NIS2 · Alto Adige
NIS2 in Alto Adige: chi è obbligato, cosa fare ed entro quando
Guida per le PMI altoatesine: criteri, registrazione sul portale ACN, scadenze e obblighi. Aggiornata al 26 ottobre 2026 sulla base del Vademecum NIS dell’ACN (settembre 2026).
La direttiva NIS2 è stata recepita in Italia con il D.Lgs. 138/2024, in vigore dal 16 ottobre 2024. Le regole sono nazionali e valgono anche in Alto Adige. A cambiare è il contesto: imprese bilingui, catene di fornitura che attraversano il confine con Austria e Germania, molte PMI senza un reparto IT dedicato.
Chi rientra nella NIS2
La NIS2 riguarda soggetti pubblici e privati che operano in 18 settori (11 ad alta criticità e 7 “altri settori critici”) e che, in generale, raggiungono almeno una di queste soglie:
- almeno 50 dipendenti
- più di 10 milioni di euro di fatturato annuo o di totale di bilancio
Rientrano settori come energia, trasporti, sanità, acqua, infrastrutture digitali, servizi ICT, produzione (macchinari, dispositivi medici, elettronica, alimentare), gestione dei rifiuti, servizi postali e ricerca. In Alto Adige sono interessate, tra le altre, utility energetiche e idriche, aziende manifatturiere e alimentari, strutture sanitarie e fornitori di servizi digitali. Alcuni soggetti rientrano a prescindere dalle dimensioni.
Anche chi non è obbligato direttamente può esserlo di fatto: i grandi clienti in Italia, Austria e Germania chiedono sempre più spesso ai fornitori requisiti di sicurezza in linea con la NIS2.
Registrazione sul portale ACN
La registrazione si fa online sul portale dei servizi dell’Agenzia per la cybersicurezza nazionale (ACN), tramite il punto di contatto designato dall’azienda. La prima registrazione si è svolta dal 1° dicembre 2024 al 28 febbraio 2025. Da allora la registrazione o l’aggiornamento va fatto ogni anno dal 1° gennaio al 28 febbraio. Entro il 14 aprile di ogni anno l’ACN comunica, via PEC, l’inserimento, la permanenza o l’espunzione dall’elenco dei soggetti NIS.
Se la vostra azienda rientra nei criteri ma non si è registrata, conviene verificare la situazione subito, prima della prossima finestra di registrazione.
Le scadenze principali
16 ottobre 2024
Entrata in vigore del D.Lgs. 138/2024.
1° dic 2024 – 28 feb 2025
Prima registrazione sul portale ACN.
Primavera 2025
L’ACN comunica via PEC l’inserimento nell’elenco dei soggetti NIS: da quella data decorrono i termini di prima applicazione (art. 42 del D.Lgs. 138/2024).
Gennaio 2026 (9 mesi dalla comunicazione)
Soggetti inseriti nel 2025: obbligo di notifica degli incidenti significativi di base al CSIRT Italia, con preallarme entro 24 ore e notifica entro 72 ore.
Entro ottobre 2026 (18 mesi dalla comunicazione)
Soggetti inseriti nel 2025: adozione delle misure di sicurezza di base. Il giorno esatto dipende dalla data della vostra PEC.
Gennaio 2027 e luglio 2027
Soggetti inseriti nel 2026: notifica degli incidenti da gennaio 2027, misure di sicurezza di base entro luglio 2027.
Ogni anno
1° gen – 28 feb: registrazione. 15 apr – 31 mag: aggiornamento delle informazioni (ogni modifica va comunicata entro 14 giorni). 1° mag – 30 giu: categorizzazione di attività e servizi.
Le date possono essere aggiornate dall’ACN: verificate sempre la fonte ufficiale su acn.gov.it/portale/nis. Fonti utilizzate: Vademecum NIS dell’ACN v1.0 (settembre 2026); ACN, “Modalità e specifiche di base”; determinazione ACN n. 379907 del 19 dicembre 2025, che aggiorna la n. 164179 del 14 aprile 2025 (allegato 1 per i soggetti importanti, allegato 2 per i soggetti essenziali).
Cosa richiede la NIS2
- governance e responsabilità del management, che deve essere formato
- analisi e gestione dei rischi cyber
- gestione e notifica degli incidenti
- continuità operativa, backup e disaster recovery
- sicurezza della supply chain e dei fornitori
- controllo degli accessi e autenticazione a più fattori
- formazione e consapevolezza del personale
Le sanzioni arrivano, per i soggetti essenziali, fino a 10 milioni di euro o al 2% del fatturato mondiale annuo; per i soggetti importanti fino a 7 milioni di euro o all’1,4%. Alla responsabilità dell’azienda si aggiunge quella degli organi di amministrazione.
Cosa cambia in Alto Adige
- documentazione, policy e formazione vanno spesso preparate in italiano e in tedesco
- molte aziende lavorano in catene di fornitura transfrontaliere con Austria e Germania, dove i clienti chiedono già requisiti in linea con la NIS2
- molte PMI non hanno un reparto IT dedicato: un Virtual CISO può coprire il ruolo
Domande frequenti
La NIS2 vale anche per le piccole aziende altoatesine?
In generale riguarda aziende medie e grandi nei settori interessati. Le imprese più piccole possono però essere coinvolte se gestiscono servizi critici o se lavorano nella supply chain di soggetti obbligati, che trasferiscono i requisiti ai fornitori.
Come capisco se la mia azienda è obbligata?
Dipende dal settore e dalle dimensioni. Con la valutazione NIS2 gratuita online (45 domande, circa 10 minuti) ottenete un primo punteggio; l’applicabilità esatta si verifica caso per caso nella prima consulenza.
Devo registrarmi sul portale ACN e quando?
Se l’azienda rientra nella NIS2, sì. La registrazione o l’aggiornamento si fa ogni anno dal 1° gennaio al 28 febbraio.
“Entro ottobre 2026” significa entro il 31 ottobre?
Non necessariamente. Per i soggetti inseriti nel 2025 il termine preciso è di 18 mesi dalla ricezione della comunicazione di inserimento (9 mesi per le notifiche): la data dipende dalla vostra PEC dell’ACN.
Cosa devo fare entro ottobre 2026?
Adottare le misure di sicurezza di base previste dalla determinazione ACN n. 379907/2025 (allegato 1 per i soggetti importanti, allegato 2 per quelli essenziali). In pratica: una gap analysis iniziale, una roadmap con priorità e responsabilità, policy e procedure documentate, formazione del management e del personale e un piano di gestione degli incidenti.
Quanto costa adeguarsi alla NIS2?
Dipende dalle dimensioni e dal livello di maturità dell’azienda. Il prezzo viene definito individualmente dopo l’audit iniziale, con un’offerta scritta e senza costi nascosti.
Lavorate in italiano e in tedesco?
Sì. Consulenza, documentazione e formazione possono essere fornite in italiano e in tedesco.
Assistete solo aziende in Alto Adige?
La sede è a Bolzano, con un’altra sede a Milano. Assistiamo PMI in Alto Adige, in Trentino e nel Nord Italia, oltre a imprese in Austria e Svizzera.
Aggiornato al 26 ottobre 2026. Questa pagina ha scopo informativo e non costituisce consulenza legale.