Il 31 ottobre 2026 è la data che segna il passaggio della Direttiva NIS2 dalla fase dichiarativa a quella pienamente operativa in Italia. Entro quella scadenza, i soggetti già inseriti nell'elenco ACN nel 2025 devono avere operative e documentabili le misure di sicurezza di base previste dal D.Lgs. 138/2024 — non basta averle pianificate, servono evidenze dimostrabili in caso di controllo.
Per le PMI e gli studi professionali di Napoli e Campania questo non è un tema "da grande azienda": anche chi non rientra direttamente nei 18 settori NIS2 può essere coinvolto come fornitore di un soggetto obbligato, e la normativa impone a questi ultimi di valutare e monitorare la sicurezza della propria catena di fornitura.
Chi è "soggetto NIS2" — e chi decide
Un punto spesso frainteso: l'inclusione nel perimetro NIS2 non si autocertifica. È l'Agenzia per la Cybersicurezza Nazionale (ACN) a notificare formalmente i soggetti essenziali e importanti sulla base dei settori indicati negli allegati alla direttiva e di soglie dimensionali (numero di dipendenti, fatturato, bilancio). Se non hai ricevuto una notifica ACN, non sei automaticamente "dentro" — ma questo non esclude gli obblighi indiretti legati alla supply chain.
Il calendario 2026 in sintesi
- Dal 1° gennaio 2026: obbligo di notifica degli incidenti significativi al CSIRT Italia già attivo (pre-notifica entro 24 ore, notifica entro 72 ore)
- 31 ottobre 2026: scadenza per l'implementazione delle misure di sicurezza di base previste dagli Allegati alla Determinazione ACN n. 379907/2025 — autenticazione multifattore, controllo accessi, backup, vulnerability management, procedure di incident response
- Da novembre 2026: possibile avvio delle attività ispettive da parte di ACN
Per i soggetti inseriti nell'elenco nel corso del 2026, i termini si spostano in avanti (fino a 18 mesi dalla notifica di inclusione), ma il principio resta lo stesso: l'orologio parte dalla comunicazione ufficiale, non da una scelta dell'azienda.
Le sanzioni: una responsabilità che sale ai vertici
Il regime sanzionatorio NIS2 è nettamente più severo di quello a cui molte imprese italiane sono abituate:
- Soggetti essenziali: fino a 10 milioni di euro o il 2% del fatturato globale annuo (il maggiore tra i due)
- Soggetti importanti: fino a 7 milioni di euro o l'1,4% del fatturato globale annuo
GDPR e NIS2: due controlli che si parlano
Un aspetto rilevante per chi gestisce già la compliance privacy: le verifiche ispettive di ACN e Garante Privacy tendono a richiedere evidenze documentali in larga parte sovrapponibili — analisi dei rischi, registri dei trattamenti, procedure di gestione degli incidenti, controlli sugli accessi, gestione dei fornitori. Chi ha già una struttura GDPR solida (registro trattamenti aggiornato, procedure data breach, DPIA dove necessarie) parte in vantaggio verso la conformità NIS2, perché buona parte dell'impianto documentale e organizzativo è condiviso.
Cosa fare da qui a ottobre — priorità operative
- Verifica lo status: hai ricevuto una notifica ACN? Sei fornitore di un soggetto NIS2 (banca, ospedale, utility, PA)? In entrambi i casi la questione ti riguarda.
- Mappa le misure di base: MFA su tutti gli accessi critici, backup testati (non solo effettuati), un referente per la sicurezza informatica.
- Documenta, non solo implementa: senza evidenze dimostrabili, anche una misura tecnicamente presente non "conta" in sede di controllo.
- Allinea NIS2 e GDPR: se hai già un DPO o un audit privacy in corso, è il momento di estendere l'analisi alla sicurezza delle informazioni in senso più ampio.
Con la scadenza a circa dieci settimane da oggi, il tempo per un assessment iniziale e un piano d'azione realistico si sta restringendo. Meglio partire da una valutazione onesta della propria esposizione che arrivare a ottobre senza aver capito se si è "dentro" o "fuori" dal perimetro.
Fonti normative primarie
- ACN — La normativa NIS: acn.gov.it
- D.Lgs. 4 settembre 2024, n. 138 (Normattiva)
- Determinazione ACN n. 379907/2025 (misure di sicurezza di base)
- Direttiva (UE) 2022/2555 (NIS2) — EUR-Lex
Articolo aggiornato al 19 agosto 2026. Il quadro attuativo NIS2 è in evoluzione: si raccomanda di verificare gli aggiornamenti pubblicati da ACN prima di assumere decisioni operative.