NIS2 PMI italiane 2026: obblighi, sanzioni e chi è davvero coinvolto

Disclosure: questo articolo contiene un link di affiliazione. Se acquisti tramite quel link, NextGenTool.it riceve una commissione senza costi aggiuntivi per te. Il contenuto normativo di questa pagina è informativo e non è influenzato da alcuna partnership commerciale.

Aggiornato: luglio 2026

È lo scenario che vediamo ricorrere spesso: un'azienda manifatturiera con 30-40 dipendenti, che produce componenti meccanici, guarda la NIS2 e conclude "non sono un'infrastruttura critica, non mi riguarda". Tecnicamente ha ragione.

Praticamente no.

Perché capita che, poche settimane dopo, arrivi dal cliente principale — un gruppo con centinaia di dipendenti nel settore energia o in un altro settore ad alta criticità — un questionario di decine di domande sulla propria postura di sicurezza informatica, con richiesta di firmare un'appendice contrattuale che prevede obblighi di notifica degli incidenti entro 24 ore e diritto di audit. Non perché la legge lo imponga a quella piccola azienda. Perché il suo cliente, quello sì obbligato, deve dimostrare all'Agenzia per la Cybersicurezza Nazionale di aver messo sotto controllo la propria catena di fornitura.

Questa è la NIS2 vista dal basso: una normativa che formalmente riguarda poco più di 20.000 organizzazioni italiane e che di fatto sta ridisegnando i requisiti di accesso al mercato per decine di migliaia di PMI fornitrici.

In questa pagina trovi il quadro completo e verificato: chi è davvero obbligato, quali sono le scadenze del 2026, quanto valgono le sanzioni e cosa deve fare concretamente un'azienda italiana. È il contenuto di riferimento a cui rimanderanno tutti i prossimi articoli del nostro cluster cybersecurity.

Cos'è la NIS2 in tre punti, senza burocratese

Primo: è una direttiva europea, ma quello che conta è il decreto italiano. La direttiva (UE) 2022/2555 è stata recepita in Italia con il decreto legislativo 4 settembre 2024, n. 138, pubblicato in Gazzetta Ufficiale il 1° ottobre 2024 ed entrato in vigore il 16 ottobre 2024. Quando qualcuno ti parla di "obblighi NIS2", il testo da guardare è il D.Lgs. 138/2024 e le determinazioni attuative dell'ACN, non la direttiva europea.

Secondo: l'autorità sei tenuto a conoscerla, si chiama ACN. L'Agenzia per la Cybersicurezza Nazionale è l'autorità nazionale competente e il punto di contatto unico. Le notifiche di incidente vanno invece al CSIRT Italia. Tutto passa da una piattaforma digitale gestita dall'ACN: registrazione, aggiornamento annuale dei dati, categorizzazione dei servizi, comunicazioni ufficiali.

Terzo: la NIS2 sposta la responsabilità in alto. È il punto più sottovalutato. L'articolo 23 del decreto stabilisce che gli organi di amministrazione e direttivi approvano le misure di gestione del rischio, ne vigilano l'attuazione e rispondono delle violazioni commesse dal soggetto che rappresentano. La delega operativa all'IT resta possibile; la responsabilità no. Amministratori e dirigenti sono anche tenuti a seguire percorsi di formazione specifici in materia di cybersicurezza.

Rispetto alla precedente NIS del 2018, il salto di scala è notevole: si passa da 7 a 18 settori (11 ad alta criticità e 7 critici), con oltre 80 tipologie di soggetti pubblici e privati distribuite negli allegati da I a IV.

Chi è obbligato alla NIS2 in Italia: la tabella per settore e dimensione

Questa è la domanda che conta: riguarda anche me?

La risposta dipende dall'incrocio di due variabili, il settore di attività e la dimensione dell'impresa. Entrambe devono verificarsi. Non basta essere grandi, non basta essere in un settore elencato.

Le soglie dimensionali seguono la Raccomandazione europea 2003/361/CE:

• Grande impresa: 250 dipendenti o più, oppure fatturato annuo superiore a 50 milioni di euro e totale di bilancio superiore a 43 milioni di euro.
• Media impresa: da 50 a 249 dipendenti, oppure fatturato annuo tra 10 e 50 milioni di euro o totale di bilancio tra 10 e 43 milioni di euro.
• Piccola impresa e microimpresa: sotto i 50 dipendenti e sotto i 10 milioni di fatturato o bilancio.

Gli allegati classificano i settori:

• Allegato I — settori ad alta criticità (11): energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi ICT business-to-business, pubblica amministrazione, spazio.
• Allegato II — altri settori critici (7): servizi postali e di corriere, gestione dei rifiuti, produzione e distribuzione di sostanze chimiche, produzione e trasformazione alimentare, fabbricazione (dispositivi medici, computer ed elettronica, apparecchiature elettriche, macchinari, autoveicoli e altri mezzi di trasporto), fornitori di servizi digitali, organizzazioni di ricerca.

Incrociando le due variabili si ottiene la mappa che serve davvero:

Le eccezioni che scavalcano la dimensione. Alcune categorie rientrano a prescindere dai numeri: fornitori di reti pubbliche di comunicazione elettronica e di servizi di comunicazione elettronica accessibili al pubblico, prestatori di servizi fiduciari, gestori di registri dei nomi di dominio di primo livello e fornitori di servizi DNS, le pubbliche amministrazioni individuate dall'Allegato III, i soggetti critici già identificati ai fini della direttiva CER. In aggiunta, l'ACN mantiene la facoltà di identificare come essenziali altri soggetti indipendentemente dalle dimensioni — tipicamente quando un'impresa è l'unico fornitore di un servizio rilevante su un territorio.

I numeri reali del perimetro italiano. Secondo i dati comunicati dall'ACN, a fronte di oltre 30.000 organizzazioni che si sono registrate sulla piattaforma, l'elenco nazionale ne ha individuate oltre 20.000 effettivamente in perimetro, di cui più di 5.000 classificate come essenziali.

La registrazione è annuale, non una tantum. La finestra va dal 1° gennaio al 28 febbraio di ogni anno. I soggetti già registrati devono rinnovare confermando o aggiornando i dati tramite validazione digitale del legale rappresentante; i nuovi entrati effettuano la prima registrazione. Non è un dettaglio burocratico: è la comunicazione di inserimento nell'elenco a far decorrere i termini per tutti gli obblighi successivi.

Le scadenze NIS2 del 2026: cosa è già scaduto e cosa arriva

Il meccanismo è a orologeria e parte dalla data in cui l'ACN comunica al soggetto l'inserimento nell'elenco: nove mesi per attivare la notifica degli incidenti, diciotto mesi per implementare le misure di sicurezza di base.

Per chi è in elenco dal 2025, tradotto in calendario:

Per i soggetti inseriti in elenco per la prima volta nel 2026, la determinazione ACN n. 127434/2026 del 13 aprile 2026 ha fissato termini più larghi, in applicazione del principio di proporzionalità: obbligo di notifica degli incidenti significativi a partire dal 1° gennaio 2027 e adozione delle misure di sicurezza di base entro il 31 luglio 2027. Chi era già in elenco dal 2025 non beneficia di alcuna proroga.

Attenzione a una trappola documentale ricorrente. La prima determinazione tecnica, la n. 164179 del 14 aprile 2025, è stata abrogata e sostituita dalla n. 379907/2025, efficace dal 15 gennaio 2026. Molti consulenti e molti documenti interni circolano ancora citando il testo di aprile 2025. Se il tuo piano di adeguamento fa riferimento a quel numero, stai lavorando su una fonte superata.

Cosa chiedono le misure di base. La determinazione 379907/2025 le articola in quattro allegati tecnici: i primi due contengono le misure di sicurezza (per soggetti importanti ed essenziali), gli altri due i criteri di significatività degli incidenti. L'allegato dedicato ai soggetti importanti elenca 37 misure articolate in 87 requisiti; quello per i soggetti essenziali sale a 43 misure e 116 requisiti. Le ispezioni si baseranno esattamente su questi allegati.

I tempi di notifica sono stretti. Pre-notifica al CSIRT Italia entro 24 ore dalla conoscenza dell'incidente, notifica completa entro 72 ore con valutazione iniziale e indicatori di compromissione, relazione finale entro un mese. Se l'incidente è ancora in corso, sono previste relazioni intermedie. Rispettare queste finestre significa avere ruoli, soglie di valutazione e canali definiti prima dell'evento. Nessuno improvvisa una notifica formale entro 24 ore mentre sta gestendo un ransomware.

Sanzioni NIS2 in Italia: importi reali e differenze rispetto al GDPR

L'articolo 38 del D.Lgs. 138/2024 differenzia le sanzioni per categoria di soggetto:

Ma ridurre la NIS2 alla multa è l'errore di lettura più comune. L'apparato sanzionatorio prevede misure che incidono sulla continuità operativa e sulla posizione personale degli amministratori:

• Ordini di conformità con termine perentorio, il cui mancato rispetto apre a ulteriori sanzioni.
• Audit di sicurezza obbligatori a spese del soggetto sanzionato.
• Pubblicazione della violazione, con danno reputazionale che in molti settori pesa più della sanzione economica.
• Sospensione temporanea del servizio per i soggetti essenziali, nei casi di rischio imminente.
• Incapacità temporanea a svolgere funzioni dirigenziali all'interno del medesimo soggetto, applicabile a legale rappresentante, amministratore delegato e componenti degli organi di amministrazione.

Il confronto con il GDPR, che tutti fanno male. Sui massimali il GDPR è più severo: l'articolo 83 del Regolamento arriva a 20 milioni di euro o al 4% del fatturato mondiale per le violazioni più gravi. Se guardi solo la cifra, la NIS2 sembra il fratello minore.

La differenza sostanziale è un'altra, ed è tre volte:

1. L'oggetto tutelato. Il GDPR protegge i dati personali. La NIS2 protegge la continuità del servizio. Un attacco che blocca una linea di produzione senza toccare un solo dato personale è irrilevante per il Garante e pienamente rilevante per l'ACN.
2. Il destinatario della sanzione. Il GDPR sanziona il titolare del trattamento, cioè l'ente. La NIS2 arriva alla persona fisica al vertice con una sanzione interdittiva.
3. Il cumulo è possibile. Un data breach può violare simultaneamente entrambe le discipline, esponendo l'azienda all'azione di due autorità distinte. Il decreto prevede meccanismi di coordinamento per evitare duplicazioni sproporzionate, ma la doppia contestazione resta uno scenario concreto.

C'è poi un profilo che raramente viene messo sul tavolo: la mancata adozione delle misure previste può integrare una violazione del dovere degli amministratori di dotare l'impresa di assetti organizzativi adeguati ai sensi dell'articolo 2086 del Codice Civile. In presenza di un incidente con danni patrimoniali rilevanti, soci e creditori sociali hanno una base per agire in responsabilità. La sanzione ACN, in quel quadro, è il problema meno costoso.

Cosa deve fare concretamente una PMI: la checklist minima

Questa non è la trasposizione integrale della direttiva. È il nucleo operativo, quello che serve per non trovarsi scoperti a un'ispezione.

1. Determina la tua posizione e mettila per iscritto. Settore, codice ATECO, numero di occupati, fatturato e bilancio dell'ultimo esercizio, valutati a livello di gruppo dove rilevante. Se sei fuori perimetro, produci comunque un documento di autovalutazione datato e firmato: è ciò che ti serve se un cliente ti chiede conto della tua posizione.

2. Se sei dentro, presidia la piattaforma ACN. Registrazione o rinnovo nella finestra gennaio-febbraio, designazione del punto di contatto e del referente per i rapporti con il CSIRT Italia, designazione del sostituto, aggiornamento annuale dei dati entro maggio.

3. Costruisci la procedura di notifica prima di averne bisogno. Chi rileva, chi valuta la significatività secondo i criteri degli allegati, chi firma, con quali credenziali si accede al portale, quali sono i tempi interni compatibili con le 24 e le 72 ore. Un incidente alle 19 del venerdì è lo scenario di test corretto.

4. Fai la gap analysis sugli allegati giusti. Confronto strutturato tra lo stato attuale e la baseline della determinazione 379907/2025. La mappatura verso ISO/IEC 27001:2022 o il NIST Cybersecurity Framework 2.0 aiuta, ma non sostituisce il confronto puntuale con i requisiti nazionali.

5. Copri il nucleo tecnico minimo. L'articolo 24 del decreto impone un approccio multirischio: politiche di analisi e gestione del rischio, gestione degli incidenti, continuità operativa con backup e disaster recovery testati, sicurezza della catena di fornitura, igiene informatica di base e formazione, uso della crittografia, controllo degli accessi e autenticazione a più fattori.

Su quest'ultimo punto vale una nota di merito ingegneristico: autenticazione a più fattori e gestione strutturata delle credenziali sono il controllo con il miglior rapporto tra costo e riduzione del rischio dell'intero elenco. Costano poche decine di euro per utente all'anno e chiudono la porta al vettore di attacco più diffuso in assoluto. Le abbiamo testate entrambe nel confronto tra NordPass e 1Password.

Sul fronte della protezione delle comunicazioni e degli accessi remoti — un requisito che ricade sia sotto la crittografia sia sotto il controllo degli accessi — una VPN aziendale è la misura di base più economica da implementare. Se vuoi il quadro dei costi reali con IVA, l'abbiamo analizzato nel nostro test di NordVPN per le PMI italiane; il piano business è disponibile sul sito ufficiale NordVPN. Da sola non ti rende conforme, e chi te la vende come "soluzione NIS2" ti sta raccontando una storia.

6. Documenta tutto. Registri degli incidenti, prove dell'esecuzione dei backup, verbali della formazione erogata ad amministratori e personale, contratti con clausole di sicurezza verso i fornitori. In fase ispettiva l'evidenza documentale è la conformità: una misura implementata ma non dimostrabile equivale, sul piano probatorio, a una misura assente.

7. Porta il tema in consiglio. Verbalizza l'approvazione delle misure da parte dell'organo amministrativo e la formazione ricevuta. È un adempimento a costo quasi zero che chiude l'esposizione personale prevista dall'articolo 23.

L'effetto a cascata: perché la NIS2 riguarda anche chi non è obbligato

Torniamo allo scenario dell'inizio, quello dell'azienda manifatturiera sotto i 50 dipendenti. Ecco perché un cliente strutturato la coinvolge comunque.

Con la determinazione n. 127437/2026 del 13 aprile 2026, l'ACN ha formalizzato la nozione di fornitore rilevante NIS e l'ha trasformata in un obbligo dichiarativo. Un fornitore è "rilevante" se soddisfa almeno uno di questi criteri: la fornitura è riconducibile alle attività ICT elencate nell'Allegato I del decreto, oppure la sua interruzione avrebbe un impatto significativo sulla capacità del soggetto NIS di erogare i propri servizi, anche per indisponibilità di alternative — la cosiddetta fornitura non fungibile.

Il secondo criterio è quello che allarga tutto. Non si basa sul tipo di contratto o sul valore della fornitura, ma sull'impatto operativo. Un'officina meccanica che produce un componente per cui non esistono fornitori alternativi qualificati è un fornitore rilevante tanto quanto il gestore del cloud.

I soggetti in perimetro devono comunicare all'ACN l'elenco di questi fornitori, completo di dati anagrafici e codici CPV. Le FAQ pubblicate dall'Agenzia il 18 maggio 2026 hanno poi chiarito lo scenario più insidioso, quello della fornitura intermediata: se il contratto è con un system integrator che rivende e gestisce l'infrastruttura di un provider terzo, vanno censiti entrambi. Se l'intermediario è un puro rivenditore commerciale senza ruolo nell'erogazione, si indica il fornitore effettivo.

Il risultato pratico per una PMI italiana fuori perimetro è questo:

• Ricevi questionari di autovalutazione dai clienti obbligati, sempre più spesso strutturati.
• Ti vengono proposte appendici contrattuali con requisiti minimi di sicurezza, obblighi di notifica e diritti di audit.
• La tua postura di sicurezza diventa un criterio di qualifica fornitore, al pari delle certificazioni di qualità.

È il meccanismo che vent'anni fa ha diffuso la ISO 9001 nelle piccole imprese italiane: nessuna legge la imponeva, ma senza non entravi in certe forniture. La differenza è la velocità. Qui la spinta arriva da una scadenza normativa datata ottobre 2026, non da una lenta evoluzione di mercato.

Il verdetto onesto, che è il motivo per cui esiste questo blog: se hai meno di 50 dipendenti probabilmente non sei obbligato, e chiunque provi a venderti un pacchetto di consulenza "obbligatoria NIS2" da cinquemila euro sta approfittando della confusione. Ma se il tuo fatturato dipende in misura significativa da clienti strutturati nei settori degli allegati, il costo di non attrezzarti non è una sanzione: è l'uscita dall'albo fornitori. E quello arriva molto prima di qualsiasi ispezione.

Cybersecurity per la tua professione

Stiamo costruendo un cluster di guide verticali dedicate alle esigenze di sicurezza dei singoli settori professionali. Nel frattempo, questi sono i nostri test già pubblicati sugli strumenti che coprono le misure di base richieste dall'articolo 24:

• NordVPN vale davvero la pena per una PMI italiana? — protezione delle comunicazioni e degli accessi remoti, costi reali con IVA
• NordPass per team italiani: prezzi con IVA e la trappola dei 10 utenti — gestione strutturata delle credenziali
• NordPass vs 1Password: quale password manager per la tua PMI — confronto diretto con costi a tre anni
• Kaspersky per PMI italiane: il test completo — protezione degli endpoint

Conformità minima o conformità sostanziale: pro e contro

C'è una scelta strategica che nessun consulente ti pone esplicitamente, ma che determina il costo complessivo dell'adeguamento.

L'approccio a conformità minima punta a coprire i requisiti formali degli allegati con il minor investimento possibile: procedure scritte, un livello base di controlli tecnici, la documentazione necessaria a superare una verifica.

A favore: costo iniziale contenuto e prevedibile, tempi compatibili con la scadenza di ottobre, impatto organizzativo ridotto. Per un soggetto importante, sottoposto a vigilanza prevalentemente reattiva, è una scelta difendibile in termini di allocazione delle risorse.

Contro: produce documentazione che descrive controlli non realmente operativi. Il segnale che emerge dalla fase attuativa è che la criticità in sede ispettiva non sarà avere le misure sulla carta, ma dimostrare coerenza tra perimetro degli asset, analisi del rischio e controlli effettivamente funzionanti. E soprattutto: non ti protegge da un attacco. Una procedura di backup documentata ma mai testata si scopre inutile esattamente nel momento peggiore.

L'approccio a conformità sostanziale tratta la scadenza come occasione per costruire una postura di sicurezza reale.

A favore: riduzione effettiva del rischio operativo, evidenze che reggono qualsiasi audit, posizione forte nei rapporti con i clienti che ti qualificano come fornitore. In più, ti mette in condizione di affrontare senza traumi le misure di sicurezza a lungo termine che l'ACN definirà oltre l'attuale baseline.

Contro: costo iniziale più alto, necessità di competenze che molte PMI non hanno internamente, tempi di implementazione difficilmente comprimibili sotto i sei mesi per la parte di supply chain.

La mia posizione da ingegnere: la conformità minima ha senso solo se sei sicuro che il tuo profilo di rischio operativo sia realmente basso. Nel manifatturiero italiano, dove un fermo di tre giorni per ransomware costa più di qualunque programma triennale di sicurezza, quella condizione quasi non si verifica mai. Il principio di proporzionalità fissato dall'articolo 31 del decreto consente di graduare le misure in funzione di dimensione ed esposizione al rischio, ma va documentato: è un criterio di calibratura, non una scorciatoia.

Un dato che dice molto sulle intenzioni dell'Agenzia: con il DPCM del 29 settembre 2025, la dotazione organica dell'ACN è passata da 506 a 669 unità con effetto dal 1° gennaio 2026, un incremento del 32%. Non si assume personale per fare accompagnamento.

Domande frequenti sulla NIS2 per le PMI italiane

La NIS2 si applica alle piccole imprese italiane sotto i 50 dipendenti?
Di norma no. Il perimetro parte dalle medie imprese, cioè da 50 dipendenti o da 10 milioni di fatturato o bilancio, e richiede in ogni caso l'appartenenza a uno dei settori degli allegati. Restano fuori le microimprese e le piccole imprese, salvo le eccezioni che prescindono dalla dimensione — fornitori di reti e servizi di comunicazione elettronica accessibili al pubblico, prestatori di servizi fiduciari, gestori di registri e servizi DNS, pubbliche amministrazioni, soggetti critici ai fini della direttiva CER — e salvo la facoltà dell'ACN di designare soggetti essenziali indipendentemente dai numeri. Attenzione però al ruolo di fornitore: puoi essere fuori perimetro e comunque essere censito come fornitore rilevante da un tuo cliente obbligato.

Quali sono le sanzioni NIS2 in Italia e chi le applica?
Le applica l'ACN. Per i soggetti essenziali si arriva a 10 milioni di euro o al 2% del fatturato mondiale annuo, se superiore; per i soggetti importanti a 7 milioni o all'1,4%; per le pubbliche amministrazioni l'intervallo è tra 10.000 e 50.000 euro. Accanto alla sanzione pecuniaria l'Agenzia può disporre ordini di conformità, audit obbligatori a spese dell'azienda, pubblicazione della violazione, sospensione temporanea del servizio per i soggetti essenziali e incapacità temporanea a svolgere funzioni dirigenziali per gli amministratori.

Quando scade la registrazione NIS2 sulla piattaforma ACN?
La finestra è annuale e va dal 1° gennaio al 28 febbraio di ogni anno, sia per il rinnovo dei soggetti già in elenco sia per la prima registrazione dei nuovi entrati. A questa si aggiungono l'aggiornamento annuale delle informazioni, comprensivo dell'elenco dei fornitori rilevanti, e la categorizzazione di attività e servizi, con scadenze fissate dalle determinazioni ACN nel corso della primavera.

Cosa cambia il 31 ottobre 2026 per chi è già in elenco?
È il termine ultimo per la piena operatività delle misure di sicurezza di base previste dagli allegati della determinazione 379907/2025, con evidenze documentali dimostrabili. Da quella data l'ACN passa dalla fase di accompagnamento a quella di verifica: vigilanza proattiva per i soggetti essenziali, prevalentemente reattiva — cioè attivata da incidenti o segnalazioni — per i soggetti importanti. Chi è entrato in elenco per la prima volta nel 2026 ha invece tempo fino al 31 luglio 2027.

La mia azienda non è obbligata, ma un cliente mi chiede di adeguarmi alla NIS2: devo farlo?
Non è un obbligo di legge, è una condizione contrattuale. Il tuo cliente, se è soggetto NIS, deve governare il rischio della propria catena di fornitura e comunicare all'ACN i fornitori rilevanti: sta trasferendo su di te un requisito che grava su di lui. Puoi negoziare i contenuti — perimetro dell'audit, tempi di notifica, misure specificamente richieste — ma rifiutare in blocco significa, nella maggior parte dei casi, uscire dall'albo fornitori. Conviene valutarlo come un investimento commerciale, non come un costo di compliance.

NIS2 e GDPR sono la stessa cosa? Se sono già conforme al GDPR, sono a posto?
No. Il GDPR protegge i dati personali, la NIS2 protegge la continuità dei servizi. Un attacco che ferma la produzione senza toccare dati personali rileva solo ai fini NIS2. Le due discipline hanno autorità diverse — Garante Privacy e ACN — e le sanzioni possono cumularsi. Le misure organizzative già adottate per il GDPR sono un buon punto di partenza, in particolare su gestione degli incidenti e formazione, ma non coprono i requisiti tecnici degli allegati della determinazione 379907/2025.

Quanto costa adeguarsi alla NIS2 per una media impresa italiana?
Non esiste una cifra affidabile da riportare, e diffida di chi te ne fornisce una senza aver visto i tuoi sistemi: il costo dipende dal punto di partenza, dal numero di sedi, dalla complessità della supply chain e dalla presenza o meno di competenze interne. Quello che si può dire con certezza è come si distribuisce la spesa: la parte tecnica di base — autenticazione a più fattori, gestione delle credenziali, backup testati, protezione degli endpoint e delle comunicazioni — pesa poche decine di euro per utente all'anno, mentre la voce dominante è quasi sempre il lavoro organizzativo di analisi del rischio, mappatura dei fornitori e produzione documentale. Chi ti propone una soluzione tecnologica come risposta completa alla NIS2 sta vendendo la parte più economica del problema.

In sintesi

La NIS2 in Italia è uscita dalla fase progettuale. Le registrazioni sono chiuse, la notifica degli incidenti è già esigibile, il 31 ottobre 2026 è la data oltre la quale l'ACN può bussare alla porta.

Per la maggior parte delle PMI italiane il punto non è la sanzione, statisticamente improbabile per un soggetto importante sotto vigilanza reattiva. Il punto è che la sicurezza informatica sta diventando un requisito di qualifica commerciale, imposto a valle da clienti che devono rispondere all'Agenzia della propria catena di fornitura.

Come per qualsiasi requisito di processo: puoi subirlo quando arriva il questionario del cliente, oppure anticiparlo e usarlo come argomento di vendita. Il costo delle due strade non è lo stesso.

Fonti verificate a luglio 2026: D.Lgs. 4 settembre 2024 n. 138 (Gazzetta Ufficiale n. 230 del 1° ottobre 2024); Direttiva (UE) 2022/2555; portale ACN, sezione normativa NIS e Modalità e specifiche di base; Determinazioni ACN n. 379907/2025 e n. 379887/2025 del 24 dicembre 2025; Determinazioni ACN n. 127434/2026 e n. 127437/2026 del 13 aprile 2026; Determinazione ACN n. 155238 del 20 aprile 2026; FAQ ACN sui fornitori rilevanti del 18 maggio 2026.

Questo articolo ha finalità informative e non costituisce consulenza legale. Per la valutazione della posizione specifica della tua azienda rivolgiti a un professionista abilitato.

Admeto Verde, Founder NextGenTool.it
Ingegnere Industriale, 15 anni di esperienza in PMI strutturate
"Il digital che funziona ha le stesse regole di una catena di produzione: misuri, ottimizzi, ripeti."

Ultimo aggiornamento: 30 luglio 2026 — © NextGenTool.it