Il 20 gennaio 2026 la Commissione europea ha presentato un ambizioso pacchetto normativo sulla cibersicurezza che riscrive alcune delle regole fondamentali vigenti nell'Unione. L'iniziativa prevede l'abrogazione del Cybersecurity Act del 2019, la sua sostituzione con un nuovo testo comunemente denominato Cybersecurity Act 2, e modifiche mirate alla Direttiva NIS2. Per le aziende italiane già impegnate nell'adeguamento, è importante capire cosa cambia — e cosa invece resta invariato.

Perché intervenire ora

Il Cybersecurity Act del 2019 aveva istituito il framework europeo di certificazione della cybersecurity e definito il mandato permanente dell'ENISA. Nel frattempo, però, il panorama delle minacce è cambiato profondamente, e la NIS2 — entrata in vigore nel 2023 e recepita in Italia con il D.Lgs. 138/2024 — ha introdotto obblighi molto più stringenti per un numero molto più ampio di soggetti.

La Commissione ha ritenuto necessario un intervento coordinato per tre motivi principali: la crescente pressione sulle filiere ICT (dove un singolo fornitore compromesso può avere effetti a cascata su migliaia di organizzazioni), la frammentazione dei requisiti di conformità che penalizza le imprese che operano in più Stati membri, e l'esigenza di rafforzare le capacità operative dell'ENISA in un contesto geopolitico sempre più instabile.

Le principali novità del Cybersecurity Act 2

Il nuovo testo propone un sistema di certificazione più agile, con procedure standardizzate e tempi definiti: come regola generale, i nuovi schemi di certificazione dovranno essere sviluppati entro 12 mesi. La certificazione resterà volontaria per le imprese, ma diventerà uno strumento concreto per dimostrare la conformità alla normativa dell'Unione, con un valore riconosciuto anche nei procedimenti davanti alle autorità nazionali.

Uno degli aspetti più rilevanti è il rafforzamento del ruolo dell'ENISA, che acquisisce maggiori poteri di coordinamento e supporto operativo agli Stati membri, con la possibilità di intervenire direttamente in caso di incidenti di rilevanza transfrontaliera.

Cosa cambia per la NIS2

Le modifiche proposte alla NIS2 puntano a semplificare la compliance per le circa 28.700 aziende interessate in tutta l'Unione, di cui oltre 6.000 sono micro e piccole imprese. Gli emendamenti chiariscono alcune ambiguità interpretative che hanno generato difformità nell'applicazione tra i vari Stati membri e riducono la sovrapposizione con altri regimi normativi come il DORA (già applicabile dal 17 gennaio 2025 per il settore finanziario).

Per l'Italia, dove la scadenza del 30 giugno 2026 impone la categorizzazione delle attività e dei servizi ai soggetti NIS2, le modifiche proposte non alterano gli obblighi in vigore. Le revisioni dovranno ancora completare l'iter legislativo europeo (Parlamento e Consiglio) prima di diventare applicabili.

Filiere ICT e reti mobili nel mirino

Il pacchetto prevede anche una stretta specifica sulla sicurezza delle catene di approvvigionamento ICT e delle reti mobili. Gli eventi del 2026 — in particolare la vasta campagna del gruppo TeamPCP contro strumenti di sicurezza ampiamente distribuiti come Trivy, KICS e LiteLLM — hanno dimostrato in modo plastico quanto un singolo punto di compromissione nella supply chain possa propagarsi rapidamente a migliaia di organizzazioni in tutto il mondo.

La proposta introduce requisiti di trasparenza più severi per i fornitori di tecnologia critica e prevede la possibilità per la Commissione di adottare atti delegati per definire i criteri di sicurezza applicabili a categorie specifiche di prodotti e servizi ICT.

Cosa fare adesso

Per le aziende italiane già nel perimetro NIS2, la priorità rimane rispettare le scadenze nazionali in vigore, a partire dalla categorizzazione entro il 30 giugno 2026. Il pacchetto europeo è ancora in fase di proposta e richiederà diversi mesi di negoziato istituzionale prima di tradursi in obblighi concreti.

È tuttavia consigliabile iniziare a monitorare l'iter legislativo — in particolare per le imprese che operano in settori toccati dalle nuove norme sulle filiere ICT — perché le revisioni potrebbero introdurre requisiti aggiuntivi con tempistiche di adeguamento relativamente brevi una volta adottate definitivamente.