NIS2, scade a ottobre 2026 il termine per le misure di sicurezza: perché riguarda anche la PMI che fa da fornitore 🛡️

"La NIS2 è roba da grandi aziende, a me non interessa." È una frase che sentiamo spesso da titolari di agenzie, piccoli e-commerce, software house locali e fornitori di servizi. 🛡️ In parte è vero: la maggior parte delle micro e piccole imprese è fuori dal perimetro. Ma proprio in queste settimane di ottobre 2026 scade il termine con cui migliaia di aziende italiane devono dimostrare di aver messo in sicurezza i propri sistemi. E una delle cose che devono controllare sono i loro fornitori.

Cosa scade a ottobre 2026#

La direttiva europea NIS2 è stata recepita in Italia con il decreto legislativo 138/2024, e l'autorità competente è l'Agenzia per la Cybersicurezza Nazionale (ACN). Il calendario lo ha fissato l'ACN stessa:

• secondo la guida alla lettura delle specifiche di base (versione aggiornata ad aprile 2026), per i soggetti inseriti nell'elenco NIS nel 2025 il termine per adottare le misure di sicurezza di base è di 18 mesi dalla comunicazione di inserimento;
• l'ACN ha iniziato a inviare quelle comunicazioni a partire dal 12 aprile 2025, e nella sua pagina sulle date della normativa NIS indica proprio ottobre 2026 come termine per le misure di base.

Per molte organizzazioni la scadenza cade quindi in questi giorni, con la data esatta legata alla comunicazione ricevuta.

Quanto è grande la platea? Al Tavolo NIS del 9 aprile 2026 l'ACN ha riferito che l'elenco provvisorio 2026 comprende oltre 21.000 soggetti, di cui almeno 5.000 essenziali. Chi è entrato nell'elenco per la prima volta nel 2026 ha tempi diversi: notifica degli incidenti dal 1° gennaio 2027 e misure di base entro il 31 luglio 2027, come stabilito dalla determinazione ACN 127434/2026.

Cosa devono fare i soggetti NIS#

Secondo l'ACN sono state definite 37 misure con 87 requisiti per i soggetti importanti e 43 misure con 116 requisiti per i soggetti essenziali, organizzate secondo il Framework nazionale per la cybersecurity. Riguardano governance, gestione del rischio, controllo degli accessi, backup, gestione degli incidenti e anche la gestione delle forniture che possono avere impatto sulla sicurezza dei sistemi.

Perché la tua PMI è coinvolta anche se non è soggetto NIS#

Le FAQ dell'ACN sono chiare su due aspetti:

1. Le micro e piccole imprese sono in generale escluse. Le soglie sono quelle europee: piccola impresa con meno di 50 occupati e fatturato o bilancio annuo fino a 10 milioni di euro. Ci sono eccezioni, per esempio alcuni fornitori di comunicazioni elettroniche e gestori di nomi di dominio, e l'ACN può individuare anche imprese piccole se critiche.
2. Non c'è una propagazione automatica del perimetro ai fornitori. Chi fornisce un soggetto NIS non diventa soggetto NIS. Però i soggetti NIS, per gestire il rischio della catena di approvvigionamento, devono imporre obblighi contrattuali ai fornitori, e i fornitori sono tenuti a rispettarli.

In più, con la determinazione 127437/2026 l'ACN ha chiesto ai soggetti NIS di comunicare, tra il 15 aprile e il 31 maggio 2026, l'elenco dei propri fornitori rilevanti: quelli che forniscono servizi ICT o forniture difficili da sostituire.

Chi può trovarsi in questa situazione? Qualche esempio concreto:

• l'agenzia o il freelance che gestisce sito, newsletter o account pubblicitari di un'azienda energetica, sanitaria o di trasporti;
• la software house che sviluppa un'app o un gestionale per un cliente medio-grande;
• il fornitore di assistenza informatica che ha accessi remoti ai server del cliente.

💡 Da mettere in pratica: fai l'elenco dei tuoi clienti con più di 50 dipendenti o che operano in settori come energia, trasporti, sanità, acqua, digitale, alimentare o manifattura. Sono quelli da cui, nei prossimi mesi, è più probabile ricevere un questionario di sicurezza o una nuova clausola contrattuale.

Cosa ti possono chiedere (e come prepararti)#

Ogni azienda definirà le proprie clausole, quindi non esiste una lista ufficiale per i fornitori. In base alle aree coperte dalle misure di base, le richieste più probabili riguardano:

• Accessi: chi del tuo team entra nei sistemi del cliente, con quali credenziali, se usi l'autenticazione a più fattori e se gli accessi vengono chiusi quando un collaboratore se ne va.
• Backup e continuità: dove sono i dati che tratti per conto del cliente e come li recuperi dopo un guasto o un attacco.
• Incidenti: entro quanto tempo avvisi il cliente se subisci una violazione, e chi è il tuo referente.
• Subfornitori: quali strumenti cloud e servizi esterni usi a tua volta per lavorare sui suoi dati.

Non serve diventare una grande azienda: serve poter rispondere per iscritto, in modo coerente e verificabile. Chi risponde "ci stiamo lavorando" rischia di essere sostituito al prossimo rinnovo.

Un'occasione, non solo un costo#

C'è anche un lato commerciale. Le aziende NIS cercano fornitori che non creino problemi in fase di audit. Poter dire "ecco le nostre misure di sicurezza" diventa un argomento di vendita, soprattutto per agenzie, sviluppatori e fornitori di servizi digitali. E per sistemare backup, accessi e protezione della posta, il voucher cloud e cybersecurity del MIMIT, con domande dal 10 novembre 2026, può coprire metà della spesa.

💡 Da mettere in pratica: prepara una "scheda sicurezza fornitore" di una o due pagine: autenticazione a più fattori attiva su posta e strumenti di lavoro, backup automatici e fuori sede, elenco degli strumenti cloud usati, nome e contatto del referente per gli incidenti, tempi di avviso al cliente. Tienila aggiornata e allegala alle offerte per i clienti più strutturati.

Un avvertimento onesto#

Questo articolo non sostituisce una verifica legale. Se la tua impresa supera le soglie della piccola impresa, opera in uno dei settori NIS o fornisce servizi di comunicazione elettronica, potresti essere tu stesso un soggetto NIS: in quel caso la registrazione sulla piattaforma ACN e gli obblighi diretti ti riguardano in prima persona. Le FAQ ACN sono il punto di partenza per capirlo.

In sintesi#

A ottobre 2026 scade, per gran parte degli oltre 21.000 soggetti NIS italiani, il termine per adottare le misure di sicurezza di base fissate dall'ACN. Le piccole imprese sono in genere fuori dal perimetro, ma chi lavora per un soggetto NIS riceverà obblighi contrattuali su accessi, backup, incidenti e subfornitori. Prepararsi adesso costa poco e diventa un vantaggio competitivo.

[CTA] Lavori con clienti strutturati e vuoi presentarti come un fornitore digitale affidabile, con sito, strumenti e processi in ordine? Parliamone.

FAQ su NIS2 e piccole imprese#

La mia piccola impresa deve registrarsi sulla piattaforma ACN? In generale no: secondo le FAQ dell'ACN le micro e piccole imprese sono escluse dal decreto NIS, salvo eccezioni come alcuni fornitori di comunicazioni elettroniche, servizi fiduciari e nomi di dominio, o i casi individuati dall'Agenzia. Verifica la tua posizione se operi in un settore NIS. ✅

Se lavoro per un'azienda NIS divento anch'io soggetto NIS? No. L'ACN chiarisce che non c'è una propagazione automatica ai fornitori. Però il cliente deve importi obblighi contrattuali sulla sicurezza, e sei tenuto a rispettarli. 📄

Cosa succede dopo la scadenza di ottobre 2026? I soggetti NIS inseriti nel 2025 devono aver adottato le misure di base e poterlo dimostrare. Per chi è entrato nel 2026 il termine è il 31 luglio 2027. Per i fornitori, la conseguenza pratica è un aumento di questionari e clausole nei contratti. 🔐