C’e’ una scadenza che molte imprese stanno trattando come un adempimento tecnico per altri, e che invece conviene guardare da vicino: il 30 giugno 2026 si chiude la finestra per completare, sulla piattaforma dell’Agenzia per la Cybersicurezza Nazionale (ACN), la categorizzazione delle attivita’ e dei servizi prevista dalla direttiva NIS2. Aperta dal 1 maggio, e’ la fase in cui i soggetti tenuti agli obblighi descrivono cosa fanno e quanto e’ rilevante, secondo un modello a 10 macro-aree e 4 livelli di importanza. Dopo quella data l’elenco e’ acquisito in via definitiva: si modifica solo per criticita’ documentate.
Chi e’ obbligato e cosa rischia se salta la scadenza
L’adempimento riguarda i soggetti NIS gia’ censiti nelle fasi precedenti (la registrazione e l’aggiornamento dei dati sulla catena di fornitura si erano chiusi il 31 maggio). Per loro la categorizzazione non e’ un dettaglio formale: definisce il perimetro degli obblighi di sicurezza e di notifica degli incidenti che ne deriveranno. Il quadro sanzionatorio della NIS2 e’ pesante e arriva, per i soggetti essenziali, fino a 10 milioni di euro o al 2% del fatturato annuo mondiale.
Dopo questa data l'elenco categorizzato e' acquisito in via definitiva e modificabile solo per criticita' documentate. Il modello prevede 10 macro-aree di attivita' e 4 livelli di rilevanza (Determinazione ACN 155238).
Fonte: PMI.it, ICT Security Magazine — giugno 2026
L’effetto a cascata: perche’ riguarda anche chi pensa di esserne fuori
Qui sta il punto meno raccontato. Le micro e piccole imprese sono in genere escluse dall’obbligo di registrazione diretta. Ma la NIS2 estende la responsabilita’ alla catena di approvvigionamento: un’azienda soggetta NIS deve gestire il rischio dei propri fornitori. In pratica, se una PMI fornisce servizi rilevanti a un soggetto NIS, deve aspettarsi di ricevere richieste contrattuali in materia di sicurezza come condizione per restare in fornitura.
Non e’ un obbligo di legge diretto verso la piccola impresa, ma un effetto-mercato: il cliente piu’ grande trasferisce a valle, tramite clausole, le proprie esigenze di conformita’. Chi non e’ in grado di documentare misure di base rischia di uscire dai capitolati, anche senza essere mai stato “soggetto NIS”.
Se sei soggetto NIS: entra sulla piattaforma ACN e chiudi la categorizzazione entro il 30 giugno, e' irreversibile. Se sei un fornitore non obbligato: prepara un dossier sintetico delle misure di sicurezza gia' in atto (autenticazione a piu' fattori, backup, gestione degli aggiornamenti, referente sugli incidenti) da consegnare al cliente che lo chiede.
Cosa fare lunedi’ mattina
Le azioni sono due, a seconda di dove ci si trova. Se l’azienda e’ un soggetto NIS, va aperta la piattaforma ACN e completata la categorizzazione entro il 30 giugno, verificando con il proprio referente o consulente che attivita’ e livelli di rilevanza siano coerenti: e’ una scelta che pesa sugli obblighi successivi e non si corregge a piacere. Se invece l’azienda fornisce servizi a clienti piu’ grandi potenzialmente soggetti NIS, conviene non aspettare la richiesta: preparare un documento sintetico delle misure gia’ adottate (autenticazione a piu’ fattori, backup testati, processo di aggiornamento dei sistemi, un referente per gli incidenti) trasforma una potenziale obiezione del cliente in un punto a favore in sede di gara.