Aziende dei 18 settori NIS2 — energia, trasporti, sanità, digitale, manifattura critica, servizi ICT — e pubbliche amministrazioni già registrate sulla piattaforma ACN. Per voi il 2026 è l'anno dell'attuazione: misure di sicurezza di base, categorizzazione di attività e servizi, elenco dei fornitori entro il 31 ottobre.
PMI e aziende tech che non rientrano direttamente nel perimetro, ma vendono a chi ci rientra. I vostri clienti sono obbligati a presidiare la supply chain: questionari di sicurezza, clausole contrattuali, audit. Prepararsi in anticipo significa restare nella lista fornitori — e trasformare la compliance in un argomento di vendita.
Analisi formale di settore, dimensioni e criteri speciali per stabilire se sei soggetto essenziale, importante o fuori perimetro. Poi la parte operativa: registrazione e aggiornamento annuale dei dati sulla piattaforma ACN, designazione del punto di contatto e del referente CSIRT.
Confronto puntuale tra la tua postura attuale e le misure richieste dalle determinazioni ACN: governance, gestione del rischio, sicurezza della supply chain, gestione degli incidenti, continuità operativa, crittografia, MFA. Ne esce un piano di adeguamento con priorità e costi — calibrato sulla scadenza del 31 ottobre 2026.
Procedure pronte per gli incidenti significativi: pre-allarme entro 24 ore, notifica entro 72, relazione finale al CSIRT Italia. Con i criteri per classificare l'incidente e i canali già configurati — perché quando succede, il tempo per capire come si fa non c'è. E se l'incidente tocca dati personali, il raccordo con la notifica GDPR è già previsto.
La NIS2 mette la responsabilità in capo al management: gli organi di amministrazione approvano le misure, ne sorvegliano l'attuazione e devono formarsi. Sessioni dedicate a CdA e direzione, concrete e senza gergo: cosa firma chi, cosa rischia chi, cosa chiedere a chi gestisce l'IT.
Call conoscitiva gratuita
Verifica rapida del perimetro e delle scadenze che ti riguardano. Senza impegno.
Gap assessment
Fotografia della postura attuale rispetto alle determinazioni ACN, con piano e preventivo a corpo.
Adeguamento
Misure, procedure, registrazioni ACN e formazione del management — implementate per priorità.
Presidio nel tempo
Aggiornamenti annuali ACN, test delle procedure di notifica, adeguamento alle nuove determinazioni.
Con base a Modica (RG), seguo di persona le organizzazioni di Ragusa e della Sicilia e lavoro da remoto in tutta Italia. Se hai già una ISO 27001 o un adeguamento GDPR in essere, il percorso NIS2 riusa quel lavoro invece di duplicarlo.
La NIS2 si applica ai soggetti "essenziali" e "importanti" di 18 settori (energia, trasporti, sanità, digitale, manifattura critica, servizi ICT, PA e altri), in genere a partire da 50 dipendenti o 10 milioni di fatturato — ma con eccezioni che prescindono dalle soglie. Il primo passo è sempre una verifica formale del perimetro: si fa in tempi rapidi e toglie ogni dubbio, anche rispetto all'obbligo di registrazione sulla piattaforma ACN.
Per i soggetti già registrati, il 2026 è l'anno dell'attuazione: entro il 31 ottobre 2026 vanno implementate le misure di sicurezza di base secondo le determinazioni ACN e completati gli adempimenti su categorizzazione delle attività e servizi ed elenco dei fornitori. Restano inoltre gli obblighi continuativi: aggiornamento annuale dei dati sulla piattaforma ACN e notifica degli incidenti significativi.
Le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato annuo mondiale per i soggetti essenziali (7 milioni o 1,4% per gli importanti). La novità più incisiva è però la responsabilità diretta degli organi di amministrazione: il management approva le misure, ne sorveglia l'attuazione e risponde delle violazioni — con possibile sospensione dalle funzioni dirigenziali nei casi più gravi.
Sei molto avanti, ma non automaticamente a posto. La ISO 27001 copre gran parte delle misure di sicurezza richieste, e ACN la riconosce come base solida; restano però adempimenti specifici NIS2 che lo standard non copre: registrazione e aggiornamenti sulla piattaforma ACN, notifica degli incidenti nei tempi di legge, obblighi di formazione degli organi direttivi. Serve un mapping puntuale tra il tuo ISMS e le determinazioni ACN.
Non del tutto. Se sei fornitore di un soggetto NIS2, i tuoi clienti sono obbligati a presidiare la sicurezza della catena di approvvigionamento: sempre più contratti includono requisiti di cybersecurity, questionari e audit. Adeguarsi in anticipo — anche solo alle misure di base — diventa un vantaggio commerciale per restare nella lista fornitori.
Dipende dal punto di partenza: un'organizzazione con una postura di sicurezza già strutturata completa il grosso in 2-3 mesi, chi parte da zero deve pianificarne 4-6. Con la scadenza del 31 ottobre 2026 alle porte, la priorità è il gap assessment immediato: individua cosa manca davvero e permette di concentrare le risorse sugli adempimenti obbligatori.
Approfondimento: gli adempimenti NIS2 del 2026 e la corsa verso il 31 ottobrearrow_forward
La prima call conoscitiva è gratuita e senza impegno: 30 minuti per verificare il tuo perimetro e capire cosa manca davvero.