NIS 2: Scadenze giugno 2026 e successivi step

Con il superamento della scadenza del 31 maggio 2026, relativa all’aggiornamento annuale delle informazioni e all’indicazione dei fornitori rilevanti NIS, l’attenzione si sposta ora sul successivo adempimento previsto dalla disciplina NIS 2.

Il nuovo passaggio riguarda la categorizzazione delle attività e dei servizi, i cui esiti devono essere comunicati all’Autorità nazionale competente NIS tramite la piattaforma ACN entro il 30 giugno 2026. ACN ha indicato che questa fase si colloca nell’ambito dell’elencazione e categorizzazione delle attività e dei servizi di cui all’articolo 30 del decreto NIS, con comunicazione degli esiti dal 1° maggio al 30 giugno, secondo la procedura richiamata dalla Determinazione ACN 127437/2026, articoli 20 e 21.

La categorizzazione è disciplinata anche dalla Determinazione ACN 155238/2026, che definisce il modello in base al quale i soggetti NIS predispongono l’elenco categorizzato delle proprie attività e dei propri servizi. Il modello struttura le attività e i servizi in macro-aree, ciascuna associata a una descrizione e a una categoria di rilevanza preassegnata.

In termini pratici, il passaggio del 30 giugno serve a completare una rappresentazione ordinata delle attività e dei servizi aziendali rilevanti ai fini NIS. Dopo la fase sui fornitori, che ha posto l’attenzione sulle dipendenze della catena di approvvigionamento, la categorizzazione consente di consolidare il quadro delle attività e dei servizi che dovranno essere considerati nei successivi adempimenti.

Dopo il 30 giugno, il percorso non si chiude: per i soggetti già inseriti nel perimetro NIS nel 2025 resta operativo l’obbligo di notifica degli incidenti significativi, avviato da gennaio 2026, mentre il successivo traguardo sarà l’adozione delle misure di sicurezza di base entro ottobre 2026. La categorizzazione trasmessa ad ACN diventa quindi uno degli elementi di riferimento per proseguire il percorso di adeguamento, insieme agli obblighi già previsti in materia di gestione del rischio, sicurezza dei sistemi informativi e risposta agli incidenti.

Il percorso NIS 2 proseguirà infatti con il progressivo consolidamento delle misure di sicurezza, della gestione dei rischi informatici, delle responsabilità interne e delle procedure di notifica degli incidenti. Prima di queste fasi, però, è necessario completare l’inquadramento richiesto da ACN sulle attività e sui servizi: è questo il passaggio attualmente più vicino e da presidiare entro il 30 giugno 2026.

Lo Studio Consilia Associati affianca le aziende nella gestione degli adempimenti NIS 2, offrendo un supporto tecnico specializzato per impostare correttamente il percorso di adeguamento e definire le priorità organizzative e documentali.