La direttiva europea NIS2 Directive, recepita in Italia con il D.Lgs. 4 settembre 2024 n. 138, sta entrando nella sua fase più concreta e operativa.

Dopo una prima fase dedicata all’individuazione dei soggetti coinvolti e agli adempimenti iniziali, il 2026 rappresenta un passaggio decisivo: le aziende classificate come soggetti “essenziali” o “importanti” dovranno completare nuovi obblighi previsti dall’Agenzia per la Cybersicurezza Nazionale entro il primo semestre dell’anno.

Tra le scadenze più rilevanti emerge quella del 30 giugno 2026, termine entro il quale dovranno essere completate specifiche comunicazioni attraverso il portale ACN.

La NIS2 cambia il concetto di sicurezza aziendale

La normativa non riguarda più soltanto la protezione tecnica dei sistemi informatici, ma introduce un modello di governance della cybersicurezza molto più ampio, che coinvolge:

  • organizzazione aziendale;
  • gestione del rischio;
  • supply chain;
  • continuità operativa;
  • responsabilità del management;
  • capacità di risposta agli incidenti cyber.

Le aziende principalmente coinvolte operano in settori strategici come:

  • energia;
  • trasporti;
  • sanità;
  • infrastrutture digitali;
  • ICT;
  • servizi essenziali;
  • gestione delle acque e dei rifiuti;
  • manifatturiero;
  • servizi digitali e cloud.

L’ACN ha già notificato formalmente i soggetti rientranti nel perimetro NIS2, distinguendoli tra soggetti essenziali e soggetti importanti.

Primo adempimento 2026: mappatura dei fornitori rilevanti

Uno dei principali obblighi introdotti per il 2026 riguarda la comunicazione dei fornitori rilevanti.

Con la Determinazione ACN n. 127437 del 13 aprile 2026, è stato previsto che, nel periodo compreso tra il 15 aprile e il 31 maggio, i soggetti NIS2 trasmettano tramite il portale ACN l’elenco dei fornitori strategici collegati ai propri servizi essenziali.

L’obiettivo è rafforzare il controllo della supply chain e individuare possibili vulnerabilità lungo la catena di approvvigionamento digitale.

Tra i fornitori considerati rilevanti rientrano, ad esempio:

  • provider cloud e data center;
  • servizi DNS;
  • fornitori di cybersecurity gestita;
  • operatori di telecomunicazioni;
  • managed service provider;
  • fornitori TIC business-to-business;
  • soggetti la cui interruzione potrebbe compromettere l’operatività aziendale.

Questo aspetto evidenzia come la NIS2 non si limiti alla singola azienda, ma coinvolga l’intero ecosistema digitale collegato all’organizzazione.

Secondo adempimento: categorizzazione di attività e servizi entro il 30 giugno

Un altro passaggio centrale riguarda la categorizzazione delle attività e dei servizi svolti tramite sistemi informativi e reti aziendali.

Con la Determinazione ACN n. 155238 del 20 aprile 2026, è stato introdotto l’obbligo per i soggetti NIS2 di:

  • identificare le attività e i servizi digitalmente supportati;
  • classificarli secondo le macro-categorie definite dall’ACN;
  • trasmettere tali informazioni entro il 30 giugno 2026.

Si tratta di un adempimento particolarmente importante perché consentirà all’Autorità di individuare quali sistemi dovranno essere soggetti a misure di sicurezza rafforzate e controlli più stringenti.

La categorizzazione rappresenta quindi un elemento chiave per definire il futuro modello di sicurezza richiesto alle organizzazioni.

Verifiche ACN e rischio sanzioni

L’ACN potrà effettuare controlli e verifiche sui dati trasmessi, anche attraverso confronti con organizzazioni analoghe appartenenti allo stesso settore.

La normativa prevede sanzioni molto rilevanti in caso di:

  • omissioni;
  • ritardi;
  • comunicazioni inesatte;
  • mancata adozione delle misure richieste.

Per i soggetti essenziali le sanzioni possono arrivare fino a 10 milioni di euro o al 2% del fatturato mondiale annuo.

Per i soggetti importanti si può arrivare fino a 7 milioni di euro o all’1,4% del fatturato.

Ma il rischio non è soltanto economico.

Una gestione non adeguata della cybersecurity può comportare blocchi operativi, danni reputazionali, perdita di dati e responsabilità dirette per il management aziendale.

Perché le aziende non possono più rimandare

Molte organizzazioni stanno ancora affrontando la NIS2 come un semplice obbligo documentale. In realtà la direttiva impone un cambiamento strutturale nella gestione della sicurezza informatica.

Adeguarsi oggi significa:

  • aumentare la resilienza aziendale;
  • proteggere continuità operativa e dati;
  • rafforzare la fiducia di clienti e partner;
  • migliorare la governance interna;
  • ridurre il rischio cyber e reputazionale.

La cybersecurity è ormai parte integrante della compliance aziendale e della strategia d’impresa.

Il supporto di RP ADVISOR

RP ADVISOR SRL supporta imprese e organizzazioni nel percorso di adeguamento alla NIS2 attraverso:

  • assessment iniziale;
  • gap analysis;
  • mappatura dei fornitori;
  • supporto agli adempimenti ACN;
  • governance cyber;
  • policy e procedure;
  • formazione del management e del personale;
  • integrazione con compliance privacy, 231 e security management.

Il 30 giugno 2026 non è una scadenza da sottovalutare: è il momento in cui la NIS2 entra concretamente nella vita delle aziende.