Il 2026 segna il passaggio dagli adempimenti formali ai controlli sostanziali per la Direttiva NIS2: scadenze, responsabilità diretta del management, sanzioni fino a 10 milioni di euro e le prime aperture europee verso una semplificazione normativa.
Per anni la cybersecurity è rimasta, nella percezione di molte imprese, un capitolo tecnico da affidare ai reparti IT. Il 2026 segna la fine di questa impostazione: la Direttiva NIS2 smette di essere un impegno dichiarativo e diventa un sistema operativo verificabile, con oltre ventimila organizzazioni italiane coinvolte e una scadenza chiave, il 31 ottobre 2026, che si avvicina senza margini di proroga.
Un recepimento puntuale
La Direttiva (UE) 2022/2555, nota come NIS2, ha aggiornato il quadro europeo sulla sicurezza delle reti e dei sistemi informativi introdotto dalla precedente Direttiva NIS del 2016. L’Italia ha recepito la norma con il D.Lgs. 4 settembre 2024, n. 138, pubblicato in Gazzetta Ufficiale il 1° ottobre e in vigore dal 16 ottobre dello stesso anno – un giorno prima della scadenza fissata dalla direttiva al 17 ottobre – abrogando il precedente decreto 65/2018. Il provvedimento amplia in modo sostanziale il perimetro dei soggetti obbligati, estendendo gli adempimenti a diciotto settori – undici altamente critici e sette critici – e a oltre ottanta tipologie di soggetti pubblici e privati. L’Agenzia per la Cybersicurezza Nazionale (ACN) è confermata quale Autorità nazionale competente e Punto di contatto unico, affiancata da nove Ministeri con funzione di Autorità di settore.
Non tutti gli Stati membri hanno rispettato i tempi previsti dalla direttiva. Il termine di recepimento, fissato al 17 ottobre 2024, è stato osservato soltanto da Belgio, Croazia, Italia e Lituania; a maggio 2026 restavano ancora in iter legislativo Francia, Irlanda, Lussemburgo, Paesi Bassi e Spagna, con la Commissione europea che ha avviato procedure di infrazione nei confronti di ventitré Paesi.
Le Determinazioni ACN che disegnano il sistema
Il quadro attuativo italiano si fonda anche su due Determinazioni del Direttore Generale dell’ACN, entrambe firmate il 15 dicembre 2025.
La prima, applicabile dal 31 dicembre 2025, definisce le regole operative della piattaforma digitale attraverso cui i soggetti coinvolti devono registrarsi, comunicare le informazioni richieste e aggiornare periodicamente i dati sulle proprie attività. La seconda, in vigore dal 15 gennaio 2026, stabilisce il livello minimo di sicurezza che le organizzazioni devono garantire e chiarisce quali eventi rientrano nella categoria di incidente significativo, con conseguente obbligo di notifica. A completare il quadro concorre il Regolamento europeo 2024/2690, che introduce requisiti tecnici specifici per fornitori di servizi cloud, data center e altri servizi digitali considerati strategici.
Le scadenze che scandiscono l’anno
Il calendario 2026 ha imposto alle aziende coinvolte un percorso a tappe, in cui registrazione, comunicazione e aggiornamento restano obblighi distinti e autonomi tra loro. Dal 1° gennaio al 28 febbraio si sono concentrare le attività di registrazione o rinnovo dei soggetti sulla piattaforma ACN. Dal 15 aprile al 31 maggio si è proseguito con l’aggiornamento informativo annuale, durante la quale vanno confermati o modificati i dati sulla governance aziendale, gli indirizzi IP pubblici, i domini utilizzati e il nominativo del sostituto del punto di contatto. Una successiva Determinazione, datata 20 aprile 2026, ha poi introdotto un’ulteriore finestra, dal 1° maggio al 30 giugno, dedicata alla comunicazione e all’aggiornamento dell’elenco delle attività e dei servizi offerti dai soggetti essenziali e importanti. A questo si aggiunge un obbligo di aggiornamento continuo, da rispettare entro quattordici giorni da ogni variazione significativa delle informazioni già comunicate.
Il 31 ottobre 2026 resta comunque la data spartiacque, ma non riguarda tutti allo stesso modo: è il termine ultimo per l’adozione delle misure di sicurezza di base per i soggetti già inseriti nell’elenco ACN nel corso del 2025, la cosiddetta prima ondata. Chi è entrato nell’elenco per la prima volta nel 2026 avrà invece tempo fino al 31 luglio 2027. Da novembre 2026 l’ACN acquisirà la facoltà di avviare le attività ispettive, transitando dalla fase di accompagnamento a quella di verifica sostanziale dell’effettiva applicazione degli obblighi.
La governance entra nel merito del rischio cyber
Uno dei tratti distintivi della NIS2, e probabilmente il più dirompente per la cultura aziendale italiana, riguarda la responsabilità diretta dei vertici. L’articolo 23 del decreto stabilisce che i componenti degli organi di amministrazione non possano più delegare interamente la materia alle funzioni tecniche: sono tenuti a seguire percorsi formativi obbligatori, da completare entro ottobre 2026, per comprendere gli scenari di rischio e interpretare correttamente i relativi report, e devono approvare formalmente le politiche di sicurezza, che smettono così di essere documenti archiviati e non applicati.
Sanzioni e prospettive di semplificazione
Il sistema sanzionatorio previsto dalla direttiva lascia ai singoli Stati membri margini di attuazione, con differenze procedurali che riguardano il calcolo delle sanzioni sul fatturato e i meccanismi di penalità per l’inadempienza agli ordini vincolanti. In Italia le multe possono raggiungere i dieci milioni di euro, un deterrente che si accompagna a un dato ancora poco rassicurante: secondo alcune rilevazioni, solo il 3,9% delle aziende italiane risulterebbe pienamente pronto agli adempimenti richiesti.
Non mancano, tuttavia, segnali di correzione di rotta a livello comunitario. Il 20 gennaio 2026 la Commissione europea ha presentato un nuovo Cybersecurity Act insieme a modifiche mirate alla NIS2, con l’obiettivo dichiarato di semplificare la conformità e alleggerire gli oneri di gestione del rischio per le imprese che operano nel mercato unico. Secondo le stime di Bruxelles, l’intervento faciliterebbe la vita a circa 28.700 aziende, di cui 6.200 micro e piccole imprese: un riconoscimento implicito che la prima fase di attuazione ha generato, per gli operatori più piccoli, incertezza e costi non sempre proporzionati.
