La scadenza NIS2 si avvicina inesorabilmente. Settembre 2026 non è, di per sé, una scadenza normativa rigida, ma rappresenta il mese cruciale in cui termina il tempo utile per prepararsi all'appuntamento vero e proprio: il 31 ottobre 2026. È la data entro cui tutti i soggetti inseriti nell'elenco soggetti NIS2 devono avere le misure di sicurezza informatica pienamente operative. Non bastano più le intenzioni o i progetti in corso: le misure devono funzionare, essere testate e, soprattutto, documentabili. Da quella data, l'Agenzia per la Cybersicurezza Nazionale (ACN) chiude la "fase di accompagnamento" avviata con le prime comunicazioni di inserimento nell'elenco (partite il 12 aprile 2025) e apre la fase di verifica e ispezione formale.
I numeri aiutano a comprendere la portata dell'intervento. Secondo i dati ricostruiti da ICT Security Magazine basati sulle statistiche ACN, l'elenco dei soggetti NIS conta oggi oltre 20.000 organizzazioni. Di queste, più di 5.000 sono classificate come "soggetti essenziali". Non si tratta quindi di un adempimento riservato a poche grandi corporation: la normativa attraversa in profondità il tessuto produttivo italiano, colpendo direttamente le catene di fornitura e la sicurezza digitale del Paese.
Cosa cambia esattamente con la nuova determinazione ACN
Il riferimento tecnico di riferimento è la Determinazione ACN n. 379907/2025, entrata in vigore il 15 gennaio 2026. Questa determina ha sostituito la precedente normativa di aprile 2025, ridefinendo con maggiore precisione le misure di sicurezza di base e la gestione degli incidenti significativi. Le misure richieste sono organizzate in quattro allegati tecnici specifici:
- Allegato 1 — Misure per i soggetti importanti: comprende 37 misure distinte e 87 requisiti specifici da rispettare.
- Allegato 2 — Misure per i soggetti essenziali: più restrittive, includono 43 misure e 116 requisiti.
- Allegati 3 e 4 — Criteri dettagliati per la classificazione degli incidenti significativi, distinti a seconda che si tratti di soggetti essenziali o importanti.
Comprendere questa struttura è fondamentale per chi deve rispondere alle query di ricerca sulle multe NIS2 e sugli obblighi di compliance. La differenza tra i due allegati non è solo numerica, ma sostanziale nel livello di controllo richiesto.
Due pesi, due misure: la vigilanza non è uguale per tutti
Un aspetto spesso sottovalutato dalle PMI è che il modello di controllo dell'ACN, dopo ottobre 2026, non tratterà tutti i soggetti allo stesso modo. La distinzione tra vigilanza ex-ante e vigilanza ex-post cambia concretamente il livello di rischio percepito.
I soggetti essenziali saranno sottoposti a vigilanza ex-ante. Questo significa che l'ACN potrà ispezionarli e verificare la loro conformità anche senza che sia avvenuto un incidente di sicurezza. È una forma di controllo proattivo, simile a un audit preventivo continuo.
I soggetti importanti, invece, saranno sottoposti a vigilanza ex-post. Il controllo si attiverà principalmente in seguito a segnalazioni di incidenti o eventi di sicurezza già verificatisi. Per un'azienda, questo significa che se non si verifica un incidente, il rischio di un'ispezione a sorpresa è teoricamente inferiore, ma non nullo.
Le sanzioni: le multe NIS2 colpiscono il management
Il regime sanzionatorio della direttiva NIS2 rappresenta, secondo le analisi del settore, la discontinuità più rilevante rispetto al passato. Non si tratta solo di importi più alti, ma di una logica che sposta la responsabilità legale dal reparto IT al consiglio di amministrazione. Le multe NIS2 possono avere un impatto devastante sulla liquidità aziendale.
Per i soggetti essenziali, la sanzione massima può arrivare a 10 milioni di euro o al 2% del fatturato annuo globale, se questo importo è superiore. Per i soggetti importanti, il tetto di sanzione è di 7 milioni di euro o dell'1,4% del fatturato globale.
Nei casi più gravi, l'ACN ha il potere di disporre la sospensione temporanea dalle funzioni dirigenziali per i responsabili dei soggetti essenziali. Questo dettaglio è cruciale: la sicurezza informatica non è più solo una questione tecnica, ma una responsabilità gestionale diretta che coinvolge i vertici aziendali.
Per chi cambia: fornitori e nuovi entrati
La distinzione tra soggetti essenziali e importanti, definita dall'art. 3 del D.Lgs. 138/2024, resta il criterio guida. Tuttavia, la scadenza di ottobre 2026 non riguarda solo chi ha ricevuto una PEC di categorizzazione dall'ACN. Due categorie specifiche meritano un'attenzione particolare:
- I fornitori della supply chain: Le aziende essenziali e importanti sono tenute a valutare e monitorare la sicurezza della propria catena di fornitura. Una PMI, anche se formalmente fuori dal perimetro diretto NIS2, può ritrovarsi a dover dimostrare requisiti di sicurezza elevati come condizione contrattuale imposta dal proprio cliente principale.
- Chi è entrato nel perimetro dopo la prima ondata: Il calendario 2026 ha riaperto la finestra di registrazione sul Portale ACN (dal 1° gennaio al 28 febbraio) per i nuovi soggetti rientrati nell'ambito di applicazione. Per questi ultimi, i termini decorrono in modo scaglionato, ma la logica generale — 18 mesi dalla comunicazione di inserimento — resta la stessa.
Un dato territoriale aiuta a capire l'urgenza reale: secondo i dati presentati all'evento Cyber Security 2025 di Assolombarda, nella sola area metropolitana di Milano, Monza e Brianza, Lodi e Pavia si sono registrati 1.795 eventi cyber solo nella prima metà del 2025. In un contesto di tale intensità, l'attività ispettiva dell'ACN dovrà muoversi con maggiore aggressività a partire da ottobre.
Cosa fare a settembre: la checklist pratica
Per evitare di rincorrere la scadenza, ecco cosa fare a settembre 2026:
- Eseguire un gap assessment reale: Non limitarti a un controllo a campione. Verifica la conformità rispetto all'allegato di riferimento (1 o 2). 87 o 116 requisiti sono un numero elevato che non si può verificare a memoria.
- Documentare tutto: Raccogliere ora le evidenze (log di sistema, policy firmate, verbali di formazione) evita di doverle ricostruire sotto pressione a novembre.
- Chiudere il capitolo fornitori: Completa la mappatura dei fornitori rilevanti e verifica i requisiti di sicurezza contrattuali richiesti a valle della supply chain.
- Coinvolgere il Board: La formazione e l'approvazione a livello di organo di gestione non sono un adempimento formale. Sono parte integrante delle misure stesse e, dato il regime sanzionatorio, una responsabilità personale dei dirigenti.
Il nodo per una PMI manifatturiera
Il problema pratico, per le PMI con risorse IT interne limitate, non è capire cosa fare — l'elenco delle misure è pubblico — ma arrivare a settembre con evidenze già organizzate. È il tipo di lavoro dove un affiancamento esterno, capace di strutturare rapidamente gap assessment, documentazione e monitoraggio continuo, fa la differenza tra arrivare alla scadenza in controllo o rincorrerla.
FAQ: Domande frequenti sulla NIS2
Quando scade la NIS2 per i soggetti essenziali? La scadenza principale per i soggetti essenziali è il 31 ottobre 2026. Entro questa data, le misure di sicurezza devono essere pienamente operative e documentate.
Quali sono le multe NIS2 per le aziende non compliant? Per i soggetti essenziali, le multe possono arrivare fino a 10 milioni di euro o al 2% del fatturato globale. Per i soggetti importanti, il tetto è di 7 milioni di euro o 1,4% del fatturato.
Chi deve rispettare la NIS2? La direttiva si applica ai soggetti essenziali e ai soggetti importanti operanti nei settori critici (energia, trasporti, sanità, digitale, ecc.). Anche i fornitori di questi soggetti possono essere coinvolti nella supply chain di sicurezza.
Cos'è la vigilanza ex ante? È un controllo proattivo effettuato dall'ACN sui soggetti essenziali, che possono essere ispezionati anche in assenza di incidenti. Si distingue dalla vigilanza ex-post, che interviene solo dopo un evento negativo.
Come posso verificare se la mia azienda è nell'elenco NIS2? Devi consultare le comunicazioni ufficiali dell'ACN o verificare la tua categorizzazione tramite il Portale ACN. Se sei un fornitore di un soggetto essenziale, potresti comunque essere soggetto a richieste di conformità.
Fonti:
- ICT Security Magazine, "NIS2 in Italia: le prime sanzioni, i primi audit ACN e cosa aspettarsi nel 2026" — link
- Studio Legally, "Le prossime scadenze NIS2" — link
- Shattered.io, "NIS2 Italia 2026: Ispezioni ACN, 20.000 Aziende, Multa €10M" — link
- Nexsys, "NIS2 nel 2026: obblighi e scadenze per le PMI italiane" — link
Contatta il nostro team per affrontare la NIS2
Basta compilare il form e sarai contattato non appena possibile dal nostro team.