L’art. 30 del D.Lgs. 138/2024 impone ai soggetti NIS di classificare le proprie attività e i propri servizi in base al livello di esposizione al rischio. L’art. 42, comma 1, lett. b), fissa ad aprile 2026 il termine entro il quale l’ACN deve elaborare e adottare il relativo modello.

Con la Determinazione n. 127437/2026 del 13 aprile 2026, l’ACN ha avviato formalmente il processo, introducendo il nuovo “Servizio NIS/Categorizzazione” nella piattaforma digitale. Il modello definitivo è stato poi fissato dalla Determinazione n. 155238 del 20 aprile 2026.

La Determinazione n. 155238/2026 definisce dieci macro-aree per organizzare le attività e i servizi dell’organizzazione. A ciascuna attività il Punto di Contatto deve attribuire una delle quattro categorie di rilevanza:

La logica sottostante è quella dell’approccio multi-rischio: la valutazione tiene conto non solo delle minacce cyber, ma anche dei rischi fisici (interruzioni di corrente, allagamenti, accessi non autorizzati), in coerenza con il Considerando 79 della Dir. (UE) 2022/2555. L’operazione si svolge tramite la piattaforma ACN, nel periodo compreso tra il 1° maggio e il 30 giugno di ogni anno. Per il 2026, prima finestra operativa, il termine è il 30 giugno. Decorsa tale data, l’elenco categorizzato si intende definitivamente acquisito e non è più modificabile, salvo documentate criticità tecnico-operative non imputabili al soggetto.

Le entità finanziarie soggette al Reg. (UE) 2022/2554 (DORA) e rientranti anche nel perimetro NIS godono di un regime particolare: sono infatti esonerate dall’adempimento di categorizzazione, dalla designazione del Referente CSIRT e dall’elencazione degli organi amministrativi in sede di aggiornamento annuale.

È importante notare che per le attività già rientranti nel Perimetro di Sicurezza Nazionale Cibernetica, la categoria di impatto viene automaticamente considerata come “alta”, senza necessità di ulteriore valutazione discrezionale.

L’art. 42, comma 1, lett. c), del D.Lgs. 138/2024 impone all’ACN di elaborare entro aprile 2026 anche i cosiddetti “obblighi a lungo termine”. Questi si distinguono dalle misure di sicurezza di base già pubblicate con la Determinazione n. 379907/2025, che le organizzazioni devono implementare entro il 31 ottobre 2026.

Al momento della redazione di questo articolo, il pacchetto degli obblighi a lungo termine non risulta ancora pubblicato in forma definitiva. Rimane aperta una questione critica: se e in che misura gli esiti dell’analisi del rischio già condotta nell’ambito delle misure di base (cfr. misura ID.RA-05 della Det. n. 379907/2025) potranno essere valorizzati, evitando duplicazioni di effort. Chiarimenti ufficiali da parte dell’ACN su questo punto sono urgenti e attesi.

L’art. 24 del D.Lgs. 138/2024 include la sicurezza della catena di approvvigionamento tra gli elementi obbligatori delle misure di gestione del rischio. La Determinazione n. 127437/2026 ha reso l’obbligo operativo introducendo, nell’ambito dell’aggiornamento annuale delle informazioni (15 aprile–31 maggio), l’elencazione dei “fornitori rilevanti NIS”.

Un fornitore è qualificato come “rilevante” al ricorrere di almeno uno dei seguenti criteri:

L’impatto pratico di questa previsione è rilevante. I soggetti NIS sono tenuti a valutare non solo la qualità tecnica dei prodotti acquistati, ma la “postura cyber” complessiva del fornitore, inclusa la qualità delle pratiche di sicurezza lungo tutta la catena di approvvigionamento. I contratti devono ora prevedere clausole specifiche su:

Il risultato atteso è un meccanismo a cascata: i soggetti NIS, per rispettare i propri obblighi, eserciteranno pressione normativa indiretta su fornitori non ancora soggetti alla direttiva, innalzando il livello medio di sicurezza dell’intero sistema economico. Chi non si adeguerà rischia l’esclusione progressiva dalle supply chain delle organizzazioni strutturate.

Dal gennaio 2026, i soggetti NIS notificati nell’aprile 2025 sono tenuti a notificare allo CSIRT Italia gli incidenti significativi (artt. 25 e 29 del D.Lgs. 138/2024). Il processo si articola in tre step sequenziali:

Non ogni incidente cyber richiede notifica. L’ACN ha definito quattro fattispecie (IS) che fanno scattare l’obbligo:

La causa dell’incidente è irrilevante ai fini dell’obbligo di notifica: rientrano nella disciplina anche gli incidenti originati da eventi naturali, malfunzionamenti accidentali o errori umani, in linea con l’approccio multi-rischio della direttiva.

Per i soggetti inseriti per la prima volta nell’elenco NIS nel corso del 2026, la Determinazione n. 127434/2026 fissa scadenze specifiche per l’adeguamento normativo:

Il 31 ottobre 2026 è il termine ultimo per la piena operatività delle misure di sicurezza di base, come stabilisce l’art. 4 della Determinazione n. 379907/2025. Dopo tale data, l’ACN transita dalla fase di accompagnamento alla fase ispettiva. Le organizzazioni dovranno dimostrare – con evidenze concrete, non mere policy documentali – di aver implementato le misure previste nei dieci ambiti del framework:

L’art. 38 del D.Lgs. 138/2024 prevede un regime sanzionatorio proporzionato alla categoria di appartenenza:

La responsabilizzazione dei vertici aziendali – prevista dall’art. 23 del D.Lgs. 138/2024 – rende il tema della governance NIS2 non delegabile esclusivamente alle strutture IT.

Il secondo semestre 2026 è il periodo più denso dell’intera roadmap NIS2 italiana. Le scadenze si concentrano e si sovrappongono: categorizzazione entro giugno, aggiornamento fornitori rilevanti entro maggio, misure di base entro ottobre, avvio fase ispettiva subito dopo. Non è un percorso che si può affrontare in extremis. Le organizzazioni che hanno già avviato l’implementazione delle misure di base sono in vantaggio, ma devono ora integrare tre dimensioni aggiuntive

Chi tratta la NIS2 come un adempimento burocratico da completare nell’ultima settimana utile si espone non solo a sanzioni, ma a una progressiva marginalizzazione nelle supply chain strutturate. Chi invece la trasforma in un framework di gestione del rischio operativo ne trarrà un vantaggio competitivo.