Indice
La NIS2 entra nella fase operativa
Nel 2026 la direttiva NIS2 cambia natura.
Non è più un passaggio normativo da gestire a livello documentale: diventa un processo concreto che incide sul modo in cui l’azienda organizza, gestisce e controlla il proprio sistema informatico.
Come evidenziato anche nel recente approfondimento su Il Goriziano, la compliance passa da formale a operativa, richiedendo un salto di qualità nella gestione dell’informatica, della sicurezza e del rischio.
Questo significa:
- non basta avere policy scritte
- non basta aver individuato responsabilità
- non basta aver avviato gli adempimenti
Serve un sistema funzionante, integrato e verificabile.
Le aziende coinvolte
La direttiva riguarda principalmente aziende con oltre 50 dipendenti oppure con fatturato superiore ai 10 milioni di euro.
In particolare:
- imprese in settori critici o rilevanti
- aziende che fanno parte di supply chain strutturate
- fornitori di organizzazioni già soggette a NIS2
Questo significa che molte più aziende di quanto si pensi sono coinvolte, anche indirettamente.
Le scadenze da rispettare nel 2026
Il calendario NIS2 nel 2026 è progressivo e serrato.
Gennaio 2026
Entrano in vigore gli obblighi operativi
Rilevazione e gestione degli incidenti
Attivazione dei processi di risposta
Marzo 2026
Designazione del punto di contatto e aggiornamento informazioni sul portale ACN.
Aprile – Giugno 2026
Fase di aggiornamento e organizzazione
Aggiornamento dati sulla piattaforma ACN
Censimento dei fornitori rilevanti (supply chain)
Da Aprile a Giugno la sicurezza esce dai confini aziendali e coinvolge tutta la filiera.
Giugno 2026
Trasmissione e verifica delle informazioni richieste da ACN, comprese la categorizzazione delle attività, dei servizi e degli asset rilevanti ai fini NIS2.
⚠️ Questa del 30 giugno è una delle scadenze più importanti del 2026: rappresenta il primo vero adempimento operativo.
Entro settembre 2026
Pubblicazione delle linee guida settoriali
definizione degli standard tecnici
Ottobre 2026 (scadenza principale)
Le misure di sicurezza devono essere:
✅ documentate
✅ implementate
✅ operative
✅ integrate nei processi
Non basta dichiararle: devono funzionare.
Gli adempimenti concreti (cosa cambia davvero)
Nel 2026 le aziende devono dimostrare di avere sotto controllo diversi aspetti tecnici e operativi.
Gestione del rischio IT
Analisi dei rischi
Identificazione vulnerabilità
Gestione continua
Incident response
Capacità di rilevare incidenti
Procedure di gestione
Notifica alle autorità
Misure di sicurezza operative
Backup e recovery
Controllo accessi
Monitoraggio continuo
Supply chain security
Identificazione fornitori critici
Valutazione dei rischi
Controllo delle relazioni esterne
Governance e responsabilità
Coinvolgimento diretto del management
Responsabilità organizzativa
Tracciabilità delle decisioni
Il problema reale: manca una visione
Il punto più critico non è tecnico. È organizzativo. Infatti molte aziende oggi hanno completato gli adempimenti iniziali, ma non hanno un piano operativo chiaro
Come evidenziato nell’articolo, spesso manca una visione concreta dei passi successivi e delle attività da mettere a terra.
Questo è il vero rischio. Perché porta a:
- interventi disorganizzati
- duplicazioni
- inefficienze
- difficoltà in caso di incidente
Dal 2027
Entrano a pieno regime le attività di vigilanza, verifica e controllo da parte dell’Agenzia per la Cybersicurezza Nazionale (ACN), con possibili richieste documentali, audit e verifiche di conformità.
Perché la compliance non basta
La NIS2 introduce un cambiamento fondamentale: la sicurezza informatica diventa responsabilità aziendale, non solo tecnica.
E soprattutto la conformità deve essere dimostrabile. Questo significa:
- documentazione delle attività
- tracciabilità dei processi
- verifica continua
Non si tratta di essere “in regola” ma di essere in controllo.
Il ruolo del percorso IT
In questo scenario, il concetto di percorso IT diventa centrale. Non si tratta di applicare singole soluzioni, ma di costruire un sistema che:
- cresce nel tempo
- è governato
- è sostenibile
- risponde alle normative
Un percorso IT consente di:
- integrare sicurezza, continuità e compliance
- evitare interventi isolati
trasformare la normativa in un - vantaggio operativo
Dal problema alla gestione
L’esperienza sul campo mostra un pattern ricorrente: i problemi informatici non nascono da singoli errori.
Nascono da sistemi:
- cresciuti nel tempo
- senza una logica
- senza una guida
Questo rende difficile intervenire, analizzare e ripristinare.
Ottobre 2026 rappresenta un punto di svolta
Non chiude una fase normativa. Apre una fase operativa.
Le aziende sono chiamate a dimostrare di avere:
- un sistema IT sotto controllo
- processi definiti
- responsabilità chiare
- sicurezza integrata
La differenza non la farà chi ha fatto gli adempimenti. La differenza la farà chi ha costruito un sistema.
Molte aziende che hanno completato gli adempimenti iniziali si trovano oggi senza un quadro chiaro delle attività operative da mettere a terra. Spesso manca una visione chiara dei passi successivi. In questi casi è fondamentale affidarsi a referenti IT esterni, sia per una questione operativa che strategica
Vuoi capire a che punto è la tua azienda?
Conformità e scadenze NIS2: cosa fare? Contattaci!
Aiutiamo le aziende a valutare:
- se interessate dalla normativa NIS2
- quali attività sono già completate
- quali passaggi servono davvero nei prossimi mesi
Richiedi un confronto senza impegno