# NIS2 in Italia: obblighi, scadenze ACN e cosa cambia per le PMI

> NIS2 in Italia (D.Lgs. 138/2024): chi è obbligato, scadenze ACN 2025-2027, misure di base, notifica degli incidenti e cosa cambia per le PMI fornitrici.

Normative · pubblicato il 23 ottobre 2026 · https://aimazing.it/blog/nis2-in-italia-obblighi-scadenze-acn-e-cosa-cambia-per-le-pmi/

La **NIS2 in Italia** è il decreto legislativo 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024: riguarda soprattutto medie e grandi imprese di 18 settori, le pubbliche amministrazioni e alcune realtà più piccole. Chi è entrato nell’elenco NIS nel 2025 deve già notificare gli incidenti significativi al CSIRT Italia e completare le **misure di sicurezza di base** entro ottobre 2026. Anche le PMI fuori perimetro possono essere coinvolte come fornitrici.

## In breve

- Il decreto NIS recepisce la direttiva (UE) 2022/2555; l’autorità competente è l’**Agenzia per la cybersicurezza nazionale (ACN)**.
- L’elenco provvisorio 2026 conta **oltre 21.000 soggetti**, di cui almeno 5.000 essenziali (ACN, aprile 2026).
- Chi è nell’elenco dal 2025 notifica gli incidenti da gennaio 2026 e adotta le misure di base entro 18 mesi dalla comunicazione di inserimento, cioè entro ottobre 2026. Chi entra nel 2026: notifiche dal 1° gennaio 2027, misure entro il 31 luglio 2027.
- La registrazione sul portale ACN si fa o si aggiorna ogni anno **dal 1° gennaio al 28 febbraio**.

## Che cos’è la NIS2 e cosa chiede

La NIS2 è la direttiva europea sulla sicurezza delle reti e dei sistemi informativi. In Italia i settori sono **18**, di cui 11 altamente critici e 7 critici, con oltre 80 tipologie di soggetti: tra gli altri cloud e data center, telecomunicazioni, acqua e acque reflue, rifiuti, fabbricazione di farmaci, elettronica, macchinari e veicoli.

Gli obblighi coprono **tutto il sistema informatico** dell’organizzazione con un approccio multi-rischio: non solo attacchi, ma anche guasti, errori umani, incendi, alluvioni e blackout.

## Chi deve rispettarla: soggetti essenziali e importanti

La regola generale ha due condizioni: l’impresa svolge un’attività degli allegati I e II e **non è una piccola impresa** secondo la raccomandazione UE 2003/361/CE. In pratica rientra chi ha almeno 50 occupati, oppure supera i 10 milioni di euro sia di fatturato sia di totale di bilancio, contando anche le imprese associate o collegate.

Alcuni soggetti rientrano a prescindere dalle dimensioni: fornitori di reti e servizi di comunicazione elettronica, gestori di domini e servizi DNS, pubbliche amministrazioni dell’allegato III, soggetti critici e società che forniscono servizi informatici a un soggetto NIS dello stesso gruppo. ACN può individuarne altri, per esempio chi è un elemento sistemico della catena di approvvigionamento.

Dalle FAQ di ACN, tre chiarimenti utili:

- i **codici ATECO** non bastano: conta l’attività svolta davvero;
- si rientra anche se l’attività è **residuale**, salvo tre eccezioni (acque reflue, rifiuti, acqua potabile);
- l’impresa deve **autovalutarsi** e registrarsi da sola.

I soggetti sono **essenziali**, per esempio le grandi imprese dei settori dell’allegato I, oppure **importanti**. La distinzione cambia misure, incidenti da notificare e sanzioni.

## Le scadenze sulla piattaforma ACN

Sul portale dei servizi di ACN il percorso si ripete ogni anno:

1. **Registrazione** dal 1° gennaio al 28 febbraio, con un punto di contatto designato.
2. **Comunicazione di ACN** sull’inserimento o meno nell’elenco.
3. **Aggiornamento delle informazioni** dal 15 aprile al 31 maggio: organi di amministrazione, indirizzi IP pubblici statici, domini, accordi di condivisione e, dal 2026, l’**elenco dei fornitori rilevanti**.
4. **Categorizzazione** di attività e servizi a maggio e giugno, un’analisi d’impatto semplificata che renderà proporzionati gli obblighi futuri.

Le novità più recenti: a settembre 2026 ACN ha avviato la consultazione sulle **misure di sicurezza rafforzate**, destinate a integrare e sostituire quelle di base. Il 23 ottobre 2026 ACN ha annunciato la determina 314287/2026, che semplifica la registrazione 2027: chi non ha modifiche non deve inviare una nuova dichiarazione. Dal 31 ottobre 2026 non si accettano più dichiarazioni tardive.

## Misure di base e notifica degli incidenti: cosa significa in pratica

Le specifiche di base sono nella determinazione ACN 379907 del 19 dicembre 2025, applicata dal 15 gennaio 2026: allegato 1 per i soggetti importanti, allegato 2 per gli essenziali. Ogni misura ha un codice e uno o più requisiti, costruiti sul Framework nazionale per la cybersecurity e la data protection: alcuni organizzativi, come politiche e piani, altri tecnici, come cifratura, aggiornamenti e autenticazione a più fattori.

Servono documenti aggiornati: **inventari** di apparati, software, servizi e fornitori; **piani** di gestione del rischio, continuità operativa, gestione delle vulnerabilità, formazione e risposta agli incidenti; politiche, procedure e registri.

Gli **incidenti significativi** si notificano al CSIRT Italia con tre passaggi: **pre-notifica entro 24 ore** da quando se ne viene a conoscenza, notifica entro 72 ore e relazione finale entro un mese. ACN ha definito le fattispecie: tre per i soggetti importanti, quattro per gli essenziali. La causa non conta: anche un’alluvione o un errore umano possono generare un incidente significativo.

Le responsabilità salgono ai vertici: gli **organi di amministrazione** approvano le misure, ne sorvegliano l’attuazione, rispondono delle violazioni e devono seguire una formazione sulla sicurezza informatica. Le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato annuo mondiale, se superiore, per i soggetti essenziali, e fino a 7 milioni o all’1,4% per gli importanti.

## La PMI che lavora per un soggetto NIS: cosa può arrivare

Un fornitore non diventa soggetto NIS solo perché lavora per uno di loro, ma i soggetti NIS devono gestire il rischio della catena di fornitura e, chiarisce ACN, i fornitori dovranno rispettare gli **obblighi contrattuali** che ne derivano.

Il cliente valuta il rischio di ogni fornitura (accesso a sistemi e dati, impatto di un’interruzione, tempi di ripristino), definisce requisiti coerenti con le proprie misure, li mette nei contratti e li verifica nel tempo. Non serve riscrivere i contratti in corso: l’obbligo vale per quelli stipulati, rinnovati o prorogati dopo il termine per le misure di base.

Immagina una software house di 15 persone che gestisce il gestionale di un’azienda soggetta alla NIS2: al prossimo rinnovo potrebbe ricevere un questionario e clausole su autenticazione, backup, accessi da remoto e **segnalazione tempestiva** degli eventi di sicurezza.

## Cosa fare adesso

1. **Verifica il perimetro**: settore, attività anche secondarie, dimensioni con le imprese collegate. Se rientri e non sei registrato, la prossima finestra va dal 1° gennaio al 28 febbraio 2027.
2. **Se sei nell’elenco 2025**, controlla requisiti e documenti delle misure di base e porta il piano al consiglio di amministrazione.
3. **Se sei un fornitore**, prepara un fascicolo: inventario dei sistemi, autenticazione a più fattori, backup provati, aggiornamenti, contatto per gli incidenti.
4. **Forma le persone**, partendo dai vertici; se introducete l’AI, aggiungi la [formazione sull’AI per le aziende](https://aimazing.it/formazione/).
5. **Chiedi ai fornitori** come trattano dati e accessi: per gli assistenti digitali c’è una traccia nelle [domande da fare al fornitore sui dati dei clienti](https://aimazing.it/blog/agenti-ai-e-dati-dei-clienti-le-domande-da-fare-al-fornitore/).

Informazioni aggiornate a ottobre 2026. Non è una consulenza legale: per i casi specifici fai riferimento alle FAQ e alle determinazioni di ACN.

## Domande frequenti

**Una PMI con 30 dipendenti deve rispettare la NIS2?**

Di norma no, se ha meno di 50 occupati e fatturato o bilancio entro 10 milioni di euro. Fanno eccezione alcune tipologie, come i fornitori di comunicazioni elettroniche e DNS o le società che forniscono servizi informatici a un soggetto NIS del gruppo.

**Entro quando vanno adottate le misure di sicurezza di base?**

Per chi è nell’elenco NIS dal 2025 il termine è di diciotto mesi dalla comunicazione di inserimento, quindi ottobre 2026. Per chi è stato inserito per la prima volta nel 2026 è il 31 luglio 2027.

**In quanto tempo va notificato un incidente significativo?**

Al CSIRT Italia vanno inviate una pre-notifica entro 24 ore da quando si viene a conoscenza dell’incidente, una notifica entro 72 ore e una relazione finale entro un mese dalla notifica.

**Non mi sono registrato in tempo: cosa posso fare?**

Dal 31 ottobre 2026 ACN non accetta più dichiarazioni tardive. La prossima finestra va dal 1° gennaio al 28 febbraio 2027; chi era già registrato e non ha modifiche da comunicare non deve inviare una nuova dichiarazione.

## Fonti

- [Gazzetta Ufficiale, «Decreto legislativo 4 settembre 2024, n. 138», Serie generale n. 230, 1° ottobre 2024](https://www.gazzettaufficiale.it/do/gazzetta/downloadPdf?dataPubblicazioneGazzetta=20241001&numeroGazzetta=230&tipoSerie=SG&tipoSupplemento=GU&numeroSupplemento=0&progressivo=0&estensione=pdf&edizione=0)
- [ACN, «NIS - Network Information Security», consultata a ottobre 2026](https://www.acn.gov.it/portale/en/nis)
- [ACN, «Domande frequenti NIS - Ambito», consultate a ottobre 2026](https://www.acn.gov.it/portale/en/faq/nis/ambito)
- [ACN, «Domande frequenti NIS - Misure di sicurezza e notifica di incidenti», consultate a ottobre 2026](https://www.acn.gov.it/portale/en/faq/nis/misure-di-sicurezza-e-notifica-di-incidenti)
- [ACN, «ACN convoca il Tavolo per l’attuazione della disciplina NIS», 9 aprile 2026](https://www.acn.gov.it/portale/en/w/acn-convoca-il-tavolo-per-l-attuazione-della-disciplina-nis)
- [ACN, «NIS: online le determine sugli adempimenti per i nuovi soggetti», 13 aprile 2026](https://www.acn.gov.it/portale/en/w/nis-online-le-determine-sugli-adempimenti-per-i-nuovi-soggetti-e-sulle-modalita-di-accesso-alla-piattaforma-acn)
- [ACN, «Le novità per i soggetti NIS», 18 settembre 2026](https://www.acn.gov.it/portale/en/w/le-novita-per-i-soggetti-nis)
- [ACN, «ACN semplifica la registrazione NIS 2027», 23 ottobre 2026](https://www.acn.gov.it/portale/en/w/acn-semplifica-la-registrazione-nis-2027)

---
Articolo del blog di Aimazing S.r.l. (Terni). Pagina originale: https://aimazing.it/blog/nis2-in-italia-obblighi-scadenze-acn-e-cosa-cambia-per-le-pmi/