A dicembre 2025 abbiamo pubblicato su questo blog una guida alle scadenze NIS2. Quell'articolo è invecchiato — ed è invecchiato nel modo giusto, perché le scadenze del 2025 erano di censimento: registrarsi, dichiarare, essere elencati.
Quelle del 2026 sono di sostanza. E la più importante cade fra poco più di tre mesi.
1. Il calendario 2026, in ordine
| Scadenza | Adempimento |
|---|---|
| 15 aprile - 31 maggio 2026 | Aggiornamento delle informazioni di ogni soggetto NIS |
| 1 maggio - 30 giugno 2026 | Categorizzazione di attività e servizi svolti |
| 31 ottobre 2026 | Implementazione delle misure di sicurezza di base definite da ACN |
| Dal 2027 | Notifica degli incidenti significativi per i soggetti divenuti NIS nel 2026 |
Le prime due finestre sono chiuse. Se le avete mancate, l'inadempimento non si sana con il silenzio: resta l'obbligo di aggiornamento continuo, che impone di comunicare ogni modifica rilevante entro quattordici giorni.
La scadenza che conta davvero è il 31 ottobre 2026: entro quella data i soggetti nel perimetro NIS2 devono avere implementate le misure di sicurezza di base definite dall'Agenzia per la Cybersicurezza Nazionale. Non "avviato un percorso": implementate.
2. Le due determine che cambiano il gioco
Nel 2026 l'ACN ha prodotto due atti che spostano il baricentro della NIS2 dall'organizzazione singola alla filiera.
Determinazione n. 155238 del 20 aprile 2026 — categorizzazione di attività e servizi. Ogni soggetto NIS2 deve classificare ciò che fa. Lo scopo è dichiarato: consentire all'Autorità di determinare, in una fase successiva, quali sistemi informativi dovranno essere assoggettati a misure di sicurezza più stringenti in funzione della loro rilevanza.
Tradotto: la classificazione che avete depositato in primavera è la base su cui verranno calibrati i vostri obblighi futuri. Chi ha compilato quel modulo con approssimazione ha scritto il proprio perimetro di conformità per gli anni a venire.
Determina n. 127437/2026 — elenco dei fornitori rilevanti. Tutti i soggetti NIS devono elencare sulla piattaforma ACN i fornitori della propria catena di approvvigionamento, identificando quelli da classificare come soggetti importanti o essenziali.
È il passaggio più significativo dell'intero anno, e vale la pena fermarsi.
3. La catena di fornitura non è più un capitolo del contratto
Fino al 2025 la sicurezza della supply chain era una clausola contrattuale: una dichiarazione, un allegato, al massimo un questionario annuale. Dal 2026 è un elenco depositato presso un'autorità nazionale.
Chi fornisce infrastruttura — data center, cloud, connettività, managed services, software — si trova quindi in una posizione nuova: il proprio nome sta in un registro, associato a un cliente NIS e a una classificazione di rilevanza. Ne derivano tre conseguenze molto pratiche.
La prima: un fornitore che non sa rispondere diventa un rischio di conformità per il cliente, non solo un rischio operativo. E un rischio di conformità, a differenza di un disservizio, si risolve cambiando fornitore.
La seconda: le domande diventano standardizzate. Chi ha già affrontato un questionario ACN sa che le voci ricorrenti sono sempre le stesse — gestione degli accessi, segregazione, logging e retention, continuità operativa, notifica degli incidenti con i tempi contrattuali, subappalti e loro localizzazione.
La terza: la geografia rientra dalla finestra. Sapere dove sono fisicamente i dati, sotto quale giurisdizione e con quale catena di subfornitura non è più una preferenza architetturale: è una casella da riempire.
4. Cosa significa essere "NIS-ready" per un'infrastruttura
Non esiste una certificazione NIS2 e chi la vende sta vendendo un bollino inesistente. Esistono cinque capacità che un fornitore deve poter documentare, e che il cliente deve poter riportare nel proprio fascicolo:
- Inventario e classificazione degli asset e dei servizi erogati al cliente, coerenti con la categorizzazione depositata
- Controllo degli accessi con separazione dei ruoli, verifica del personale con accesso fisico e logico, tracciamento degli interventi
- Logging e retention con integrità garantita e tempi dichiarati — è anche il punto in cui la NIS2 si sovrappone all'AI Act per chi ospita sistemi di IA
- Continuità operativa con obiettivi di ripristino misurati e testati, non stimati
- Notifica degli incidenti con tempi contrattuali allineati a quelli che il cliente deve rispettare verso ACN: se il fornitore comunica in settantadue ore, il cliente è già fuori termine
5. La checklist di luglio
Restano poco più di tre mesi al 31 ottobre. In ordine di urgenza:
- Verificare di essere nel perimetro e con quale qualifica: soggetto essenziale o importante cambia intensità degli obblighi
- Rileggere la categorizzazione depositata in primavera e correggerla se descrive male ciò che fate: l'aggiornamento continuo esiste proprio per questo
- Chiudere l'elenco dei fornitori rilevanti, verificando che ciascuno sappia di esserci
- Fare un gap assessment sulle misure di base ACN e ordinare gli interventi per fattibilità entro ottobre, non per eleganza architetturale
- Allineare i tempi di notifica in tutti i contratti in essere, a monte e a valle
6. Tre normative, un'unica domanda
Il 2026 ha messo in fila tre regolamenti che sembrano parlare di cose diverse. L'AI Act chiede conformità dei sistemi di intelligenza artificiale e, per l'alto rischio, tracciabilità e log. La NIS2 chiede sicurezza della catena di fornitura e un elenco depositato di chi ne fa parte. Il Cloud and AI Development Act, quando sarà legge, chiederà a quale livello di sovranità si collochi il fornitore.
Sono tre percorsi normativi indipendenti che convergono su un'unica domanda operativa: dove gira il vostro carico di lavoro, chi lo controlla, e con quali garanzie documentabili. È la stessa domanda, posta da tre autorità diverse.
Un anno fa la NIS2 era un adempimento di registrazione. Il 31 ottobre diventa un requisito tecnico verificabile, e la sua parte più interessante non riguarda voi: riguarda chi vi fornisce. Conviene chiederglielo prima che lo chieda l'ACN.
Nota: questo articolo ha finalità informative e non costituisce consulenza legale. Il perimetro di applicazione e gli obblighi specifici vanno verificati con i propri advisor e sulla documentazione ufficiale ACN.