Dal periodo di preparazione all’avvio operativo della NIS2
Il 2025 può essere considerato l’anno della preparazione: quello in cui le organizzazioni hanno iniziato a prendere confidenza con la direttiva NIS2, effettuando le prime registrazioni e confrontandosi con un quadro regolatorio ancora in fase di assestamento.
Il 2026 segnerà invece un cambio di passo netto, perché coincide con l’ingresso nella fase pienamente operativa della normativa, caratterizzata da scadenze precise e adempimenti obbligatori. Questo passaggio è stato chiarito durante il convegno Clusit–ACN del 3 dicembre 2025, nel quale Milena Rizzi, prefetto e capo servizio autorità e sanzioni dell’Agenzia per la cybersicurezza nazionale, ha illustrato la roadmap che interesserà oltre 20 mila organizzazioni italiane.
Il primo appuntamento cruciale è fissato a gennaio 2026, quando verrà riaperta la piattaforma NIS. Rispetto all’anno precedente, il sistema funzionerà secondo un doppio binario: da un lato, i soggetti che si erano già registrati nel 2025 dovranno procedere al rinnovo; dall’altro, le organizzazioni che nel frattempo sono rientrate nel perimetro della NIS2 saranno chiamate a registrarsi per la prima volta. L’esperienza maturata nel 2025 ha mostrato chiaramente quanto sia rischioso concentrare le attività a ridosso delle scadenze, ed è per questo che l’invito delle autorità è quello di non attendere l’ultimo momento.
Linee guida settoriali, implementazione e controlli
Uno degli elementi centrali del 2026 sarà la pubblicazione delle linee guida settoriali da parte di ACN, prevista tra febbraio e settembre. Non si tratterà di un unico documento valido per tutti, ma di una serie di testi pensati per parlare il linguaggio dei diversi settori coinvolti, fornendo indicazioni più concrete e mirate sulle misure di sicurezza da adottare. Questo approccio “a collana” mira a rendere più comprensibili e applicabili gli obblighi della NIS2, evitando interpretazioni astratte o eccessivamente generiche.
Le organizzazioni dovranno quindi monitorare con attenzione il calendario delle pubblicazioni, perché il termine più rilevante è fissato al 31 ottobre 2026: entro quella data tutte le misure di base dovranno essere implementate e operative. Solo dopo questa scadenza l’Agenzia potrà avviare le attività ispettive, segnando il passaggio dalla fase di accompagnamento a quella di verifica. Non si tratta, almeno nelle intenzioni, di un approccio punitivo, ma di un momento di controllo necessario per valutare il livello reale di conformità. Il messaggio resta però chiaro: il 31 ottobre non deve essere vissuto come un punto di partenza, bensì come la conclusione di un percorso che richiede tempo, pianificazione e gradualità.
Un percorso progressivo e una responsabilità condivisa
La strategia delineata da ACN punta a valorizzare quanto costruito nel 2025, facendo leva su una rete di relazioni che comprende tavoli settoriali, associazioni di categoria e forme di cooperazione tra attori pubblici e privati. Più queste reti resteranno attive, più efficace sarà l’implementazione della NIS2 nel corso del 2026.
Dopo la scadenza di ottobre, il percorso non si fermerà: quella data segna soltanto la fine della prima fase, dedicata alle misure di base. Successivamente inizierà la definizione di interventi più strutturati e di lungo periodo, accompagnati da una maggiore categorizzazione dei soggetti e da un ampliamento del perimetro di sicurezza.
ACN è consapevole che queste misure richiederanno un adeguato lasso di tempo per essere effettivamente realizzate, ma il messaggio implicito della roadmap è inequivocabile: rimandare espone a rischi maggiori. Con un numero così elevato di organizzazioni coinvolte, un accumulo generalizzato delle attività a ridosso delle scadenze sarebbe difficilmente gestibile, sia per le imprese sia per l’autorità di controllo. Iniziare per tempo significa ridurre costi, stress organizzativo e margini di errore, rendendo il 2026 un anno certamente impegnativo, ma molto più sostenibile per chi avrà pianificato con anticipo il proprio percorso di adeguamento alla NIS2.