NIS2: scadenze e obblighi per il 2026
Il 2026 sarà un anno spartiacque per la cybersicurezza in Europa e, in particolare, per le organizzazioni italiane che rientrano nell’ambito di applicazione della Direttiva NIS2. Dal 1° gennaio 2026, infatti, migliaia di aziende dovranno dimostrare un livello di maturità operativa e di governance sensibilmente superiore rispetto al passato. Non si tratta semplicemente di recepire una nuova normativa, ma di adeguarsi a un cambio di paradigma: la sicurezza informatica viene finalmente riconosciuta come un fattore sistemico, essenziale per la resilienza economica e sociale del Paese.
Il quadro giuridico di riferimento nasce con la Direttiva NIS2 (UE 2022/2555) e viene reso operativo in Italia attraverso il D. Lgs. 138/2024, che stabilisce competenze, scadenze e responsabilità a livello nazionale. Secondo i dati preliminari pubblicati dall’Agenzia per la Cybersicurezza Nazionale (ACN), il numero di entità coinvolte è destinato a crescere in modo significativo rispetto alla precedente NIS1: stime europee parlano di un ampliamento del perimetro fino al 300%, con un aumento dei settori inclusi e una particolare attenzione alla supply chain. Non sorprende quindi che, secondo ENISA, l’87% delle aziende critiche europee non fosse pienamente conforme ai requisiti NIS1 al momento dell’introduzione della nuova direttiva (ENISA, NIS Investments Report 2023). Ciò rende evidente l’impatto che la NIS2 avrà sul tessuto produttivo.
La NIS2 non introduce solo nuovi adempimenti, ma un modello più maturo di gestione del rischio. Include responsabilità dirette per i vertici aziendali, obblighi di segnalazione stringenti e una dotazione minima di misure di sicurezza che si avvicinano ai principali standard internazionali, dalla ISO/IEC 27001 alle linee guida ENISA in tema di incident response e business continuity. Oggi la priorità per le imprese non è capire se saranno coinvolte, ma come arrivare preparate in tempo.
Per accompagnare le organizzazioni nel nuovo scenario, ACN e CSIRT Italia stanno pubblicando documentazione tecnica, determinazioni e linee guida operative che anticipano i requisiti più tecnici: modelli di risk management, criteri di classificazione dei servizi essenziali, specifiche per il monitoraggio degli eventi di sicurezza, standard minimi per la notifica degli incidenti. ENISA, dal canto suo, ha pubblicato tra 2023 e 2024 oltre 250 pagine di documentazione tecnica dedicata alla direttiva, segno evidente dell’impatto sistemico della nuova disciplina.
In questo articolo analizziamo il percorso che va dal 2025 al 2026, con un approccio chiaro e discorsivo. L’obiettivo è fornire una mappa temporale degli obblighi, comprendere cosa è richiesto alle aziende e identificare i fattori critici di successo per una conformità efficace.
Gennaio 2026: l’avvio degli obblighi di notifica degli incidenti significativi
Il decreto italiano è ufficialmente in vigore dal 16 ottobre 2024. Nei mesi successivi, tra dicembre 2024 e febbraio 2025, si è completata la fase di registrazione obbligatoria dei soggetti inclusi nel perimetro NIS2 come “essenziali” o “importanti”. Entro il 15 aprile 2025, tutte le entità coinvolte hanno dovuto designare un Punto di Contatto NIS2, responsabile delle comunicazioni con ACN e con il CSIRT Italia. Questa figura diventerà strategica dal 2026, quando entreranno pienamente in vigore gli obblighi di reporting più stringenti.
Dal 1° gennaio 2026, infatti, le aziende dovranno segnalare qualsiasi incidente che abbia “impatto significativo” secondo l’articolo 25 del decreto. La definizione di “significativo” non lascia molto margine interpretativo: secondo il legislatore, un incidente ricade in questa categoria se provoca o può provocare un’interruzione grave dei servizi o perdite economiche rilevanti. Inoltre, deve essere segnalato anche quando genera ripercussioni dirette o indirette sugli utenti o su altre organizzazioni, come perdite materiali, violazioni di dati sensibili o danni reputazionali misurabili.
Gli esempi pratici diffusi da ACN e CSIRT confermano quanto sia ampio il perimetro degli incidenti da notificare: un ransomware in grado di bloccare la produzione, una violazione di dati che coinvolge credenziali o dati personali, un’interruzione di un servizio critico della durata di quattro o più ore. Secondo i dati dell’ENISA Threat Landscape 2024, oltre il 55% degli attacchi ransomware in Europa ha provocato un’interruzione superiore alle quattro ore; questo significa che molti degli incidenti più comuni rientrerebbero automaticamente nell’obbligo di notifica.
Le tempistiche di comunicazione sono estremamente stringenti: entro 24 ore occorre trasmettere una pre-notifica contenente almeno le informazioni minime sul potenziale impatto, mentre entro 72 ore va inviata una notifica completa con dettagli tecnici, indicatori di compromissione, gravità e stima dei danni. La relazione finale, invece, deve essere inviata entro un mese e deve includere la root cause, le misure adottate e, se non ancora risolto, aggiornamenti periodici fino alla chiusura dell’incidente.
Il modello di reporting NIS2 è molto più rigoroso del GDPR. Secondo una ricerca del Ponemon Institute, il tempo medio globale per identificare un incidente è di 204 giorni: la NIS2 costringe le aziende a ridurre drasticamente questa finestra temporale, investendo in sistemi di monitoraggio continuo, capacità di detection automatica e processi strutturati di incident response.
La NIS2 prevede anche la notifica “verso gli utenti”: un’organizzazione deve informare tempestivamente i destinatari del proprio servizio, quando una minaccia significativa potrebbe avere impatti su di loro. Questa modalità di comunicazione, che ricorda da vicino quella prevista dal GDPR per i data breach, diventerà uno strumento di trasparenza decisivo in settori come le telecomunicazioni, l’energia e i servizi digitali.
Oltre alle notifiche obbligatorie, la direttiva introduce anche le “notifiche volontarie”, che possono essere utilizzate per near-miss, minacce emergenti o incidenti minori. Questa apertura conferma la logica di sistema della NIS2: l’obiettivo europeo è creare un ecosistema informativo condiviso per rilevare tendenze, vulnerabilità sistemiche e attacchi su larga scala.
Infine, dal 1° gennaio 2026, il Punto di Contatto dovrà trasmettere trimestralmente all’ENISA una relazione anonimizzata sugli incidenti verificatisi. L’Italia, secondo le stime ACN, invierà nei primi dodici mesi tra 8.000 e 12.000 segnalazioni, un volume che richiederà sistemi di analisi e gestione strutturati già a partire dalla prima metà del 2026.
Aprile 2026: il modello di categorizzazione e gli obblighi a lungo termine
Gli articoli 40 e 42 del decreto italiano attribuiscono all’ACN un ruolo centrale: l’Agenzia, infatti, dovrà definire entro aprile 2026 il modello di categorizzazione delle attività e dei servizi e, soprattutto, gli “obblighi a lungo termine”. Si tratta di uno dei punti più innovativi della NIS2, poiché introduce un sistema flessibile di requisiti che potrà evolvere insieme alle minacce, alle tecnologie emergenti e agli standard europei.
Gli “obblighi a lungo termine” costituiscono il secondo livello della compliance NIS2 e sono pensati per garantire che i requisiti minimi non si trasformino in un esercizio statico, ma in un percorso di miglioramento continuo. Includono elementi come l’allineamento alle certificazioni europee (in particolare EUCS per il cloud e EU5G per le reti), un rafforzamento della governance dei rischi, audit interni periodici e un sistema di rendicontazione annuale verso ACN. Il legislatore ha scelto una delega tecnica all’Agenzia proprio per permettere un aggiornamento dinamico, evitando la rigidità che aveva caratterizzato la NIS1.
Secondo le previsioni della Commissione Europea, entro il 2027 almeno il 65% delle aziende classificate come “essenziali” dovrà essere certificato secondo almeno uno schema europeo di cybersecurity. L’Italia, con la NIS2, anticipa già oggi questa strategia attraverso l’integrazione delle certificazioni negli obblighi a lungo termine.
Dal momento della pubblicazione, le aziende dovranno adeguarsi progressivamente alla categoria assegnata, ma è prevedibile che il processo si sviluppi nell’arco di 12-24 mesi, in funzione del settore e del livello di rischio associato ai servizi erogati.
Settembre/Ottobre 2026: la scadenza cruciale per l’implementazione delle Misure di Sicurezza Minime (MSM)
Tra le scadenze più impegnative introdotte dal D. Lgs. 138/2024, quella che ricade tra settembre e ottobre 2026 rappresenta il vero banco di prova della conformità NIS2. Le organizzazioni che sono state formalmente incluse nel perimetro NIS2 nella primavera del 2025 hanno infatti 18 mesi per implementare tutte le Misure di Sicurezza Minimedefinite da ACN con la Determina 164179/2025.
Si tratta del nucleo operativo della direttiva: un insieme di requisiti estesi che copre l’intero ciclo di vita della sicurezza informatica, dalla governance alla gestione tecnica, dalla business continuity alla supply chain. La differenza rispetto alla NIS1 è evidente anche nei numeri: mentre il precedente quadro normativo prevedeva requisiti generali e ad ampio spettro, la NIS2 introduce una struttura dettagliata e differenziata in base al livello di criticità dei soggetti.
Secondo ACN, le organizzazioni classificate come “importanti” devono adottare 37 misure, articolate in 87 requisiti dettagliati, mentre le organizzazioni “essenziali” devono conformarsi a 43 misure, suddivise in 116 requisiti. L’impianto complessivo richiama in modo importante gli standard internazionali più consolidati, soprattutto la ISO/IEC 27001:2022, ma li estende per renderli più aderenti al contesto europeo e ai rischi emergenti.
Tra le aree principali figurano la governance della sicurezza, la gestione del rischio, la protezione della rete e dei sistemi, i processi di backup, la resilienza operativa, il logging e il monitoraggio continuo, la sicurezza della supply chain, la formazione del personale e l’auditing interno. Questa trasversalità riflette un dato ben noto nei report ENISA e Clusit: oltre l’80% degli incidenti di cybersecurity in Italia nel 2023 ha coinvolto almeno uno di questi ambiti, con un aumento del 65% degli attacchi alla supply chain solo nei due anni precedenti (ENISA Threat Landscape 2024).
Un punto particolarmente critico riguarda i soggetti essenziali, che devono implementare misure di livello avanzato. Ciò include test di sicurezza proattivi come vulnerability assessment e penetration test obbligatori prima della messa in esercizio di servizi critici, ma anche controlli rafforzati sui fornitori. Secondo lo European Union Agency for Cybersecurity, più del 62% degli attacchi con impatto significativo nel 2023 ha avuto origine indiretta attraverso un fornitore, confermando l’importanza delle misure di supply chain security previste da NIS2.
Non meno rilevante è l’obbligo di avere backup testati e verificati periodicamente, con procedure di ripristino chiare e documentate. I dati di IBM Cost of a Data Breach 2024 mostrano che un backup non adeguato contribuisce a incrementare del 36% il costo totale di un incidente. La direttiva recepisce questa evidenza e rende obbligatorio ciò che fino a ieri era solo una best practice.
Le scadenze di settembre/ottobre 2026 costringeranno molte aziende a ripensare radicalmente la propria postura di sicurezza. Secondo una stima di ACN, oltre il 70% dei soggetti potenzialmente inclusi nel perimetro non dispone oggi di un sistema di monitoraggio h24 o di un processo strutturato di incident response. Per queste realtà, i prossimi due anni rappresentano non solo un percorso di compliance, ma un investimento infrastrutturale necessario.
Il quadro sanzionatorio: perché la NIS2 non è una direttiva “soft”
Una delle differenze più evidenti tra la NIS1 e la NIS2 riguarda il sistema sanzionatorio. In NIS1, le sanzioni erano limitate e spesso lasciate all’interpretazione degli Stati membri. Con la NIS2, invece, la Commissione Europea ha scelto un approccio molto più severo, che richiama in parte il modello del GDPR.
Le sanzioni possono arrivare fino a 10 milioni di euro o fino al 20% del fatturato globale annuo dell’organizzazione, applicando la soglia più elevata tra le due. È un dato estremamente significativo, che colloca la direttiva tra i quadri normativi più stringenti al mondo in materia di cybersicurezza.
Ma l’aspetto più innovativo riguarda la responsabilità individuale. Il decreto prevede infatti misure che possono colpire direttamente:
- gli organi di amministrazione;
- i rappresentanti legali;
- gli amministratori delegati;
- i responsabili delle funzioni coinvolte nella sicurezza.
Questa previsione nasce da un dato chiaro: secondo ENISA, nel 47% dei casi analizzati nel 2023 gli incidenti significativi erano riconducibili a decisioni di governance inadeguata o all’assenza di processi formali. La direttiva, introducendo una responsabilità diretta, vuole quindi evitare che la sicurezza rimanga relegata al solo reparto IT, imponendo un coinvolgimento strutturale del vertice aziendale.
Il sistema sanzionatorio non è pensato solo come deterrente, ma come strumento per garantire una cultura della sicurezza più matura e condivisa. Per molte aziende italiane — in particolare PMI essenziali per i servizi critici — ciò significa un cambio di mentalità prima ancora che di tecnologia.
Come iniziare un percorso di adeguamento: dalla gap analysis alla governance
La complessità degli adempimenti NIS2, così come la convergenza tra aspetti legali, tecnici e organizzativi, rende estremamente rischioso un approccio frammentato. I prossimi mesi rappresentano una finestra decisiva per preparare il percorso di adeguamento, iniziando da una valutazione strutturata dello stato attuale.
Il primo passo realistico per qualsiasi organizzazione è la Gap Analysis rispetto alle Misure di Sicurezza Minime. Non si tratta di una semplice checklist, ma di un processo che coinvolge stakeholder tecnici, legali, responsabili della continuità operativa e funzioni aziendali critiche. La Gap Analysis permette di identificare non solo la distanza rispetto ai requisiti normativi, ma anche il livello di rischio operativo, la maturità tecnologica, la resilienza della supply chain e la sostenibilità dei processi esistenti.
Una volta definito il quadro iniziale, è essenziale costruire un Piano di Adeguamento. Questo documento definisce priorità, budget, cronoprogrammi e modalità di intervento. Le aziende che stanno già affrontando il percorso di conformità confermano che, senza una pianificazione distribuita su almeno 12 mesi, l’implementazione delle MSM rischia di diventare troppo onerosa o inefficace.
L’implementazione delle misure richiede poi un approccio graduale. Le priorità operative variano a seconda del settore e del livello di criticità dei servizi, ma in generale i primi ambiti da affrontare includono la capacità di monitoraggio, la gestione degli incidenti e la sicurezza della supply chain. Sono queste, infatti, le aree che presentano il maggior numero di violazioni e che generano gli impatti più significativi. Secondo il report Clusit 2024, circa il 36% degli attacchi in Italia ha coinvolto almeno un anello della catena di fornitura.
Infine, una volta implementate le misure, diventa indispensabile predisporre attività di test e validazione periodica: penetration test, simulazioni di incidente, test di continuità operativa. Non si tratta solo di adempimenti formali, ma di strumenti per garantire che i requisiti non rimangano “sulla carta”. ENISA stima che le aziende che conducono esercitazioni di incident response almeno due volte l’anno riducono del 45% il tempo medio di ripristino in caso di attacco.
Il ruolo del Virtual CISO: un modello operativo sempre più diffuso
Molte organizzazioni italiane, soprattutto nei settori industriali e manifatturieri, non dispongono di una struttura interna dedicata alla cybersecurity in grado di gestire la complessità degli obblighi NIS2. Secondo Eurostat, il 73% delle PMI italiane non ha un responsabile della sicurezza informatica interno, e il 64% non dispone di un piano formalizzato di continuità operativa. In questo contesto, il modello del Virtual CISO (vCISO) sta diventando una soluzione sempre più adottata.
Il Virtual CISO è una figura professionale — o un team — che affianca l’azienda in modo continuativo, gestendo la governance della sicurezza, i rapporti con ACN e CSIRT, la supervisione dei processi di monitoraggio, la definizione delle policy, la gestione del vendor risk management e il coordinamento delle attività ispettive. A differenza di un consulente spot, il vCISO è coinvolto nella vita operativa dell’organizzazione, rendendo sostenibile la compliance a lungo termine.
I modelli più avanzati prevedono un percorso strutturato in fasi, partendo da un pre-assessment iniziale, passando dalla Gap Analysis, fino alla definizione della roadmap di remediation e alla gestione continuativa della postura di sicurezza. Questo approccio consente alle aziende non solo di raggiungere la conformità, ma di mantenerla nel tempo, riducendo l’impatto operativo sulle funzioni interne.
Il valore principale del Virtual CISO sta nell’integrazione tra competenze tecniche e legali. La NIS2, infatti, non è semplicemente una norma tecnologica: riguarda contratti, responsabilità, relazioni con i fornitori, governance e processi di risk management. Un “CISO tradizionale” non può coprire da solo tutte queste dimensioni, così come un legale non può gestire gli aspetti tecnici. La convergenza è obbligatoria, e il modello vCISO risponde esattamente a questa esigenza.
Dalla compliance alla resilienza digitale
La NIS2 rappresenta una sfida complessa ma anche un’opportunità strategica per rafforzare la resilienza del sistema produttivo italiano. Le scadenze del 2026 non devono essere interpretate come un mero adempimento normativo, ma come un’occasione per modernizzare infrastrutture, processi e modelli organizzativi. La direttiva è nata in un contesto europeo caratterizzato da un aumento del 38% degli attacchi gravi in soli due anni (ENISA, 2022–2024), e il legislatore ha scelto di adottare un approccio ambizioso perché i rischi oggi sono strutturali.
Per le aziende italiane, il percorso di adeguamento non si esaurisce nel rispetto delle scadenze. È un processo continuo che implica investimenti, nuove competenze e un cambio culturale. Chi saprà affrontarlo con metodo ne trarrà un vantaggio competitivo significativo: maggiore fiducia da parte dei clienti, più solidità nella supply chain, una migliore capacità di rispondere alle minacce e un allineamento agli standard europei di prossima generazione.
Fonti citate
Agenzia per la Cybersicurezza Nazionale. (2024). Determinazione 164179/2025 – Misure di sicurezza minime NIS2. Roma: ACN.
Agenzia per la Cybersicurezza Nazionale. (2024). Linee guida operative per l’attuazione del D. Lgs. 138/2024. Roma: ACN.
Clusit. (2024). Rapporto Clusit 2024 sulla sicurezza ICT in Italia. Milano: Associazione Italiana per la Sicurezza Informatica.
Commissione Europea. (2022). Direttiva (UE) 2022/2555 del Parlamento Europeo e del Consiglio, del 14 dicembre 2022, sulla sicurezza delle reti e dei sistemi informativi (NIS2). Bruxelles: Unione Europea.
Commissione Europea. (2023). NIS2 Implementation Strategy – Impact Assessment Report. Bruxelles: Unione Europea.
ENISA – European Union Agency for Cybersecurity. (2023). NIS Investments Report 2023. Atene: ENISA.
ENISA – European Union Agency for Cybersecurity. (2024). ENISA Threat Landscape 2024. Atene: ENISA.
ENISA – European Union Agency for Cybersecurity. (2023). Cybersecurity Threats to the Supply Chain. Atene: ENISA.
Eurostat. (2023). ICT Usage in Enterprises – Cybersecurity Indicators. Lussemburgo: Ufficio statistico dell’Unione Europea.
IBM Security. (2024). Cost of a Data Breach Report 2024. Armonk, NY: IBM Corporation.
Ponemon Institute. (2023). Mean Time to Identify and Contain a Breach – Global Study. Traverse City, MI: Ponemon Institute.
Autore: Martina Pegoraro
