NIS2 e PMI italiane: cosa scade il 30 giugno 2026 e cosa fare entro ottobre

La NIS2 è la direttiva europea (UE) 2022/2555 che alza il livello minimo di cybersicurezza in tutta l'Unione. In Italia è stata recepita con il decreto legislativo 4 settembre 2024, n. 138 (D.Lgs. 138/2024), entrato in vigore il 16 ottobre 2024. L'autorità competente è l'ACN, che ha il compito di tenere l'elenco dei soggetti obbligati, definire le misure di sicurezza e vigilare sull'applicazione.

La NIS2 distingue due categorie di soggetti:

• Soggetti essenziali — grandi aziende (oltre 250 dipendenti) nei settori più critici: energia, trasporti, banche e infrastrutture finanziarie, sanità, acqua potabile e reflua, infrastrutture digitali (cloud, data center, DNS, IXP), gestione dei servizi TIC business-to-business, pubblica amministrazione, spazio.
• Soggetti importanti — aziende medie (50–250 dipendenti, oltre 10 milioni di fatturato) negli stessi settori più altri: poste, gestione rifiuti, chimica, alimentare, manifatturiero specifico (medicale, elettronico, ottico, macchinari, veicoli), provider digitali e ricerca.

Tre categorie aggiuntive vengono assoggettate anche se di dimensione minore: chi è fornitore unico di un servizio essenziale, le pubbliche amministrazioni in elenco, e i soggetti identificati come critici dall'autorità.

Il punto che cambia tutto per le PMI è il quarto: l'estensione a catena tramite la supply chain. La NIS2 prevede che i soggetti essenziali e importanti gestiscano il rischio della propria catena di fornitura. In pratica, una grande azienda in perimetro NIS2 tenderà a richiedere ai propri fornitori IT, di servizi gestiti, di logistica critica o di manutenzione un livello di sicurezza coerente. Anche se tu, fornitore, non sei direttamente in elenco, la normativa può finire per riguardarti indirettamente, attraverso requisiti contrattuali, clausole e controlli di sicurezza. Una strategia di cybersecurity coerente diventa quindi non solo questione tecnica, ma anche di posizionamento commerciale.

Le scadenze 2026 sono quelle che trasformano la NIS2 da impianto formale a impianto operativo. Il quadro principale è quello che segue (le date sono quelle indicate dal calendario aggiornato dell'ACN: si raccomanda di verificare sempre il portale ufficiale per i dettagli applicabili al proprio caso).

Il punto che molti decisori non hanno ancora messo a fuoco è che la scadenza del 30 giugno non è puramente formale. Per i soggetti coinvolti, completare gli adempimenti iniziali sulla piattaforma è propedeutico alla definizione, nei mesi successivi, delle misure di sicurezza proporzionali al ruolo svolto. Saltare la finestra significa accumulare ritardo prima ancora di iniziare a parlare di sicurezza tecnica.

È in questo passaggio che si concentra la novità più rilevante per le PMI italiane. La disciplina ACN richiede ai soggetti NIS2 di mappare la propria catena di approvvigionamento e di comunicare all'Agenzia i fornitori che, per il ruolo svolto, potrebbero a loro volta essere qualificati come essenziali o importanti ai sensi dell'art. 3, comma 9, lettera f) del decreto.

In pratica, le grandi aziende in perimetro NIS2 stanno costruendo in queste settimane le loro liste di fornitori critici. Se sei una PMI che:

• fornisce servizi IT gestiti (MSP, MSSP) a un soggetto NIS2;
• gestisce data center, cloud, DNS o servizi digitali B2B;
• fa manutenzione di sistemi industriali, OT, impianti critici;
• fornisce logistica essenziale o trasporti per soggetti in settori NIS2;
• eroga servizi di sicurezza informatica o di consulenza tecnica continuativa;

allora con buona probabilità la normativa NIS2 ti riguarderà indirettamente. Gli effetti pratici sono concreti:

• Clausole contrattuali NIS2 nei rinnovi e nelle nuove forniture (alcuni soggetti stanno già inserendo addendum di compliance);
• Richieste di audit sulla tua sicurezza informatica, anche se sei una piccola realtà;
• Requisiti tecnici minimi che dovrai dimostrare di rispettare;
• Rischio di esclusione dalle filiere di soggetti NIS2 se non ti adegui.

Il messaggio operativo per una PMI fornitrice è semplice: non aspettare di essere contattato dal tuo cliente NIS2. Quando arriverà la richiesta — e arriverà — partire da zero ti farà perdere settimane. Iniziare ora ti mette in posizione di vantaggio competitivo verso i tuoi concorrenti meno preparati.

La normativa NIS2 individua dieci macro-aree di sicurezza che i soggetti coinvolti sono tenuti a presidiare e che la disciplina ACN traduce in misure operative. Sono il riferimento utile per qualsiasi gap analysis aziendale:

1. Analisi del rischio e politiche di sicurezza delle informazioni
2. Gestione degli incidenti: identificazione, contenimento, ripristino, lessons learned
3. Continuità operativa: backup, disaster recovery, gestione delle crisi
4. Sicurezza della catena di approvvigionamento: vendor risk management, clausole contrattuali
5. Sicurezza nell'acquisizione, sviluppo e manutenzione di reti e sistemi informatici, inclusa la gestione delle vulnerabilità
6. Politiche e procedure per valutare l'efficacia delle misure di cybersicurezza
7. Pratiche di base di igiene cibernetica e formazione del personale
8. Politiche e procedure sull'uso della crittografia e, dove appropriato, della cifratura
9. Sicurezza delle risorse umane, controllo degli accessi e gestione degli asset
10. Autenticazione multifattore o continua, comunicazioni vocali, video e testo protette, comunicazioni di emergenza sicure

La buona notizia per le PMI: queste dieci aree non sono un trattato di sicurezza enterprise. Sono i fondamentali che ogni azienda ben gestita dovrebbe avere già, anche fuori dall'obbligo normativo. Chi ha già fatto un percorso serio di cybersecurity nei due-tre anni precedenti si troverà a colmare gap, non a partire da zero.

Il regime sanzionatorio della NIS2 (art. 38 del D.Lgs. 138/2024) prevede sanzioni significative, differenziate tra soggetti essenziali e importanti e commisurate anche al fatturato annuo dell'azienda.

Le multe però sono solo la punta dell'iceberg. Ci sono tre conseguenze meno discusse ma più dolorose:

• Responsabilità diretta del board (art. 23 D.Lgs. 138/2024): gli organi di vertice sono personalmente responsabili dell'adeguamento. Non è più un tema che si può delegare totalmente all'IT.
• Esclusione dalle filiere: i soggetti NIS2 hanno l'obbligo di garantire la sicurezza dei propri fornitori. Un fornitore non conforme verrà progressivamente sostituito.
• Provvedimenti dell'autorità: l'ACN può imporre ispezioni, ordini correttivi, e in casi gravi sospensioni dell'attività.

Per una PMI il rischio reale non è la sanzione massima, che difficilmente verrà comminata in prima istanza. È la perdita silenziosa di contratti con i clienti grandi che, per essere a loro volta in regola, smettono di lavorare con fornitori non conformi.

Le esperienze di adeguamento delle prime aziende italiane convergono su una roadmap operativa di circa 18 settimane. Da fine giugno a fine ottobre restano poco più di 18 settimane: la finestra è stretta ma ancora fattibile, a condizione di partire subito.

1. Verifica del perimetro (settimane 1-2)

Stabilisci se la tua azienda è soggetta NIS2 direttamente (sei in elenco ACN?) o indirettamente (sei fornitore di un soggetto NIS2?). Per il secondo caso, contatta i tuoi principali clienti aziendali e chiedi se ti hanno incluso nelle loro mappature. Aspettare di scoprirlo via clausola contrattuale è già un ritardo.

2. Mappatura e assessment (settimane 3-6)

Inventario degli asset (sistemi, dati, fornitori, processi), identificazione dei servizi essenziali e dei sistemi che li supportano. Senza questa fase, le misure di sicurezza si applicano nel vuoto.

3. Gap analysis (settimane 7-10)

Confronto tra le tue misure attuali e le dieci aree richieste dalla normativa. Il risultato è una lista priorizzata di gap, ciascuno con stima di effort e costo.

4. Remediation plan e implementazione (settimane 11-16)

Esecuzione dei piani: aggiornamento di policy, attivazione di MFA, segmentazione della rete, definizione del piano di incident response, formazione del personale, clausole NIS2 nei contratti coi fornitori. Questa è la fase più lunga e quella in cui la maggior parte delle PMI sottostima il tempo necessario — vedere anche la nostra analisi sull'allarme ransomware Qilin, che descrive misure tecniche perfettamente sovrapponibili.

5. Documentazione e prova di evidenze (settimane 17-18)

ACN non verifica solo che le misure esistano: verifica che siano documentate con evidenze. Procedure scritte, log di audit, registri di incidenti, evidenze di formazione. Una misura senza documentazione è, dal punto di vista della conformità, come se non esistesse.

Se leggi questo articolo nella settimana del 22 giugno 2026 e non hai ancora iniziato, queste sono le tre azioni a impatto più alto da fare entro la scadenza del 30 giugno:

1. Verifica se sei in elenco accedendo al portale ACN. Se non lo sei direttamente, prepara un'email da inviare ai tuoi primi 10 clienti chiedendo esplicitamente se ti hanno incluso come fornitore critico.
2. Identifica il responsabile interno: la NIS2 richiede un Referente CSIRT (per chi è in perimetro) o quantomeno una figura interna responsabile della cybersecurity. Senza qualcuno cui assegnare il dossier, le settimane successive si perdono.
3. Avvia la gap analysis in parallelo. Anche un'analisi preliminare in due settimane vale più di un piano perfetto a settembre.

Le ultime sei-otto settimane prima della scadenza di ottobre saranno il vero collo di bottiglia. Tutti i provider e tutti i consulenti italiani avranno l'agenda piena. Vale anche un altro tema collegato che approfondiremo presto: l'uso non controllato di strumenti AI in azienda, che incrocia direttamente la gestione dei dati e la sicurezza richieste dalla NIS2.

Il 2026 è l'anno in cui la NIS2 smette di essere "una direttiva di cui si parla" e diventa una serie di obblighi misurabili, con scadenze e controlli. La scadenza del 30 giugno non è la più impegnativa dal punto di vista tecnico, ma è la prima che separa chi ha iniziato a muoversi da chi resterà indietro. Quella del 31 ottobre è il vero stress-test, e chi ci arriva senza una roadmap chiara rischia di trovarsi a improvvisare nell'ultimo mese.

Per una PMI italiana, la sfida non è solo normativa. È strategica: dimostrare ai propri clienti grandi di essere un fornitore affidabile, su cui possono costruire la loro conformità senza ansie.

Non sei sicuro di rientrare nel perimetro NIS2, direttamente o come fornitore? Delta Infor effettua una gap analysis NIS2 in 3 settimane: verifichiamo il tuo posizionamento, mappiamo i gap rispetto alle aree richieste dalla normativa, e ti consegniamo un piano di adeguamento priorizzato con stima di tempi e costi. In tempo utile per la scadenza di ottobre.