Il 2026 è l'anno in cui la direttiva europea NIS2 entra nel vivo per migliaia di organizzazioni italiane. Dopo il recepimento nazionale, gli obblighi non sono più un orizzonte lontano ma una serie di scadenze concrete, con sanzioni significative per chi non si adegua. Vale la pena fare chiarezza su cosa cambia e per chi.
Che cos'e la NIS2
La NIS2 e la normativa con cui l'Unione Europea punta a innalzare il livello comune di sicurezza delle reti e dei sistemi informativi che sostengono i servizi essenziali. Amplia in modo sensibile il perimetro rispetto alla direttiva precedente, coinvolgendo molti più settori: energia, trasporti, sanita, pubblica amministrazione, infrastrutture digitali, gestione dei rifiuti, produzione alimentare e fornitori di servizi ICT, tra gli altri. In Italia l'autorità di riferimento e l'Agenzia per la Cybersicurezza Nazionale (ACN).
Le organizzazioni interessate sono classificate come soggetti essenziali o importanti, una distinzione che incide sull'intensita dei controlli e sull'entità delle sanzioni.
Le scadenze del 2026
Il calendario prevede due tappe centrali. Da gennaio 2026 è già operativo l'obbligo di notifica degli incidenti significativi al CSIRT Italia, la struttura dell'ACN che riceve e gestisce le segnalazioni. In caso di attacco rilevante, le aziende devono comunicare l'accaduto entro tempi stretti, con un primo allarme nelle ore immediatamente successive alla scoperta.
La seconda tappa, fissata per ottobre 2026, riguarda l'adozione completa delle misure di sicurezza di base e l'istituzione degli organi di governance dedicati alla cybersicurezza. Significa dotarsi di politiche di gestione del rischio, di procedure per la continuità operativa, di controlli sulla catena di fornitura e di responsabilità chiare a livello dirigenziale.
Le sanzioni
La NIS2 introduce un regime sanzionatorio robusto. Per i soggetti essenziali le multe possono raggiungere i 10 milioni di euro o una percentuale del fatturato annuo; per quelli importanti il tetto e di 7 milioni di euro. A questo si aggiunge un elemento di novità: la direttiva prevede la responsabilità diretta degli organi di gestione, che possono essere chiamati a rispondere personalmente delle inadempienze.
Il rapporto con GDPR e DORA
La NIS2 non vive isolata. Si intreccia con il GDPR, che tutela i dati personali, e con il regolamento DORA, dedicato alla resilienza operativa digitale del settore finanziario. Un incidente che comporti la violazione di dati personali, per esempio, può far scattare contemporaneamente gli obblighi di notifica della NIS2 e quelli del GDPR verso il Garante per la protezione dei dati. Per le aziende questo significa costruire un sistema di gestione integrato, evitando di trattare ciascuna normativa come un adempimento separato.
Cosa fare ora
Per le organizzazioni coinvolte il tempo stringe. I primi passi consigliati sono verificare se si rientra nel perimetro della direttiva, mappare i propri sistemi e i fornitori critici, definire procedure di notifica degli incidenti e avviare l'adeguamento delle misure tecniche e organizzative prima della scadenza di ottobre. Arrivare preparati, in questo caso, non e solo una questione di conformità: è un investimento concreto nella resilienza dell'azienda.
