Il 2026 è l’anno della verità per la direttiva NIS2. Dopo la fase di registrazione del 2025, le oltre 20.000 organizzazioni inserite nel perimetro NIS devono ora passare dalla compliance formale a quella sostanziale. Non basta più essere nell’elenco: bisogna dimostrare di aver implementato misure concrete di sicurezza informatica.
Questo articolo fornisce una guida operativa completa: quali sono gli obblighi, quando scadono, cosa fare concretamente. Un calendario che ogni responsabile IT, DPO o dirigente dovrebbe avere sulla scrivania.
Cos’è la NIS2 e perché riguarda la tua organizzazione
La NIS2 (Direttiva UE 2022/2555) è la normativa europea che ridefinisce gli standard di cybersecurity per i settori critici. L’Italia l’ha recepita con il decreto legislativo 138/2024, in vigore dal 16 ottobre 2024. ACN – pagina ufficiale obblighi NIS.
La novità principale rispetto alla precedente NIS1: il perimetro si è enormemente allargato. Si passa da 8 a 18 settori, e il criterio di inclusione diventa automatico per le organizzazioni che superano determinate soglie dimensionali.
Chi rientra nel perimetro NIS2:
I soggetti sono classificati in due categorie con obblighi differenziati. I soggetti essenziali comprendono energia, trasporti, sanità, acqua potabile, infrastrutture digitali, PA centrale, spazio e settore bancario. I soggetti importanti includono servizi postali, gestione rifiuti, produzione alimentare, manifattura, fornitori digitali, ricerca e PA locale.
La soglia dimensionale generale prevede più di 50 dipendenti oppure fatturato superiore a 10 milioni di euro. Ma attenzione: anche organizzazioni più piccole possono rientrare se considerate critiche per la supply chain di soggetti NIS2.
Il calendario 2026: tutte le scadenze da rispettare
Il percorso di adeguamento segue tappe precise. Ecco cosa è già scaduto e cosa deve ancora arrivare.
Gennaio 2026 — Già operativo
Dal 1° gennaio 2026 è attivo l’obbligo di notifica degli incidenti significativi al CSIRT Italia. Le organizzazioni che non hanno ancora implementato procedure interne per rilevare, classificare e notificare gli incidenti sono tecnicamente già in violazione.
La notifica segue tre fasi: pre-notifica entro 24 ore dalla rilevazione, notifica formale entro 72 ore con dettagli tecnici, report finale entro 30 giorni con analisi delle cause e misure correttive.
Gennaio-Febbraio 2026 — Finestra di registrazione
Dal 1° gennaio al 28 febbraio 2026 si è riaperta la piattaforma ACN per il rinnovo delle registrazioni (per chi si era già registrato nel 2025) e per la prima registrazione dei nuovi soggetti entrati nel perimetro.
Aprile-Maggio 2026 — Aggiornamento informazioni
Dal 15 aprile al 31 maggio 2026, tutti i soggetti NIS devono effettuare l’aggiornamento annuale delle informazioni sulla piattaforma ACN. Questa finestra serve a mantenere aggiornato il quadro conoscitivo dell’Autorità.
Nello stesso periodo, l’ACN definirà il modello di categorizzazione delle attività e dei servizi (art. 42 del decreto) e gli obblighi a lungo termine. Questi elementi completeranno l’architettura normativa e apriranno la strada a requisiti più granulari.
Ottobre 2026 — La scadenza cruciale
Entro il 31 ottobre 2026, tutte le misure di sicurezza di base devono essere pienamente operative. Non sulla carta: funzionanti, testate, documentate.
Per i soggetti importanti si tratta di 37 misure declinate in 87 requisiti. Per i soggetti essenziali, 43 misure e 116 requisiti complessivi.
Dopo ottobre 2026 — Fase ispettiva
Dal quarto trimestre 2026, l’ACN avvierà le prime ispezioni formali. La parola chiave diventa dimostrabilità: non basta aver implementato le misure, bisogna poterlo provare con evidenze documentali.
Le misure di sicurezza: cosa bisogna fare concretamente
Le misure di base sono organizzate secondo il Framework Nazionale per la Cybersecurity e la Data Protection, che a sua volta si basa sul NIST Cybersecurity Framework. La struttura prevede cinque funzioni: Identificare, Proteggere, Rilevare, Rispondere, Ripristinare.
Funzione Identificare
Comprende la mappatura degli asset critici, l’analisi del rischio, la definizione del contesto organizzativo. Ogni organizzazione deve sapere esattamente quali sistemi possiede, quali dati tratta, quali sono le dipendenze critiche.
L’analisi del rischio non è un esercizio teorico: deve produrre un piano di trattamento con priorità, responsabilità e tempistiche. E deve essere riesaminata periodicamente.
Funzione Proteggere
Include controlli di accesso, formazione del personale, protezione dei dati, manutenzione dei sistemi, tecnologie di protezione. La gestione delle identità e degli accessi diventa centrale: chi può accedere a cosa, con quali privilegi, con quale tracciabilità.
La formazione non riguarda solo il team IT: tutto il personale deve essere consapevole delle minacce e sapere come comportarsi.
Funzione Rilevare
Richiede capacità di monitoraggio continuo, rilevamento delle anomalie, processi di detection. Non basta avere un antivirus: servono strumenti e processi per identificare attività sospette prima che diventino incidenti conclamati.
Funzione Rispondere
Comprende piani di risposta agli incidenti, comunicazione, analisi, mitigazione, miglioramento. Quando un incidente si verifica, l’organizzazione deve sapere cosa fare, chi coinvolgere, come comunicare internamente ed esternamente.
Funzione Ripristinare
Include piani di recovery, miglioramenti post-incidente, comunicazione sul ripristino. La capacità di tornare operativi in tempi ragionevoli è parte integrante della resilienza.
La responsabilità dei vertici aziendali: un cambio di paradigma
La NIS2 introduce un principio che cambia radicalmente l’approccio alla cybersecurity: la responsabilità diretta degli organi di amministrazione e direttivi.
L’articolo 23 del decreto 138/2024 è esplicito: i vertici aziendali devono approvare le strategie di sicurezza, sovraintendere alla loro implementazione e sono personalmente responsabili in caso di violazioni. La delega operativa è consentita, ma la responsabilità non è trasferibile.
Questo significa che consigli di amministrazione e direzioni generali non possono più considerare la cybersecurity un tema esclusivamente tecnico da delegare all’IT. Devono comprendere i rischi, prendere decisioni informate, ricevere informative periodiche sullo stato della sicurezza e sugli incidenti.
Le Linee Guida ACN identificano undici documenti strategici che devono essere formalmente approvati dagli organi apicali, tra cui il piano di gestione del rischio, i piani di business continuity e disaster recovery, il piano di risposta agli incidenti e il piano di formazione.
In casi estremi di grave violazione, il decreto prevede anche la possibilità di sospensione temporanea dalle funzioni dirigenziali.
La supply chain: l’obbligo che riguarda anche chi non è nel perimetro
Uno degli aspetti più innovativi della NIS2 riguarda la sicurezza della catena di approvvigionamento. L’articolo 24 del decreto include espressamente questo tema tra gli elementi che le misure di gestione del rischio devono comprendere.
Il principio è chiaro: la sicurezza di un’organizzazione non dipende solo dai propri sistemi interni, ma anche da quelli dei fornitori con cui opera. Un fornitore compromesso può diventare la porta d’ingresso per attacchi all’intera filiera.
Cosa devono fare i soggetti NIS2:
Devono valutare l’affidabilità tecnica dei fornitori, considerando la qualità dei prodotti e le pratiche di sicurezza adottate. Devono includere clausole specifiche nei contratti: obblighi in materia di gestione incidenti, misure di sicurezza minime, modalità di verifica e audit, conseguenze in caso di inadempimento.
Devono monitorare costantemente i fornitori critici e mantenere un registro degli incidenti correlati alla supply chain.
Cosa significa per i fornitori:
Anche le aziende non direttamente soggette alla NIS2, ma che forniscono prodotti o servizi a soggetti essenziali o importanti, si troveranno a dover dimostrare standard adeguati di sicurezza per mantenere i rapporti commerciali.
Di più: l’articolo 3, comma 9 del decreto prevede che anche soggetti di dimensioni ridotte possano essere inclusi nel perimetro NIS2 se considerati critici come elementi sistemici della catena di approvvigionamento.
La cybersecurity diventa quindi un fattore competitivo: chi può dimostrare conformità a standard rigorosi ha un vantaggio rispetto a chi non può farlo.
Le sanzioni: cosa rischia chi non si adegua
Il regime sanzionatorio della NIS2 è allineato a quello del GDPR, con importi potenzialmente molto significativi.
Per i soggetti essenziali, le sanzioni per violazione degli obblighi principali (gestione del rischio e notifica incidenti) possono arrivare fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, se superiore.
Per i soggetti importanti, fino a 7 milioni di euro o all’1,4% del fatturato mondiale.
Esistono anche sanzioni per violazioni minori (mancata registrazione, omesso aggiornamento informazioni): fino allo 0,1% del fatturato per i soggetti essenziali, 0,07% per i soggetti importanti.
Ma le sanzioni pecuniarie non sono l’unico rischio. L’ACN dispone di poteri ispettivi rafforzati e può imporre ordini di adeguamento, sospensione di trattamenti, e nei casi più gravi misure interdittive per i dirigenti.
Come strutturare il percorso di adeguamento
L’adeguamento alla NIS2 non è un progetto che si improvvisa nelle ultime settimane prima della scadenza. Le misure hanno una logica progressiva e cumulativa: la governance abilita il risk management, il risk management orienta le misure tecniche, le misure tecniche devono essere testate, i test devono generare evidenze, le evidenze devono alimentare un ciclo di miglioramento continuo.
Fase 1 — Assessment (se non ancora fatto)
Gap analysis tra stato attuale e requisiti normativi. Mappatura degli asset e dei flussi di dati. Identificazione delle criticità prioritarie.
Fase 2 — Pianificazione
Definizione del piano di adeguamento con milestone, responsabilità, risorse. Approvazione formale da parte degli organi direttivi. Allocazione del budget.
Fase 3 — Implementazione
Adozione delle misure tecniche e organizzative. Formalizzazione di policy e procedure. Formazione del personale. Configurazione degli strumenti di monitoraggio.
Fase 4 — Test e verifica
Verifica dell’efficacia delle misure implementate. Simulazioni di incidenti. Audit interni. Raccolta delle evidenze documentali.
Fase 5 — Manutenzione continua
La conformità NIS2 non è un traguardo ma un processo. Le misure devono essere mantenute, aggiornate, migliorate nel tempo. Il ciclo di riesame deve essere continuo.
Conclusione: da obbligo a opportunità
La NIS2 rappresenta un cambio di paradigma nella governance della sicurezza informatica. Non è più un tema tecnico confinato all’IT: è una responsabilità strategica che coinvolge i vertici aziendali e si estende all’intera catena di fornitura.
Le scadenze del 2026 non lasciano margini: chi non si adegua rischia sanzioni significative e, soprattutto, rischia di trovarsi impreparato di fronte a minacce cyber sempre più sofisticate.
Ma c’è anche un’altra prospettiva. Le organizzazioni che investono seriamente nella cybersecurity costruiscono resilienza operativa, guadagnano fiducia di clienti e partner, si posizionano come fornitori affidabili in un mercato sempre più attento alla sicurezza.
La scelta non è se adeguarsi, ma come: subendo l’obbligo o trasformandolo in vantaggio competitivo.
FAQ — Domande frequenti sulla NIS2
Quando scade l’obbligo di implementare le misure di sicurezza NIS2? Il termine è il 31 ottobre 2026 per le misure di sicurezza di base. L’obbligo di notifica degli incidenti è già attivo dal 1° gennaio 2026.
Quante misure di sicurezza devono implementare i soggetti NIS2? I soggetti importanti devono implementare 37 misure (87 requisiti). I soggetti essenziali 43 misure (116 requisiti).
La NIS2 si applica anche alle PMI? Sì, se operano nei settori previsti e superano le soglie dimensionali (50 dipendenti o 10 milioni di fatturato). Anche PMI più piccole possono rientrare se sono fornitori critici di soggetti NIS2.
Quali sono le sanzioni per mancato adeguamento alla NIS2? Fino a 10 milioni di euro o 2% del fatturato per i soggetti essenziali. Fino a 7 milioni o 1,4% del fatturato per i soggetti importanti.
Chi è responsabile della conformità NIS2 in azienda? Gli organi di amministrazione e direttivi hanno responsabilità diretta e non delegabile. Devono approvare le strategie e sovraintendere all’implementazione.
Cosa significa l’obbligo sulla supply chain nella NIS2? I soggetti NIS2 devono valutare e monitorare la sicurezza dei propri fornitori, includere clausole di sicurezza nei contratti e gestire i rischi lungo l’intera catena di approvvigionamento.
P.I. Computers supporta aziende e Pubbliche Amministrazioni nel percorso di adeguamento alla NIS2: assessment, pianificazione, implementazione delle misure e formazione del personale. Richiedi una consulenza →
- DPO e verifica dell’età online: per proteggere un minore dobbiamo davvero sapere chi è?
- DPO e backup: perché salvare i dati non basta, bisogna anche governarli
- Truffa Fideuram: 36 milioni rubati con voce clonata dall’AI
- Intelligenza artificiale e uomo: perché il DPO serve anche a scuola, nella mente e nella protezione dei dati
- EU Kids Act: l’Europa ridisegna le regole per minori e piattaforme digitali
