NIS2: ispezioni ACN da novembre, la PMI è pronta?

1 novembre 2026 · 9 min di lettura · Team Snoda

Contenuto generato con intelligenza artificiale e verificato da controlli automatici di qualità e fonti, senza revisione umana. Come funziona.

NIS2: ispezioni ACN sulla PMI, la fase di tolleranza è finita

Primo novembre 2026. La data che molte PMI italiane hanno trattato come un problema lontano è arrivata. Le ispezioni ACN sulla NIS2 non sono più una prospettiva teorica: il calendario attuativo prevede che dopo le scadenze di adeguamento di ottobre 2026, l'Agenzia per la Cybersicurezza Nazionale possa avviare verifiche e applicare sanzioni. Se la tua PMI rientra nei soggetti obbligati e non ha ancora messo in piedi le misure richieste, il tempo è scaduto.

Questo articolo spiega cosa cambia concretamente, cosa cerca un'ispezione e quali strumenti servono per non farsi trovare scoperti.

Il calendario ACN: cosa è successo e cosa succede ora

Il percorso di attuazione della NIS2 in Italia segue un calendario definito dall'ACN con tappe progressive. Riassumiamo le principali.

• Entro gennaio 2026: registrazione sulla piattaforma ACN e comunicazione dei dati del soggetto.
• Aprile 2026: aggiornamento delle informazioni e designazione del responsabile per la sicurezza.
• Entro ottobre 2026: adozione delle misure di sicurezza di base previste dal D.Lgs. 138/2024 e implementazione degli obblighi di notifica degli incidenti.
• Da novembre 2026 in poi: fase ispettiva. ACN può verificare la conformità e irrogare sanzioni.

Il punto critico è questo: il 2026 è l'anno in cui gli obblighi diventano operativi. Non si tratta più di registrarsi o comunicare dati. Si tratta di avere policy, procedure, strumenti e registri effettivamente funzionanti.

Chi è obbligato: la PMI non è esclusa

Un errore comune: pensare che la NIS2 riguardi solo le grandi aziende. Non è così. La direttiva classifica i soggetti in essenziali e importanti in base al settore di attività e alla dimensione. Rientrano, tra gli altri, settori come energia, trasporti, sanità, manifatturiero di prodotti critici, fornitori di servizi digitali, gestione dei rifiuti e filiera alimentare.

Una PMI con 50 dipendenti che produce componenti per il settore energetico può trovarsi classificata come soggetto importante. Un'azienda di logistica con contratti nella catena di approvvigionamento sanitario, idem. La classificazione non dipende da quanto ti senti "critico", ma da parametri oggettivi che l'ACN applica.

Nota: la classificazione specifica del tuo caso richiede un'analisi legale. Se hai dubbi, consulta un professionista del settore.

Cosa cerca un'ispezione ACN: i punti concreti

Le misure di sicurezza richieste dal D.Lgs. 138/2024 non sono generiche raccomandazioni. Sono obblighi documentabili. Ecco le aree principali che un soggetto obbligato deve coprire.

Policy di sicurezza e analisi dei rischi

Serve una policy di sicurezza informatica scritta, approvata dalla direzione, aggiornata. Non un documento Word dimenticato in una cartella condivisa. Un documento vivo, con data di revisione, responsabile assegnato e criteri di analisi del rischio definiti.

Gestione degli incidenti

Il soggetto obbligato deve avere una procedura di gestione degli incidenti e rispettare gli obblighi di notifica all'ACN entro le tempistiche previste. Significa: sapere chi fa cosa quando succede qualcosa, avere un registro degli incidenti, poter dimostrare la catena di azioni intraprese.

Continuità operativa

Piani di backup, disaster recovery, test periodici. Non basta dire "abbiamo il backup su cloud". Serve documentare la strategia, testarla e registrare i test.

Sicurezza della catena di fornitura

Chi sono i tuoi fornitori critici? Che garanzie di sicurezza offrono? Hai valutato il rischio che introducono nella tua catena? Anche questo va documentato.

Formazione del personale

Il personale deve essere formato sulla cybersicurezza. E la formazione va registrata: chi, quando, su cosa.

Governance e responsabilità

La direzione aziendale ha responsabilità dirette. Non può delegare tutto all'IT e dimenticarsene. Il calendario ACN prevede che gli organi di gestione siano coinvolti e formati.

NIS2 sanzioni PMI: cosa si rischia

Le sanzioni NIS2 per le PMI non sono simboliche. Il D.Lgs. 138/2024 prevede sanzioni amministrative pecuniarie graduate in base alla gravità della violazione e alla classificazione del soggetto (essenziale o importante). Oltre alla sanzione economica, c'è il rischio reputazionale e la possibilità di misure correttive imposte dall'ACN.

Non entriamo nei dettagli degli importi specifici perché dipendono dal caso concreto e dalla classificazione del soggetto. Un consulente legale specializzato è la figura giusta per una valutazione puntuale.

Il punto pratico è un altro: durante un'ispezione, devi dimostrare quello che hai fatto. Non basta averlo fatto. Serve la traccia.

Il problema reale: compliance su fogli sparsi

Molte PMI italiane gestiscono ancora i processi interni con fogli di calcolo, email e documenti sparsi tra cartelle condivise. Per la gestione quotidiana è già un problema (ne abbiamo parlato a proposito degli adeguati assetti e dei KPI da monitorare). Per la compliance NIS2 diventa un rischio concreto.

Facciamo un esempio operativo. Immagina una PMI manifatturiera con 60 dipendenti, classificata come soggetto importante. Deve dimostrare di avere:

• Una policy di sicurezza con data di approvazione e revisione.
• Un registro degli incidenti con timestamp e azioni intraprese.
• Evidenza della formazione erogata a ogni dipendente.
• Test di backup documentati con esito e data.
• Valutazione dei rischi della catena di fornitura.

Ora immagina di gestire tutto questo con un foglio di calcolo. Chi ha modificato la riga 47? Quando? La versione è quella corrente o quella di tre mesi fa? Il registro formazione è aggiornato o qualcuno ha dimenticato di compilarlo?

In sede di ispezione, un ispettore ACN chiede evidenze. Se la risposta è "aspetti, devo cercare nel Drive", il messaggio che arriva non è rassicurante.

Strumenti di compliance: cosa serve davvero

Non serve un software miracoloso. Serve un sistema strutturato che faccia poche cose, bene:

1. Registro centralizzato delle policy — con versioning, approvazioni tracciate, alert di scadenza revisione.
2. Gestione incidenti — workflow di segnalazione, escalation automatica, timeline documentata, generazione del report per la notifica ACN.
3. Registro formazione — chi ha completato cosa, quando, con quale esito.
4. Checklist di compliance — stato di adeguamento per ogni requisito, con evidenze allegate.
5. Dashboard di sintesi — per la direzione, che deve poter vedere a colpo d'occhio dove sta l'azienda rispetto agli obblighi.

Il valore non è nel software in sé. È nella tracciabilità. Ogni azione registrata, ogni documento versionato, ogni alert gestito è una prova in più durante un controllo.

Questo vale anche per altri obblighi che si accumulano sulla PMI: dal registro dei sistemi AI agli adeguati assetti, passando per le verifiche sulla sicurezza fisica. Il tema è sempre lo stesso: dimostrare, non solo fare.

Perché un sistema su misura batte il gestionale generico

I software di compliance generici esistono. Ma hanno un problema strutturale: sono pensati per coprire tutto, quindi non coprono bene niente di specifico. Una PMI manifatturiera ha esigenze diverse da un fornitore di servizi digitali. Un'azienda con 20 dipendenti non ha bisogno della stessa complessità di una con 200.

Un sistema di automazione su misura si adatta al flusso reale dell'azienda. Non obbliga l'azienda ad adattarsi al software. Tre differenze concrete:

• Solo quello che serve: niente moduli inutili, niente complessità che nessuno usa.
• Integrato con l'esistente: si collega ai sistemi già in uso (email, repository documentale, strumenti IT) senza duplicare dati.
• Evolvibile: quando cambiano i requisiti (e con la NIS2 cambieranno, il calendario 2026-2027 prevede ulteriori tappe), il sistema si aggiorna. Non si butta via.

In Snoda vediamo spesso PMI che hanno provato a gestire obblighi complessi con strumenti generici e si sono ritrovate con dati frammentati, processi manuali residui e nessuna visione d'insieme. Il nostro approccio è diverso: si parte dal processo reale, si costruisce solo quello che serve, e lo si fa in tempi compatibili con le scadenze.

NIS2 novembre 2026: una checklist operativa

Se la tua PMI rientra nei soggetti obbligati, ecco cosa dovresti aver già fatto o fare subito.

Se hai più di due caselle scoperte, il rischio in caso di ispezione è concreto. Non serve il panico, serve un piano. E serve iniziare adesso, non tra tre mesi.

Il legame con altri obblighi: non è solo NIS2

La cybersicurezza non vive in isolamento. Una PMI che si adegua alla NIS2 scopre spesso che molti degli strumenti necessari servono anche per altri obblighi: gli adeguati assetti organizzativi, la gestione documentale per il questionario ESG richiesto dalle banche, la tracciabilità dei processi per le certificazioni di qualità.

Costruire un sistema modulare che copra più esigenze di compliance è più efficiente che comprare tre software separati che non si parlano. È una questione di architettura, non di budget.

Prima di chiudere

Se stai valutando un sistema per gestire la compliance NIS2 — o più in generale per smettere di rincorrere obblighi con fogli sparsi — puoi verificare fattibilità, tempi indicativi e range di budget in 90 secondi su Fattibile?. Niente email, niente chiamate commerciali. Se poi preferisci parlare con qualcuno, scrivici.

Domande frequenti

Quali PMI rientrano negli obblighi NIS2?

Rientrano le imprese che operano in settori classificati come essenziali o importanti dalla direttiva: energia, trasporti, sanità, manifatturiero di prodotti critici, fornitori di servizi digitali e altri. La classificazione dipende dal settore e dalla dimensione dell'impresa. Se hai dubbi sulla tua posizione, consulta un legale specializzato in cybersicurezza.

Quando iniziano le ispezioni ACN per la NIS2?

Il calendario ACN prevede che le misure di sicurezza siano operative entro ottobre 2026. Dal primo novembre 2026 l'Agenzia può avviare attività di verifica e applicare sanzioni ai soggetti non conformi.

Quali sanzioni rischia una PMI non conforme alla NIS2?

Il D.Lgs. 138/2024 prevede sanzioni amministrative pecuniarie graduate per gravità e tipologia di soggetto. Oltre alla sanzione economica, l'ACN può imporre misure correttive. Gli importi specifici dipendono dal caso: rivolgiti a un professionista per una valutazione puntuale.

Serve un software dedicato per la compliance NIS2?

Non è un obbligo di legge. Però servono registri, policy documentate, piani di risposta e tracciabilità delle azioni. Gestire tutto questo senza un sistema strutturato è possibile, ma rende molto più difficile dimostrare la conformità durante un controllo. Un sistema su misura, anche semplice, riduce il rischio operativo.

Posso gestire la compliance NIS2 con fogli di calcolo?

Tecnicamente sì. Nella pratica, un foglio di calcolo non genera alert sulle scadenze, non traccia chi ha modificato cosa e quando, non gestisce workflow di approvazione e non produce report strutturati per un'ispezione. Più cresce la complessità degli obblighi, più un foglio diventa un rischio anziché uno strumento.

Questo articolo è stato generato da un sistema di intelligenza artificiale e sottoposto a un controllo automatico di qualità e di verifica delle fonti prima della pubblicazione, senza revisione editoriale umana. Informazione resa ai sensi dell'art. 50 del Regolamento (UE) 2024/1689 (AI Act). I contenuti hanno finalità informativa e non sostituiscono un parere professionale (legale, fiscale, finanziario o tecnico). Segnalazioni ed errori: scrivici. Dettagli su come usiamo l'AI.