NIS2 2026 Scadenza: Guida Essenziale per le Aziende
La NIS2 2026 scadenza aziende italiane è arrivata: entro il 30 giugno 2026 tutti i soggetti essenziali e importanti devono completare la categorizzazione di attività e servizi sul portale ACN. Chi non lo fa rischia sanzioni fino a 7 milioni di euro e l’avvio di ispezioni da parte dell’Agenzia per la Cybersicurezza Nazionale.
Indice
Il D.Lgs. 138/2024 ha recepito in Italia la Direttiva europea NIS2, trasformando la cybersecurity da opzione volontaria a obbligo di legge per migliaia di organizzazioni. Il 2026 è l’anno in cui il sistema diventa operativo e verificabile: le scadenze si susseguono da gennaio a ottobre, e quella del 30 giugno è la più critica del semestre. Secondo le stime di settore, oltre 20.000 organizzazioni italiane rientrano nel perimetro NIS2 (Fonte: ACN, 2026).
Il portale ACN ha aperto la finestra di categorizzazione il 1° maggio 2026. Da quella data, ogni soggetto NIS ha sessanta giorni esatti per completare l’operazione. Passata la scadenza, l’elenco delle attività e dei servizi categorizzati viene considerato definitivamente acquisito e non è più modificabile fino alla finestra dell’anno successivo. Un errore in questa fase si ripercuote sulle misure di sicurezza che ACN calibrerà per ciascuna organizzazione a fine 2026.
Per capire il contesto più ampio degli attacchi che spingono verso queste misure, è utile leggere il nostro approfondimento sugli attacchi cyber alle imprese italiane.
Ultimo aggiornamento: 15 giugno 2026
Cos’è la scadenza NIS2 del 30 giugno 2026
La scadenza del 30 giugno non riguarda l’adozione delle misure di sicurezza — quella è fissata a ottobre 2026 — ma un passaggio specifico e distinto: la categorizzazione di attività e servizi secondo la Determinazione ACN n. 155238 del 20 aprile 2026. In pratica, ogni organizzazione deve accedere al portale ACN, elencare tutte le proprie attività e i servizi supportati da reti e sistemi informativi, e assegnare a ciascuno un livello di rilevanza.
ACN ha definito quattro livelli di rilevanza: minimo, basso, medio e alto. La classificazione si basa sull’impatto che la compromissione di quell’attività o servizio avrebbe sulla continuità operativa dell’organizzazione e sulla sua capacità di erogare servizi NIS. Non è un esercizio teorico: il livello assegnato diventa il parametro su cui ACN costruirà le misure di sicurezza “a lungo termine” previste per la fine del 2026, oltre a quelle di base già operative da ottobre.
«La categorizzazione è il momento in cui ogni soggetto NIS deve guardare con onestà alla propria infrastruttura digitale e valutare cosa succederebbe se venisse compromessa. Da quella valutazione dipende il livello di protezione che ACN chiederà.»
Bruno Frattasi, Direttore Generale ACN, dichiarazione pubblica sul portale ACN (2026)
NIS2 2026 scadenza aziende italiane: chi deve adeguarsi
Il D.Lgs. 138/2024 distingue tra soggetti essenziali e soggetti importanti. I primi operano in settori ad altissima criticità: energia, trasporti, banche, infrastrutture digitali, sanità, acqua. I secondi coprono settori importanti come servizi postali, gestione rifiuti, produzione di prodotti chimici e fornitori di servizi digitali. La soglia dimensionale generale è: 50 o più dipendenti oppure un fatturato annuo superiore a 10 milioni di euro nei settori elencati (Fonte: D.Lgs. 138/2024).
Il punto che molte PMI sottovalutano riguarda la supply chain. Anche un’azienda che non raggiunge le soglie dimensionali può essere coinvolta come fornitore di un soggetto essenziale o importante: in quel caso, il cliente NIS è obbligato a monitorare la sicurezza della propria catena di fornitura e può trasferire contrattualmente gli obblighi. Nella pratica, molte piccole imprese si trovano a dover dimostrare un livello minimo di maturità cyber per mantenere i contratti con i committenti pubblici e privati soggetti a NIS2.
Cosa cambia con la categorizzazione ACN
La Determinazione n. 155238 ha introdotto dieci macro-aree all’interno delle quali ogni soggetto NIS deve collocare le proprie attività. L’operazione si svolge interamente sulla piattaforma digitale ACN: l’organizzazione carica un template strutturato, classifica ogni voce e trasmette il documento entro il 30 giugno. Dopo quella data, l’elenco è cristallizzato fino alla finestra del 2027.
Parallelamente alla categorizzazione, da gennaio 2026 è già attivo l’obbligo di notifica degli incidenti significativi a CSIRT Italia — il Computer Security Incident Response Team nazionale. Le tempistiche sono stringenti: pre-notifica entro 24 ore dalla scoperta dell’incidente, notifica completa entro 72 ore, relazione finale entro un mese. Per contestualizzare la minaccia reale, è utile consultare il rapporto Clusit 2026, che fotografa l’escalation degli attacchi in Italia.
«Il sistema NIS2 non è pensato per colpire le imprese, ma per creare un ecosistema digitale resiliente. Le scadenze di giugno e ottobre 2026 sono l’occasione per fare un salto di qualità reale nella gestione del rischio cyber.»
Fonti: ACN — Agenzia per la Cybersicurezza Nazionale, comunicazioni ufficiali 2026
Pro e contro della compliance NIS2 per le PMI
Adeguarsi alla NIS2 comporta investimenti reali. Le stime di settore indicano costi tra 30.000 e 70.000 euro nel primo anno per le PMI, con una spesa ricorrente di 2.000–5.000 euro al mese se si ricorre a un fornitore di servizi di sicurezza gestiti (Fonte: Bulltech, 2026). Non è un costo trascurabile, soprattutto per le medie imprese con margini ridotti.
Vantaggi della compliance
- Riduzione concreta del rischio di attacchi ransomware e data breach
- Accesso a commesse pubbliche e contratti con grandi aziende soggette a NIS2
- Reputazione rafforzata verso clienti e partner europei
- Framework strutturato per gestire incidenti e ridurre i tempi di risposta
- Allineamento con le normative europee in evoluzione (DORA, CRA)
Criticità da gestire
- Costi di adeguamento: 30.000–70.000€ nel primo anno (stima PMI media)
- Complessità burocratica: documentazione, template ACN, reportistica CSIRT
- Responsabilità degli organi di amministrazione — non solo dell’IT
- Supply chain: obbligo di verificare anche la sicurezza dei fornitori critici
- Sanzioni fino a 7 milioni di euro (1,4% del fatturato) per soggetti importanti
Vale la pena adeguarsi alla NIS2?
La domanda è mal posta per chi rientra nel perimetro: l’adeguamento non è una scelta, è un obbligo di legge con scadenze già attive. La vera domanda è: come farlo nel modo più efficiente? Per le aziende che operano in settori ad alta criticità o che forniscono servizi a soggetti NIS, il percorso è chiaramente obbligato. Per le PMI della supply chain, vale la pena fare una verifica con un consulente specializzato prima di procedere a un adeguamento completo, per capire se il proprio profilo di rischio contrattuale giustifica l’investimento.
La NIS2 è un obbligo per chi è nel perimetro, ma è anche un’opportunità per tutte le aziende che vogliono posizionarsi come fornitori affidabili nel mercato digitale europeo del 2026.
Vale la pena se la tua azienda opera in un settore critico, fornisce servizi a enti pubblici o grandi imprese soggette a NIS2, oppure vuole rafforzare la propria posizione competitiva in un mercato dove la fiducia digitale conta sempre di più. Per orientarsi sugli strumenti disponibili, è utile consultare la nostra guida alla tecnologia 2026.
Non vale la pena investire nell’adeguamento completo se la tua azienda non rientra nelle soglie dimensionali, non opera in settori critici e non ha fornitori o clienti soggetti a NIS2 — in quel caso è sufficiente monitorare l’evoluzione normativa e adottare misure di sicurezza di base. Per approfondire la portata del fenomeno a livello nazionale, il portale ufficiale ACN pubblica aggiornamenti e linee guida operative.
Domande frequenti sulla NIS2
Qual è la scadenza più urgente della NIS2 nel 2026?
Il 30 giugno 2026 è la scadenza per completare la categorizzazione di attività e servizi sul portale ACN (Determinazione n. 155238/2026). Dopo quella data l’elenco non è più modificabile. La scadenza successiva — adozione delle misure di sicurezza di base — è fissata a ottobre 2026.
Cosa succede se non rispetto la scadenza del 30 giugno?
Le sanzioni per i soggetti importanti arrivano fino a 7 milioni di euro o all’1,4% del fatturato annuo globale, a seconda di quale importo sia maggiore. Dopo il 31 ottobre 2026, ACN potrà avviare attività ispettive sulle organizzazioni che non hanno rispettato gli adempimenti previsti dalla normativa.
La NIS2 si applica anche alle piccole imprese?
In linea generale no: la soglia di applicazione diretta è 50 dipendenti o 10 milioni di euro di fatturato nei settori critici. Tuttavia, le PMI che fanno parte della supply chain di un soggetto NIS possono essere coinvolte indirettamente, poiché la direttiva impone ai soggetti obbligati di verificare la sicurezza dei propri fornitori critici.
Come si accede al portale ACN per la categorizzazione?
Il portale dei servizi ACN è accessibile tramite SPID o CIE. I soggetti già registrati nell’elenco NIS devono accedere con le credenziali già create durante la fase di registrazione del 2024–2025 e compilare il template di categorizzazione secondo le istruzioni della Determinazione n. 155238 del 20 aprile 2026. Maggiori informazioni sul sito ufficiale acn.gov.it.
Questo articolo è stato scritto dalla redazione di Info Pratica e verificato su fonti ufficiali e attendibili (istituzioni, enti pubblici, studi ed esperti citati nel testo). Scopri come lavoriamo nella pagina Redazione.
