Categoria: Trasformazione digitale e Industria 4.0 Data di pubblicazione: 11 ottobre 2026
In sintesi
Entro il 31 ottobre 2026 le aziende censite dall’Agenzia per la Cybersicurezza Nazionale come soggetti NIS2 devono aver reso operative le misure di sicurezza di base. Da quel momento l’ACN passa dalla fase di accompagnamento a quella ispettiva, con sanzioni potenzialmente elevate.
I fatti
La direttiva NIS2, recepita in Italia con il decreto legislativo 138/2024, è in vigore dal 16 ottobre 2024. Per i soggetti registrati sul portale ACN nella primavera 2025 gli obblighi di notifica degli incidenti sono attivi da inizio 2026, mentre le misure di sicurezza di base vanno implementate entro 18 mesi dalla comunicazione: un termine che cade a fine ottobre 2026. I soggetti essenziali devono rispettare l’Allegato 2 della determinazione ACN 379907/2025, quelli importanti l’Allegato 1. Da aprile 2026 è inoltre richiesto il modello di categorizzazione di attività e servizi e la mappatura dei fornitori critici. Per i soggetti importanti le sanzioni arrivano fino a 7 milioni di euro o all’1,4% del fatturato mondiale annuo, se superiore; la mancata registrazione sul portale è sanzionata a parte.
Fonte: Gruppo Infor, «Direttiva NIS2: le nuove scadenze in vista di ottobre 2026», 21 maggio 2026; Nexsys, «Scadenza NIS2 ottobre 2026: cosa devono fare le PMI», 2026.
Cosa significa
Molte imprese manifatturiere di medie dimensioni rientrano nella NIS2 perché operano in settori considerati critici, dalla meccanica ai componenti elettrici, dalla chimica all’alimentare. Ma anche chi non è soggetto diretto ne sente gli effetti: i clienti obbligati devono mappare i fornitori critici e iniziano a chiedere ai subfornitori garanzie scritte su backup, accessi, gestione degli incidenti e protezione delle linee produttive connesse.
Per un’azienda da 50 a 300 dipendenti, spesso con un ufficio IT di poche persone, il rischio è sottovalutare la parte organizzativa: la norma chiede responsabilità chiare del vertice, procedure documentate e formazione, non solo strumenti tecnici.
Conclusioni
Nelle prossime tre settimane è utile verificare sul portale ACN lo stato della propria registrazione e chiedere al responsabile IT o al consulente un elenco scritto delle misure già attive e di quelle mancanti.
Redazione Industria Lombarda News