NIS2: il 30 giugno segna una tappa cruciale per la cybersicurezza delle aziende italiane

Se la tua azienda è stata inclusa nel perimetro NIS2, oppure se lavori con clienti che rientrano nei settori interessati dalla normativa, il 30 giugno è una data da tenere sotto stretta osservazione.

Questa scadenza rappresenta infatti uno dei primi momenti concreti del percorso di adeguamento previsto dalla Direttiva NIS2 e coinvolge direttamente la capacità delle organizzazioni di identificare, classificare e proteggere le attività più critiche per il proprio business.

Dopo mesi di preparazione, le aziende e gli enti notificati dovranno completare la categorizzazione delle attività e dei servizi supportati dai sistemi informativi. Un passaggio che può sembrare puramente amministrativo ma che, in realtà, richiede una profonda conoscenza dei processi aziendali e delle dipendenze tecnologiche che sostengono l'operatività quotidiana.

Perché questa scadenza è importante

Per molte organizzazioni il 30 giugno rappresenta il primo vero test di maturità richiesto dalla NIS2.

L'obiettivo non è soltanto rispettare una scadenza normativa, ma comprendere quali attività sono realmente essenziali per il funzionamento dell'azienda e quale impatto potrebbe avere un incidente informatico sulla continuità operativa, sui clienti e sui servizi erogati.

In altre parole, la domanda che ogni organizzazione dovrebbe porsi è semplice: sappiamo davvero quali processi non possiamo permetterci di fermare?

Cosa accade entro il 30 giugno

Per i soggetti notificati dall'Agenzia per la Cybersicurezza Nazionale (ACN), la scadenza prevede il completamento delle attività di categorizzazione attraverso il Portale Servizi dell'Agenzia.

Le organizzazioni dovranno identificare e classificare le attività che supportano i servizi rientranti nel perimetro NIS2, attribuendo a ciascuna un livello di rilevanza in base all'impatto che una compromissione potrebbe avere sul business.

Un'attività che richiede il coinvolgimento non solo dell'IT, ma anche delle funzioni operative, amministrative e direzionali.

Anche chi non ha ancora ricevuto una notifica diretta dovrebbe osservare con attenzione l'evoluzione della normativa.

Molte aziende, infatti, pur non rientrando direttamente nel perimetro NIS2, operano come fornitori tecnologici, partner o soggetti della supply chain di organizzazioni essenziali e importanti. In questi casi, i requisiti di sicurezza richiesti dai clienti tenderanno progressivamente ad aumentare.

La cybersicurezza sta diventando sempre più un requisito competitivo oltre che normativo. Essere preparati significa poter dimostrare affidabilità, continuità operativa e capacità di gestione del rischio.

Le 10 Macro-Aree di classificazione Nis2 - Determinazione ACN 155238/2026

Le prossime tappe

La scadenza del 30 giugno è solo l'inizio. Nei mesi successivi le organizzazioni dovranno consolidare i processi di gestione del rischio, rafforzare le misure di sicurezza, migliorare le procedure di gestione degli incidenti e monitorare con maggiore attenzione la propria supply chain.

Le aziende che utilizzeranno questa fase per comprendere realmente i propri punti di forza e le proprie vulnerabilità saranno anche quelle che riusciranno ad affrontare con maggiore efficacia le future richieste normative e le sfide di un panorama cyber sempre più complesso.

Come sottolineato da Juhan Lepassaar, Direttore Esecutivo di ENISA*, la sfida della NIS2 non riguarda esclusivamente la conformità normativa, ma il rafforzamento della maturità cyber delle organizzazioni europee e della loro capacità di affrontare minacce sempre più sofisticate.

Hai già verificato il livello di preparazione della tua organizzazione?

La categorizzazione delle attività prevista dalla NIS2 richiede una conoscenza approfondita dei processi aziendali, delle dipendenze tecnologiche e dei servizi considerati critici per il business. Un'attività che spesso coinvolge più funzioni aziendali e che rappresenta il primo passo verso una gestione strutturata della resilienza cyber.

Se hai dubbi sugli adempimenti previsti o desideri valutare il livello di conformità della tua organizzazione, il nostro team è a disposizione per supportarti nel percorso di adeguamento alla NIS2 e nelle attività di assessment, governance e gestione del rischio informatico.

Fonti

• Direttiva (UE) 2022/2555 del Parlamento Europeo e del Consiglio (NIS2).
• Decreto Legislativo n. 138 del 4 settembre 2024.
• Agenzia per la Cybersicurezza Nazionale (ACN), Determinazione n. 164179 del 14 aprile 2025.
• Commissione Europea – NIS2 Directive.
• ENISA – European Union Agency for Cybersecurity.

* ENISA (European Union Agency for Cybersecurity) è l'agenzia dell'Unione Europea che supporta Stati membri, istituzioni e imprese nello sviluppo delle politiche di cybersicurezza e nell'attuazione delle principali normative europee, tra cui la Direttiva NIS2.

22/06/2026