Il 31 ottobre 2026 è una data che molte aziende italiane non possono permettersi di ignorare. Da quel giorno, l’Agenzia per la Cybersicurezza Nazionale (ACN) potrà avviare le attività ispettive sui soggetti nel perimetro NIS2: non più una fase di accompagnamento, ma di verifica concreta. Con sanzioni che arrivano fino al 2% del fatturato mondiale annuo, l’adeguamento non è più una questione solo tecnica — è una priorità aziendale.
Cos’è la direttiva NIS2
La Direttiva (UE) 2022/2555, nota come NIS2, è l’aggiornamento della precedente normativa europea sulla sicurezza delle reti e delle informazioni del 2016. L’obiettivo è innalzare il livello comune di cybersicurezza nell’Unione Europea, estendendo gli obblighi a un numero molto più ampio di organizzazioni rispetto al passato. In Italia è stata recepita con il Decreto Legislativo 4 settembre 2024, n. 138, pubblicato in Gazzetta Ufficiale il 1° ottobre 2024 ed entrato in vigore il 16 ottobre 2024.
Il decreto conferma l’ACN come autorità nazionale competente NIS e punto di contatto unico, e identifica nove ministeri come autorità di settore. La Conferenza permanente Stato-Regioni partecipa anch’essa al Tavolo per l’attuazione della disciplina NIS, presieduto dall’ACN.
Quante organizzazioni riguarda in Italia
I numeri sono significativi. ACN ha censito oltre 30.000 organizzazioni, di cui oltre 20.000 classificate come soggetti NIS e oltre 5.000 come soggetti essenziali. Le comunicazioni di inclusione nel perimetro sono state trasmesse in aprile 2026. Si tratta di un salto enorme rispetto alla precedente NIS, che in Italia coinvolgeva circa 400 operatori.
Secondo il terzo Rapporto Cyber Index PMI di Confindustria e Generali (marzo 2026), negli ultimi tre anni quasi una PMI su quattro ha subito una violazione informatica. Il punteggio medio di maturità cyber delle PMI italiane si attesta a 55 su 100, ancora al di sotto della soglia di sufficienza fissata a 60. Il quadro è in miglioramento, ma il divario rimane concreto.
Chi è obbligato ad adeguarsi
La NIS2 si applica a organizzazioni pubbliche e private che operano in 18 settori strategici e superano determinate soglie dimensionali: in generale, almeno 50 dipendenti oppure un fatturato annuo superiore a 10 milioni di euro.
I settori sono divisi in due categorie:
11 settori ad alta criticità (Allegato I): energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione di servizi ICT B2B, pubblica amministrazione, spazio.
7 settori critici (Allegato II): servizi postali e di corriere, gestione dei rifiuti, produzione e distribuzione di sostanze chimiche, produzione e trasformazione di alimenti, fabbricazione di dispositivi medici, di computer e prodotti di elettronica e di macchinari e autoveicoli, fornitori di servizi digitali, ricerca.
Esistono eccezioni importanti: alcuni operatori rientrano nel perimetro indipendentemente dalle dimensioni, tra cui fornitori di servizi DNS, registri di nomi di dominio, provider di cloud computing e data center, data la natura critica del servizio erogato.
Il punto spesso sottovalutato: la supply chain
Anche le aziende che non rientrano formalmente nel perimetro NIS2 possono essere coinvolte indirettamente. I soggetti essenziali e importanti sono tenuti a valutare e monitorare la sicurezza della propria catena di approvvigionamento. Nella pratica, questo si traduce in clausole contrattuali di sicurezza, richieste di documentazione tecnica e audit periodici verso i fornitori. Un’azienda che non si adegua rischia di essere esclusa da gare e commesse con i grandi player industriali.
Le scadenze da segnare in agenda
15 gennaio 2026: operativo l’obbligo di notifica degli incidenti significativi al CSIRT Italia per tutti i soggetti già nel perimetro nel 2025.
31 ottobre 2026: termine per l’adozione delle misure di sicurezza di base. Si tratta di implementare 37 misure declinate in 87 requisiti per i soggetti importanti, e 43 misure per 116 requisiti per i soggetti essenziali. Da questa data ACN può avviare le attività ispettive.
31 dicembre 2026: per i soggetti entrati per la prima volta nel perimetro NIS2 nel 2026, scadenza per designare il referente CSIRT.
Cosa si rischia in caso di inadempimento
Le sanzioni sono allineate a quelle del GDPR per rilevanza. Per i soggetti essenziali: fino a 10 milioni di euro o al 2% del fatturato annuo mondiale, se superiore. Per i soggetti importanti: fino a 7 milioni di euro o all’1,4% del fatturato. Nei casi più gravi, per i soggetti essenziali è prevista anche la sospensione temporanea dell’attività. Un elemento spesso sottovalutato è la responsabilità personale: il D.Lgs. 138/2024 prevede che gli organi di amministrazione e direzione rispondano in prima persona in caso di violazioni gravi.
Il ruolo della formazione
L’articolo 23 del decreto è esplicito: CdA e amministratori devono seguire una formazione specifica in materia di sicurezza informatica e promuovere analoga formazione per i dipendenti. La cybersecurity smette di essere una questione delegabile solo al reparto IT e diventa parte integrante della governance aziendale. Partire dalla formazione — per il management come per il personale tecnico — è uno dei primi passi concreti che un’organizzazione può compiere.
Per chi vuole costruire le competenze tecniche necessarie per lavorare in ambito cybersecurity e NIS2, i percorsi corsi e-learning di Dadonet offrono formazione on-line, pre-registrata, in lingua inglese, con la flessibilità di studiarla ai propri ritmi.
Per le strutture sanitarie e sociosanitarie — RSA, case di riposo, ambulatori — che devono adeguarsi alla NIS2 entro ottobre 2026, Dadonet affianca le organizzazioni con un percorso integrato di cybersecurity per la sanità: audit, gap analysis, misure di sicurezza documentate e supporto alla registrazione ACN, con la responsabilità personale del direttore sempre al centro.
