// TOM'S HARDWARE ITALIA — MONDO
ACN e NIS2, ultima chiamata per le PMI prima di ispezioni, controlli e multe
L'ACN, l'Agenzia per la cybersicurezza nazionale, ha accompagnato per mesi le aziende italiane verso la conformità alla NIS2; ora la stessa autorità passa a un'altra fase, e tra circa due mesi inizieranno controlli, verifiche ed eventualmente sanzioni.
La data riportata dalle testate specializzate è il 31 ottobre 2026. Più specificamente, la Determinazione ACN 379907/2025 dà diciotto mesi dalla comunicazione di inserimento nell'elenco dei soggetti NIS, le lettere del 2025 sono partite dal 12 aprile, e l'ACN stessa scrive che il termine cade "entro ottobre 2026".
Le FAQ pubblicate l'11 agosto 2026 descrivono il monitoraggio come un'attività "a carattere sistematico e continuativo", che prosegue anche oltre il termine di adeguamento. Superato il termine, l'Autorità ha la base per passare dalla raccolta di informazioni alla verifica con poteri specifici, fino all'ispezione.
Nel perimetro rientrano circa 20.000 soggetti, oltre 5.000 dei quali essenziali, secondo un dato dell'ACN risalente al tavolo istituzionale di aprile 2025: 11 settori ad alta criticità e 7 settori critici, con le soglie di ingresso già note da gennaio: 50 dipendenti e 10 milioni di euro di fatturato, salvo eccezioni per chi fornisce reti pubbliche di comunicazione o servizi fiduciari.
Le FAQ dell'11 agosto distinguono tre attività che fino a quel momento restavano confuse nel linguaggio comune:
Di conseguenza, un piano di sicurezza, per quanto scritto bene, non basta più da solo. Con il criterio delle prassi effettive, l'ispettore confronta quel documento con quello che l'azienda fa davvero, giorno per giorno, e uno scarto fra i due diventa il punto di partenza di un procedimento.
Il rischio di un'ispezione senza preavviso non è uguale per tutti. Per i soggetti essenziali (energia, trasporti, sanità, infrastrutture digitali) la vigilanza può essere ex ante e sistematica: l'ACN può presentarsi a controllare senza che sia successo niente. Per i soggetti importanti la stessa vigilanza resta ex post nella maggior parte dei casi: serve che l'Autorità abbia già raccolto elementi che facciano sospettare una violazione, come previsto dall'articolo 36 del decreto NIS.
Chi rientra fra gli importanti ha quindi più margine per prepararsi, ma anche più da perdere se l'ispezione arriva dopo un incidente già avvenuto: la sanzione, a quel punto, si somma al danno già fatto.
Le sanzioni per violazioni sostanziali toccano fino a 10 milioni di euro o il 2% del fatturato mondiale per i soggetti essenziali (il valore più alto fra i due), e fino a 7 milioni o l'1,4% per gli importanti; entrambe le forbici hanno anche un minimo, un ventesimo del massimo per gli essenziali e un trentesimo per gli importanti. Le violazioni minori restano su cifre più contenute, fino allo 0,1% del fatturato per gli essenziali e allo 0,07% per gli importanti.
Due scadenze ulteriori riguardano solo chi è entrato in elenco nel 2026: il 1° gennaio 2027 decorre l'obbligo di notifica degli incidenti significativi, il 31 luglio 2027 quello di adottare le misure di sicurezza di base. Chi ha ricevuto la comunicazione più di recente ha un calendario diverso.