La compliance NIS2 sta entrando nella sua fase più concreta. Molte aziende, infatti, negli ultimi mesi, hanno affrontato i primi adempimenti pensando che il tema si esaurisse con:
- registrazione sulla piattaforma ACN;
- individuazione del soggetto NIS;
- nomina dei referenti;
- predisposizione della documentazione iniziale.
In realtà, il vero impatto operativo della Direttiva inizia adesso: con le recenti determinazioni dell’Agenzia per la Cybersicurezza Nazionale (ACN), le imprese devono affrontare nuovi obblighi legati alla gestione dei fornitori rilevanti NIS, alla categorizzazione delle attività e all’aggiornamento continuo delle informazioni sul Portale ACN.
Le nuove disposizioni intervengono su due aspetti centrali:
- la definizione delle tempistiche applicabili ai soggetti inseriti nel perimetro NIS nel corso del 2026;
- l’aggiornamento delle modalità operative della piattaforma ACN, con particolare attenzione ai fornitori rilevanti e alla categorizzazione di attività e servizi.
Nuove scadenze NIS2: cosa devono fare le aziende
Con la Determinazione ACN n. 127434/2026 vengono ridefiniti alcuni termini operativi per i soggetti NIS inseriti nell’elenco nel corso del 2026.
Per queste organizzazioni:
- le misure di sicurezza di base dovranno essere implementate entro il 31 luglio 2027;
- gli obblighi di notifica degli incidenti significativi decorreranno dal 1° gennaio 2027;
- sarà necessario designare il Referente CSIRT entro la fine del 2026.
Per le organizzazioni già incluse nel perimetro NIS nel 2025 e confermate anche per il 2026, restano invece applicabili le tempistiche già previste:
- nove mesi per gli obblighi iniziali di notifica degli incidenti;
- diciotto mesi per l’adozione delle misure di sicurezza di base.
La Determinazione affronta inoltre il tema dei gestori di registri di nomi a dominio e dei provider di registrazione, prevedendo specifici obblighi legati alla raccolta e verifica delle informazioni di registrazione.
Fornitori rilevanti NIS: il nuovo focus dell’ACN
Con la Determinazione n. 127437/2026, ACN aggiorna le modalità di utilizzo della piattaforma digitale introducendo un tema destinato ad avere un impatto enorme sulle aziende: la gestione dei fornitori rilevanti.
Le organizzazioni devono infatti:
- individuare i fornitori rilevanti NIS;
- categorizzare attività e servizi;
- aggiornare periodicamente le informazioni inserite sulla piattaforma ACN;
- documentare i criteri utilizzati nella valutazione dei fornitori rilevanti.
Il punto centrale è che la sicurezza non viene più valutata solo all’interno dell’azienda, ma viene estesa all’intera supply chain.
Chi sono i fornitori rilevanti
Uno degli errori più comuni è pensare che siano rilevanti soltanto i grandi provider cloud o le multinazionali ICT. In realtà, un fornitore può essere considerato rilevante anche quando:
- contribuisce direttamente all’erogazione di un servizio essenziale;
- gestisce componenti critiche dell’infrastruttura;
- dispone di accessi privilegiati;
- la sua indisponibilità potrebbe compromettere la continuità operativa aziendale;
- non esistono alternative immediate o facilmente sostituibili.
Questo significa che possono assumere rilievo strategico:
- software house;
- MSP e fornitori IT;
- manutentori OT;
- partner cloud;
- outsourcer;
- fornitori SaaS;
- società che gestiscono accessi remoti o infrastrutture critiche.
Ed è qui che emergono le maggiori criticità organizzative.
Il problema: molte aziende non hanno ancora una governance dei fornitori
Nella pratica, molte organizzazioni non dispongono ancora di:
- una mappatura aggiornata dei fornitori ICT;
- criteri formalizzati di classificazione del rischio;
- processi strutturati di vendor assessment;
- clausole contrattuali adeguate in materia cybersecurity;
- procedure di audit sui fornitori critici;
- controlli documentati sugli accessi remoti;
- sistemi di monitoraggio continuo.
Ed è proprio questo il punto centrale della NIS2: la compliance è un sistema organizzativo continuo perché in caso di incidente informatico o fermo operativo, il problema non sarà soltanto tecnico. La vera domanda sarà “l’azienda aveva governato correttamente il rischio della propria supply chain?”.
NIS2 e responsabilità degli amministratori
La NIS2 attribuisce un ruolo diretto agli organi di amministrazione nella supervisione delle misure di gestione del rischio cyber. Questo comporta una conseguenza molto concreta: cybersecurity, compliance e governance non possono più essere considerate materie esclusivamente tecniche e le scelte organizzative diventano giuridicamente rilevanti.
Ed è qui che il supporto legale assume un ruolo strategico:
- nella definizione della governance;
- nella revisione dei contratti;
- nella gestione dei fornitori;
- nella documentazione delle decisioni;
- nella costruzione di processi di accountability realmente dimostrabili.
Perché le aziende devono agire ora
Le nuove determinazioni ACN segnano il passaggio dalla teoria all’operatività e le imprese che affrontano oggi la NIS2 come un mero adempimento formale rischiano di esporsi domani a criticità:
- operative;
- contrattuali;
- organizzative;
- reputazionali;
- legali.
La vera sfida è costruire un modello di gestione del rischio capace di resistere nel tempo, dimostrabile e coerente con gli obblighi normativi.
Nella NIS2 il rischio non entra quasi mai dalla porta principale, ma spesso entra attraverso un fornitore che nessuno aveva realmente valutato.