Il 2026 rappresenta un passaggio centrale nell’attuazione operativa della disciplina NIS2 in Italia.
Con la Determinazione ACN n. 127437 del 13 aprile 2026 e la Determinazione ACN n. 155238 del 20 aprile 2026, l’Agenzia per la Cybersicurezza Nazionale ha introdotto e precisato nuovi adempimenti per i soggetti NIS, rafforzando in particolare:
- la gestione dei fornitori rilevanti;
- l’aggiornamento delle informazioni tramite piattaforma ACN;
- l’elencazione delle attività e dei servizi NIS;
- la categorizzazione dei servizi secondo livelli di impatto;
- l’integrazione della supply chain nella gestione del rischio cyber.
Le nuove disposizioni confermano il passaggio da una fase iniziale di inquadramento e registrazione a una fase più operativa, nella quale i soggetti NIS devono dimostrare una maggiore capacità di mappare servizi, processi, fornitori e dipendenze tecnologiche.
Le principali scadenze NIS2 del 2026
Le nuove disposizioni introducono finestre temporali precise per alcuni adempimenti obbligatori.
Dal 15 aprile al 31 maggio 2026
Comunicazione e aggiornamento dei fornitori rilevanti
I soggetti NIS devono comunicare tramite la piattaforma ACN le informazioni relative ai fornitori rilevanti, secondo quanto previsto dalla Determinazione 127437/2026.
Rientrano in questa valutazione i fornitori la cui indisponibilità, compromissione o inadeguatezza potrebbe incidere sulla sicurezza o sulla continuità delle attività e dei servizi del soggetto NIS.
Dal 1° maggio al 30 giugno 2026
Elencazione e categorizzazione di attività e servizi
I soggetti essenziali e importanti devono comunicare e aggiornare l’elenco delle proprie attività e dei propri servizi NIS, attribuendo a ciascuno una categoria di rilevanza secondo il modello ACN. La Determinazione 155238/2026 definisce il processo, le modalità e i criteri per questa attività.
La categorizzazione prevede quattro livelli:
- impatto minimo;
- impatto basso;
- impatto medio;
- impatto alto.
La classificazione dovrà considerare gli effetti che un incidente cyber potrebbe generare sulla continuità operativa, sulla sicurezza e sull’erogazione dei servizi rilevanti.
Fornitori rilevanti NIS: perché diventano un punto centrale
Uno degli aspetti più significativi introdotti nel 2026 riguarda la gestione della supply chain.
I soggetti NIS devono identificare e comunicare i fornitori terzi che possono incidere in modo significativo sulla sicurezza o sulla continuità dei servizi erogati. Questo approccio amplia il perimetro della cybersecurity: non è più sufficiente presidiare soltanto i sistemi interni, ma diventa necessario valutare anche le dipendenze esterne.
Tra i fornitori da analizzare possono rientrare, a seconda del contesto:
- provider cloud;
- data center;
- fornitori DNS;
- CDN;
- operatori di comunicazione elettronica;
- MSP e MSSP;
- fornitori ICT strategici;
- software provider critici;
- fornitori non facilmente sostituibili in tempi compatibili con la continuità del servizio.
L’obiettivo è rafforzare la resilienza dell’intero ecosistema digitale, riducendo il rischio che una criticità presso un fornitore possa compromettere l’operatività del soggetto NIS.
Dal punto di vista operativo, le aziende dovranno quindi mappare le proprie dipendenze tecnologiche, valutare il rischio associato ai fornitori e integrare la supply chain nei processi di governance cyber.
Categorizzazione di attività e servizi: cosa cambia
La Determinazione ACN 155238/2026 introduce un modello più strutturato per rappresentare le attività e i servizi rilevanti ai fini NIS.
Il focus non è più soltanto sugli asset informatici, ma sulle attività aziendali e sui servizi che devono essere garantiti in termini di continuità, sicurezza e resilienza.
Le organizzazioni dovranno quindi:
- identificare le attività rilevanti;
- elencare i servizi NIS;
- attribuire il corretto livello di impatto;
- collegare servizi, processi, asset e fornitori;
- mantenere aggiornate le informazioni nel tempo.
Questo passaggio richiede un approccio integrato tra funzioni aziendali, IT, sicurezza delle informazioni, direzione e responsabili di processo.
Cosa fare operativamente
Alla luce delle nuove scadenze, le organizzazioni soggette alla disciplina NIS dovrebbero avviare o completare rapidamente le seguenti attività:
- verificare l’elenco dei fornitori ICT e dei fornitori critici;
- valutare quali fornitori possano essere considerati rilevanti ai fini NIS;
- mappare attività e servizi aziendali;
- classificare i servizi secondo i livelli di impatto ACN;
- collegare servizi, processi, asset e dipendenze tecnologiche;
- aggiornare le informazioni sulla piattaforma ACN;
- integrare queste attività nel sistema di gestione del rischio cyber.
Conclusioni
Le Determinazioni ACN 127437/2026 e 155238/2026 rappresentano uno dei passaggi più rilevanti nell’attuazione pratica della NIS2 in Italia.
L’attenzione si concentra ora su:
- fornitori rilevanti;
- resilienza della supply chain;
- classificazione di attività e servizi;
- gestione strutturata del rischio cyber;
- aggiornamento continuo delle informazioni verso ACN.
Per molte organizzazioni sarà quindi necessario attivare un percorso di adeguamento tecnico, organizzativo e documentale, con particolare attenzione alle scadenze operative previste tra aprile e giugno 2026.
Per supporto nella gestione degli adempimenti NIS2, nella categorizzazione dei servizi e nella mappatura dei fornitori rilevanti, contattate il vostro consulente di riferimento.
