 2 della Determinazione 379907/2025).
• Soggetti importanti: settori comunque rilevanti ma con minore impatto sistemico (servizi postali, gestione rifiuti, alimentare, prodotti chimici, manifatturiero, ricerca). Devono adottare 37 misure articolate in 87 requisiti (Allegato 1).

La classificazione dipende da settore, tipologia, dimensione e – quando previsto – individuazione esplicita da parte dell’autorità.

Il rebus supply chain: il vero punto critico

Qui si gioca la partita che molte PMI italiane non hanno ancora capito. La NIS2 obbliga i soggetti compresi nel suo perimetro a gestire i rischi della catena di approvvigionamento, includendo «i rapporti con i fornitori diretti e con i fornitori dei fornitori». In altre parole: se sei fornitore di un’azienda NIS2, anche tu finisci nel suo perimetro di rischio, e l’azienda è obbligata a verificarti.

Cosa significa in concreto?

• Inventario fornitori: ogni soggetto NIS2 deve redigere e mantenere aggiornato l’elenco dei fornitori che impattano sulla sicurezza dei propri sistemi informativi.
• Analisi del rischio per ogni fornitore: una metodologia documentata di valutazione, con segmentazione per tipologia di rischio.
• Clausole contrattuali specifiche: i contratti con i fornitori rilevanti devono includere obblighi di sicurezza conformi agli standard NIS2, clausole sulla gestione e notifica degli incidenti, livelli di servizio (SLA) in materia di sicurezza, e diritto di audit di secondo livello.
• Audit periodici: il committente NIS2 può verificare il fornitore, con conseguenze contrattuali in caso di inadempimento.

Il principio cardine, ribadito dall’ACN e dalla giurisprudenza europea, è chiaro: la responsabilità finale resta sempre in capo all’azienda NIS2. Per questo i soggetti regolati hanno tutto l’interesse a “girare la vite” sui fornitori, spesso anticipando la scadenza di ottobre con richieste di adeguamento già ora.

Risultato pratico: una PMI manifatturiera, software house, studio di consulenza o azienda di servizi IT che fornisce a un soggetto NIS2 si trova oggi a ricevere richieste contrattuali sulla cybersecurity. Spesso senza preparazione, senza budget specifico, senza referenti tecnici dedicati.

Le sanzioni: l’ordine di grandezza conta

Le sanzioni previste dal D.Lgs. 138/2024 sono articolate per categoria:

• Soggetti essenziali: fino a 10 milioni di euro oppure il 2% del fatturato mondiale annuo, se superiore.
• Soggetti importanti: fino a 7 milioni di euro oppure l’1,4% del fatturato mondiale annuo.

L’ACN ha già avviato nel primo trimestre 2026 le prime ispezioni e le prime sanzioni effettive. Non si tratta più di moral suasion: il rischio è reale e quantificato.

Cosa fare nei prossimi quattro mesi

Sintetizziamo una checklist operativa, valida sia per chi è direttamente NIS2 sia per chi è fornitore di soggetti NIS2:

1. Verifica se sei nell’elenco ACN. Se sì, completa la registrazione e la categorizzazione nei tempi (giugno per la categorizzazione, ottobre per le misure).
2. Mappa i tuoi clienti NIS2 (se sei fornitore). Anche solo per anticipare le richieste che riceverai nei prossimi mesi.
3. Avvia una gap analysis rispetto alle 37 o 43 misure base. Non serve farla tutta in casa: una valutazione esterna in poche settimane ti dice dove sei e cosa manca.
4. Definisci un piano di priorità. Non tutte le misure hanno lo stesso costo o lo stesso impatto: le evidenze documentali, la governance degli accessi, la gestione degli incidenti e la sicurezza dei fornitori sono quasi sempre i quattro pilastri più urgenti.
5. Forma le persone. La NIS2 prevede misure di awareness e training. Senza personale formato, qualsiasi misura tecnica perde la metà del suo valore.
6. Documenta tutto. L’ACN nelle prime ispezioni ha bocciato anche soggetti tecnicamente conformi ma incapaci di dimostrarlo per iscritto.

Una nota finale per le PMI

Per le PMI italiane il rischio principale non è la sanzione diretta – molte non rientrano formalmente nel perimetro NIS2 – ma la perdita di clienti corporate che, per conformarsi, devono restringere o sostituire i fornitori non in linea. È una pressione di mercato silenziosa ma già in atto: chi non si adegua viene gradualmente disqualificato.

La buona notizia: arrivare alla conformità è perfettamente possibile anche per organizzazioni piccole, se affrontata per priorità con un partner che conosce sia il quadro normativo sia la pratica tecnica.

Come possiamo aiutarti

In Mediaform supportiamo aziende ed enti con un percorso completo per la conformità NIS2: dalla gap analysis e l’implementazione delle misure di sicurezza, alla governance e definizione delle policy, fino alla formazione del personale e alla preparazione delle evidenze documentali richieste in caso di ispezione ACN.

Per una valutazione iniziale del posizionamento della tua organizzazione rispetto alla NIS2, scrivici a assistenza@media-form.it oppure contattaci.