Category
Chi in azienda si occupa di sicurezza delle informazioni conosce bene la certificazione ISO/IEC 27001: un sistema di gestione che, da anni, rappresenta lo standard di riferimento per proteggere dati, processi e continuità operativa. Ma dal 2024 il quadro normativo italiano è cambiato in modo sostanziale, e con esso le regole del gioco per migliaia di imprese che fino a ieri non si consideravano “soggetti critici”.
Il Decreto Legislativo 4 settembre 2024, n. 138, che recepisce la Direttiva europea NIS2, ha ampliato notevolmente il perimetro dei soggetti obbligati alla cybersicurezza normata: non più solo grandi infrastrutture energetiche o sanitarie, ma anche PMI strutturate, fornitori ICT, aziende manifatturiere e, indirettamente, chiunque faccia parte della catena di fornitura di un soggetto NIS. Se la tua azienda ha già investito in un Sistema di Gestione per la Sicurezza delle Informazioni certificato ISO 27001, possiede già gran parte del linguaggio, dei processi e della cultura organizzativa necessari per affrontare la NIS2. Ma attenzione: avere la 27001 non significa automaticamente essere conformi alla NIS2. Sono due percorsi che si sovrappongono solo in parte, e capire dove coincidono e dove no è il primo passo per non trovarsi scoperti.
Il 2026 è l’anno in cui la NIS2 diventa operativa
Per molte aziende italiane, la NIS2 è rimasta a lungo un argomento astratto, rimandato “a quando ci sarà tempo”. Le determinazioni pubblicate dall’Agenzia per la Cybersicurezza Nazionale (ACN) nel corso del 2026 hanno chiuso questa fase di attesa. Il calendario degli adempimenti è ormai definito, con scadenze precise e responsabilità dirette in capo agli organi di amministrazione e direzione delle imprese coinvolte:
- Registrazione e aggiornamento annuale sul portale ACN, con finestra ordinaria dal 1° gennaio al 28 febbraio di ogni anno;
- Censimento dei fornitori rilevanti NIS, con comunicazione ad ACN nella finestra tra il 15 aprile e il 31 maggio;
- Categorizzazione delle attività e dei servizi aziendali, secondo il modello ACN basato su dieci macro-aree, da completare nella finestra 1 maggio – 30 giugno;
- Notifica degli incidenti significativi, obbligo già in vigore dal gennaio 2026 per i soggetti già iscritti;
- Adozione delle misure di sicurezza di base entro il 31 ottobre 2026 per i soggetti già presenti nell’elenco NIS 2025, data dopo la quale ACN potrà avviare le attività ispettive;
- per i soggetti inseriti per la prima volta nell’elenco nel 2026, un percorso graduale con designazione del referente CSIRT entro il 31 dicembre 2026 e misure di sicurezza da adottare entro il 31 luglio 2027.
Questi non sono adempimenti facoltativi né scadenze “indicative”. Sono obblighi di legge, ciascuno con una propria finestra temporale, spesso stretta, e con conseguenze dirette in caso di inadempienza.
Cosa si rischia davvero a non adeguarsi
Il rischio più evidente, e quello di cui si parla meno volentieri, è quello sanzionatorio. L’articolo 38 del decreto NIS prevede sanzioni che possono arrivare fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per i soggetti essenziali, e fino a 7 milioni di euro o all’1,4% del fatturato per i soggetti importanti. Sono cifre che, per una PMI strutturata, possono avere un impatto molto concreto sulla continuità del business.
Ma c’è un secondo rischio, meno discusso e per certi versi ancora più insidioso: l’effetto a cascata lungo la filiera. La normativa NIS2 non si limita a colpire i soggetti direttamente obbligati: chiede a questi soggetti di verificare e imporre requisiti di sicurezza ai propri fornitori. Questo significa che, anche se la tua azienda non rientra formalmente nel perimetro NIS2, potresti comunque dover dimostrare un adeguato livello di sicurezza informatica ai tuoi clienti obbligati, pena l’esclusione dalle gare, dai rinnovi contrattuali o, semplicemente, la perdita del cliente a favore di un concorrente più pronto. In un mercato in cui la postura di cybersicurezza sta diventando un requisito commerciale prima ancora che tecnico, non essere in grado di rispondere a un audit di un cliente strategico è un rischio reputazionale ed economico che si somma, e talvolta supera, quello sanzionatorio.
A questo si aggiunge un terzo elemento, spesso sottovalutato: i tempi tecnici per adeguarsi non sono brevi. Tra la verifica del proprio inquadramento normativo, la raccolta della documentazione, il censimento dei fornitori e la predisposizione delle evidenze richieste da ACN, avviare il percorso a ridosso delle scadenze significa quasi sempre arrivarci in affanno, con margini di errore molto ridotti.
Perché partire dalla ISO 27001 ha senso
Se la tua azienda è già certificata ISO/IEC 27001, non sta partendo da zero. Il sistema di gestione della sicurezza delle informazioni previsto dallo standard copre già molte delle aree richieste dalla NIS2: gestione del rischio, ruoli e responsabilità, gestione degli incidenti, controllo dei fornitori. Il punto critico è che questa corrispondenza non è automatica né implicita: va verificata, tracciata e documentata in modo esplicito, mappando puntualmente ogni requisito NIS2 sui controlli già presenti nel proprio sistema di gestione, e individuando con precisione gli scostamenti da colmare.
È esattamente qui che si gioca la differenza tra un’azienda che arriva preparata alle scadenze ACN e una che si trova a rincorrerle.
Il nostro supporto: una pre-analisi per capire dove sei, prima di decidere cosa fare
Prima di qualsiasi intervento, la domanda più utile da porsi non è “cosa devo fare per la NIS2”, ma “la mia azienda rientra davvero nel perimetro NIS2, e se sì, in quale categoria?”. Sono domande a cui molte imprese, anche strutturate, non sanno ancora rispondere con certezza, e da cui dipende tutto il resto: adempimenti, scadenze, livello di misure richieste.
Per questo offriamo un servizio di pre-analisi mirata, pensato per dare a chi ci contatta un quadro chiaro e circostanziato prima di qualsiasi impegno più ampio. Il nostro lavoro si concentra su tre livelli:
- Verifica dell’inquadramento normativo: se e come la tua azienda rientra nel perimetro di applicazione della NIS2, in via diretta o come fornitore rilevante di un soggetto obbligato.
- Individuazione della categoria di appartenenza: soggetto essenziale o importante, e collocazione nel modello di categorizzazione ACN.
- Valutazione del grado di conformità attuale: un’analisi dello stato dell’arte rispetto agli adempimenti richiesti dalla legge, con particolare attenzione a chi ha già un sistema ISO 27001 su cui costruire.
Un aspetto che teniamo a chiarire con trasparenza: il nostro intervento è mirato alla componente di adempimento formale e documentale — inquadramento normativo, gap analysis documentale, predisposizione e gestione della documentazione richiesta da ACN, mappatura tra requisiti NIS2 e sistema di gestione ISO 27001. Non ci occupiamo della componente strutturale e tecnologica dell’adeguamento (implementazione di misure tecniche, hardening infrastrutturale, soluzioni di sicurezza sul campo), per la quale è opportuno affidarsi a un partner tecnico specializzato. Questa separazione dei ruoli, a nostro avviso, è un valore: ci permette di essere realmente specialisti della parte normativa e documentale, l’area in cui la nostra esperienza pluriennale sulla 27001 fa davvero la differenza.
Il momento di agire è adesso
Le scadenze ACN del 2026 non sono un traguardo isolato, ma l’inizio di un percorso di compliance continuativo, che si ripeterà ogni anno con nuovi aggiornamenti e nuove verifiche. Le aziende che affrontano questo percorso per tempo non si limitano a evitare sanzioni: costruiscono una posizione più solida nei confronti dei propri clienti, dei propri partner e del mercato in generale.
Se vuoi capire con chiarezza a che punto si trova la tua azienda rispetto alla NIS2, e cosa significa in concreto per la tua attività, contattaci per una pre-analisi: un primo passo semplice per trasformare un obbligo normativo in un vantaggio competitivo.
