NIS2: la tua azienda ha più di 50 dipendenti? Ecco cosa ti chiede l'ACN (e cosa succede se ignori la registrazione)

Se la tua azienda ha almeno 50 dipendenti o 10 milioni di euro di fatturato e opera in uno dei settori della direttiva NIS2, hai obblighi di legge con date precise: registrazione sulla piattaforma ACN dal 1° gennaio al 28 febbraio di ogni anno, notifica degli incidenti significativi operativa da gennaio 2026, misure di sicurezza di base da completare entro ottobre 2026. Il riferimento è il decreto legislativo 138/2024, pubblicato in Gazzetta Ufficiale n. 230 del 1° ottobre 2024, che ha designato l’Agenzia per la Cybersicurezza Nazionale come autorità competente.

Perché ti riguarda

• La platea è larga. L’elenco dei soggetti NIS costruito dall’ACN conta oltre 20.000 organizzazioni, di cui più di 5.000 essenziali. Non parliamo di banche e telecomunicazioni: dentro ci sono manifattura, trasporti, gestione rifiuti, chimica, alimentare, servizi digitali.
• Le sanzioni sono rilevanti. Fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per i soggetti essenziali; fino a 7 milioni o all’1,4% per gli importanti.
• La responsabilità sale ai vertici. Il decreto coinvolge direttamente gli organi di amministrazione, che devono approvare le misure e rispondono delle violazioni.
• La filiera spinge. I clienti grandi nel perimetro devono governare i rischi dei fornitori: i questionari di sicurezza che molte PMI ricevono nascono da qui.

Sei un soggetto “essenziale” o “importante”?

Il criterio combina settore e dimensione. Semplificando la struttura degli allegati del decreto:

Categoria	Soglia dimensionale tipica	Settori (esempi)
Soggetti essenziali	Da 250 dipendenti o 50 milioni di euro di fatturato, nei settori ad alta criticità	Energia, trasporti, banche, sanità, acqua potabile, infrastrutture digitali, PA
Soggetti importanti	Da 50 dipendenti o 10 milioni di euro, nei settori critici	Manifattura di determinate categorie, chimica, alimentare, gestione rifiuti, servizi postali, fornitori di servizi digitali

La verifica puntuale va fatta sugli allegati del decreto, incrociando codice di attività e dimensione: la sezione NIS del sito ACN raccoglie normativa, determinazioni e accesso alla piattaforma. Il perimetro copre circa 80 tipologie di soggetti pubblici e privati in 18 settori. In caso di dubbio, la valutazione con un consulente costa poco; scoprire l’obbligo dopo una contestazione costa molto di più.

Quali sono le scadenze reali?

Scadenza	Adempimento
1 gennaio - 28 febbraio (ogni anno)	Registrazione dei soggetti sulla piattaforma ACN
15 aprile - 31 maggio (ogni anno)	Aggiornamento e integrazione dei dati forniti
Da gennaio 2026	Obbligo operativo di notifica degli incidenti significativi al CSIRT Italia
Entro ottobre 2026	Adozione delle misure di sicurezza di base definite dall’ACN

Il calendario è pubblicato dall’ACN nella sezione NIS. Attenzione a un equivoco diffuso: la registrazione non è una certificazione e non richiede audit. È un’autodichiarazione strutturata che serve all’Agenzia per costruire l’elenco dei soggetti e graduare gli obblighi. Ignorarla, però, è già una violazione sanzionabile.

Cosa sono le misure di sicurezza di base?

Con la determinazione 164179 del 14 aprile 2025 l’ACN ha definito il pacchetto operativo: 37 misure articolate in 87 requisiti per i soggetti importanti, 43 misure e 116 requisiti per gli essenziali. Le aree coperte sono quelle della buona igiene informatica, portata a sistema:

• Governance: politica di sicurezza, gestione dei rischi, ruoli e responsabilità definiti.
• Protezione: inventario degli asset, controllo degli accessi con autenticazione a più fattori, sicurezza della rete, gestione delle vulnerabilità e degli aggiornamenti.
• Rilevamento: raccolta e conservazione dei log, monitoraggio degli eventi anomali.
• Risposta e continuità: piano di gestione degli incidenti, backup testati, continuità operativa.
• Catena di fornitura: valutazione dei fornitori ICT critici e requisiti di sicurezza nei contratti.

Per una PMI partita da zero, i mesi che restano fino a ottobre 2026 non sono molti: l’analisi del divario tra lo stato attuale e i requisiti conviene farla subito, con priorità e budget.

Cosa c’entra il tuo gestionale?

Molto. Log e tracciabilità degli accessi, gestione degli aggiornamenti, backup e ripristino, registrazione degli incidenti: buona parte delle evidenze che l’ACN può chiedere passa dai sistemi informativi aziendali, gestionale in testa. Le domande da fare al fornitore sono concrete: come vengono gestite le vulnerabilità e con quali tempi, dove risiedono i dati, cosa prevede il contratto in caso di incidente. Il tema della catena di fornitura lo abbiamo approfondito in NIS2 e fornitori software.

Da dove iniziare questa settimana?

1. Verifica del perimetro: codice di attività più soglia dimensionale, con il commercialista o il legale. Documenta la valutazione anche se l’esito è negativo.
2. Punto di contatto: nomina un referente interno con nome, ruolo e recapiti presidiati, pronto per la finestra di registrazione.
3. Analisi del divario: asset critici (gestionale, posta, server, dati clienti), stato delle misure di base, piano verso ottobre 2026 con priorità e costi.

Domande frequenti

Ho perso la finestra di registrazione: cosa faccio? La finestra è annuale, dal 1° gennaio al 28 febbraio. Chi scopre ora di rientrare nel perimetro dovrebbe preparare la registrazione per la prossima finestra e, nel frattempo, documentare la valutazione e avviare l’adeguamento: la procedura è descritta nella nostra guida alla registrazione ACN.

Le misure di base valgono anche per le PMI o solo per i grandi? Valgono per tutti i soggetti nell’elenco NIS, graduate per categoria: 37 misure per gli importanti, 43 per gli essenziali. La dimensione incide sulla categoria, non sull’esenzione.

Cosa devo notificare, e a chi? Gli incidenti significativi, al CSIRT Italia tramite i canali ACN, nei termini definiti dalle determinazioni. L’obbligo è operativo da gennaio 2026: serve una procedura interna che stabilisca chi rileva, chi decide e chi notifica.

Vai più a fondo

• Sezione NIS dell’ACN, con piattaforma e determinazioni: acn.gov.it/portale/nis
• Decreto legislativo 138/2024 in Gazzetta Ufficiale: gazzettaufficiale.it
• Le scadenze di registrazione, nel dettaglio: softwareb2b.it/nis2-registrazione-acn-scadenze
• La catena di fornitura software sotto NIS2: softwareb2b.it/nis2-software-fornitori

Lettura: 5 min