La prima scadenza operativa del D.Lgs. 138/2024 (recepimento italiano della direttiva NIS2) è il 31 ottobre 2026: entro quella data le misure di sicurezza di base devono essere attive e documentate, e da lì in avanti ACN può avviare l’attività ispettiva. Ne abbiamo scritto in dettaglio in NIS2: misure di base entro il 31 ottobre.
Fino a oggi le PMI classificate come essenziali o importanti hanno avuto un margine implicito: registrazione sulla piattaforma ACN effettuata, piano di adeguamento in costruzione, verifiche rimandate. Quel margine si chiude, e il 2027 è l’anno in cui le conseguenze di un ritardo diventano concrete su più fronti insieme.
Questa analisi mette in fila i cinque rischi che una PMI in ritardo si troverà davanti. Una distinzione va fatta subito, perché le due cose non hanno lo stesso peso: alcuni di questi rischi sono pattern che osserviamo già fra i nostri clienti e nelle richieste che riceviamo; altri sono scenari attesi, cioè proiezioni ragionevoli su come si muoveranno autorità, assicuratori e committenti. Dove si tratta di una previsione lo diciamo, invece di presentarla come un fatto — anche perché su una normativa in attuazione le previsioni sbagliate hanno vita breve.
1. Sanzioni amministrative pecuniarie (entrate in vigore)
Cosa cambia a gennaio 2027: l’art. 38 del D.Lgs 138/2024 ha lasciato un periodo di “amnistia operativa” per il 2026 — ACN ha privilegiato l’accompagnamento alla compliance vs sanzione pura. Dal 1° gennaio 2027 le sanzioni sono piene e applicabili senza margine.
Range sanzioni (per soggetti essenziali):
- Violazione obblighi gestione rischio: fino a 10 milioni di euro O 2% del fatturato mondiale annuo, qualunque sia maggiore
- Mancata notifica incidente significativo entro 24h/72h: fino a 7 milioni di euro O 1,4% del fatturato
- Violazione obblighi reporting: fino a 5 milioni di euro
Per soggetti importanti (la maggior parte delle PMI medio-grandi italiane): le sanzioni sono ridotte ma comunque significative (7M/5M/2,5M con 1,4%/1%/0,7% fatturato).
Rischio reale stimato per PMI essential 30-100 dipendenti che hanno fatto registrazione ma compliance plan incompleto: prima sanzione attesa a follow-up audit ACN, range 80.000 - 400.000 euro secondo la dimensione e la gravità delle non-conformità.
2. Responsabilità diretta degli amministratori
Cosa cambia: l’art. 23 D.Lgs 138/2024 introduce responsabilità personale degli amministratori di soggetti essenziali per violazioni significative dei loro obblighi NIS2. Non è più solo l’azienda a essere sanzionata: gli amministratori rispondono direttamente, anche nel proprio patrimonio personale.
Implicazioni concrete:
- Polizze D&O (Directors & Officers) tradizionali non coprono automaticamente violazioni NIS2 a meno di addendum esplicito
- Pattern osservato: amministratori di PMI essential che non hanno ricevuto formazione sulla gestione del rischio cyber documentata (art. 23.4) sono nel mirino delle prime ispezioni
- Da Q1 2027 sono attese azioni di rivalsa da parte di aziende sanzionate verso amministratori e dirigenti responsabili
Pattern di mitigazione che vediamo fra i clienti che si sono attrezzati: (1) integrazione della polizza D&O con una cyber extension specifica NIS2, (2) formazione degli amministratori sulla gestione del rischio cyber con attestato formale, dimensionata in pratica intorno alle 8 ore/anno, (3) review verbalizzata da CdA o organo equivalente delle policy di sicurezza su base trimestrale.
⚠️ Una precisazione sulle 8 ore, perché è una domanda che ci arrivano spesso: non sono un minimo di legge. L’art. 23 richiede formazione “adeguata e continua” senza fissare né ore né programma — le 8 ore sono la prassi che osserviamo fra chi si è organizzato, non una soglia normativa. Il criterio con cui la norma si valuta, e le evidenze che servono a dimostrarla, sono in cosa deve contenere la formazione per gli amministratori e come si documenta.
3. Requisiti di sicurezza nelle gare pubbliche e nei contratti PA
Cosa sta cambiando: i requisiti di cybersicurezza stanno entrando nei capitolati delle gare per servizi IT, cloud e software come condizioni di ammissione o criteri premianti, e AgID mantiene e aggiorna le regole tecniche per la gestione degli appalti pubblici. La NIS2 accelera il fenomeno per una ragione indiretta ma diretta nelle conseguenze: l’art. 21 obbliga i soggetti in perimetro — e gli enti pubblici centrali e regionali lo sono — a gestire il rischio della propria catena di fornitura. Un ente che deve rispondere dei propri fornitori finisce per chiedere garanzie nei bandi.
⚠️ Attenzione a come viene raccontato. Non esiste, a oggi, una norma che imponga a una data stabilita una dichiarazione di conformità NIS2 come requisito generalizzato di partecipazione. Abbiamo verificato il testo della direttiva NIS2, la pagina della Commissione europea e l’indice della normativa NIS di ACN: nessuna delle tre introduce quell’obbligo. Una direttiva europea sulla cybersicurezza, del resto, non disciplina il codice degli appalti italiano.
La conseguenza pratica per chi fornisce la PA è quindi diversa, e più insidiosa: i requisiti non arrivano a una data, arrivano bando per bando. Non c’è una scadenza da segnare in calendario — c’è un capitolato alla volta che alza l’asticella, senza preavviso e con i tempi di gara.
Chi è più esposto:
- Software house che lavorano per ministeri, regioni, comuni medio-grandi
- Service provider IT in fornitura continuativa a enti pubblici
- Hosting e cloud provider italiani con clientela mista privata e PA
- Manutenzione hardware in convenzione Consip / SDA
Per una PMI con una quota PA significativa l’esposizione è proporzionale a quella quota: se un terzo del fatturato dipende da clienti istituzionali, un requisito che non si riesce a soddisfare non fa perdere una gara, fa perdere una linea di business. Il calcolo lo può fare solo l’azienda, sui propri numeri — ma è un calcolo che conviene fare adesso e non alla pubblicazione del prossimo bando.
Cosa fare, concretamente: invece di attendere una scadenza, leggere i capitolati recenti del proprio settore — quelli degli ultimi sei o dodici mesi, anche di gare non partecipate. Dicono con precisione quali requisiti stanno già comparendo e con quale formulazione, che è un’informazione più utile di qualsiasi previsione.
Anche fuori dalla PA vale lo stesso meccanismo: le grandi imprese stanno introducendo clausole di sicurezza nei contratti B2B, perché a loro volta devono rispondere della propria filiera. È l’effetto che abbiamo trattato in NIS2 e fornitori: gli obblighi che arrivano alle PMI non soggette — anche se non sei tu il soggetto obbligato, lo è il tuo cliente.
4. Perdita / rincaro polizza assicurativa cyber
Cosa cambia: il mercato assicurativo italiano cyber sta integrando NIS2 nel pricing e nei criteri di sottoscrizione da Q3 2026. Le compagnie principali (AIG, Chubb, Munich Re, Generali Cyber) hanno aggiornato i loro questionari pre-polizza con sezioni dedicate ai requisiti NIS2.
Impatti misurabili sul mercato osservati 2026:
- PMI essential senza registrazione ACN: polizza cyber rifiutata o offerta a premi proibitivi (4-8x rispetto al 2024)
- PMI essential con registrazione + plan in progress: aumento premio 30-50% rispetto al 2024
- PMI essential compliant certificato: stabilità premio o leggero aumento (5-10%)
Pattern emergente nei rinnovi 2027: le polizze cyber italiane stanno introducendo clausole di esclusione che escludono il pagamento del sinistro in caso di violazione NIS2 documentata. Il “double risk” (sanzione ACN + sinistro non pagato) sta diventando il driver principale per accelerare la compliance nei prossimi mesi.
Pattern di mitigazione: PMI essential stanno usando il rinnovo polizza cyber (tipicamente Q4 2026 - Q1 2027) come deadline interna forzata per chiudere il gap NIS2. Il broker assicurativo è diventato l’interlocutore commerciale che spinge più di ACN stessa sull’urgenza compliance.
5. Effetto domino sui fornitori (NIS2 supply chain)
Cosa cambia: l’art. 24.2 del D.Lgs 138/2024 obbliga i soggetti essential a verificare la security posture dei propri fornitori critici (cloud provider, MSP, software house, system integrator). Questo significa che anche PMI non direttamente obbligate da NIS2 ricevono richieste di compliance dai loro clienti essential.
Pattern osservato fine 2026:
- PMI 20-30 dipendenti fornitori di un’azienda essential ricevono questionari di sicurezza obbligatori (tipicamente 80-150 domande) con scadenza 30-60 giorni
- Le risposte inadeguate portano a non-rinnovo contratto o richiesta di adeguamento entro X mesi (penali in caso di slittamento)
- MSP italiani: 60-80% dei loro clienti enterprise / mid-market chiede ora compliance NIS2 documentata come requisito di rinnovo servizio
Implicazione strategica: la NIS2 non si ferma ai 5.000-7.000 soggetti italiani direttamente obbligati. Per effetto della supply chain compliance, sta toccando 20.000-30.000 PMI italiane indirettamente. Per molti operatori la conformità NIS2 non è scelta strategica: è precondizione di permanenza nel mercato.
Cosa fare nei prossimi 60 giorni (giugno-luglio 2026)
Se sei PMI essential / important che non ha ancora completato il percorso NIS2, queste sono le azioni minime da chiudere entro fine luglio 2026 per arrivare alla scadenza di gennaio 2027 con margine ragionevole:
- Asset inventory IT + OT completo (4-6 settimane se parte da zero) — base per qualunque altra azione
- Risk assessment formale basato su asset inventory (2-3 settimane)
- Implementazione 10 misure art. 24 (parallela: 8-12 settimane, alcune in compressione)
- Incident response plan testato con almeno una tabletop exercise documentata (1-2 settimane)
- Dossier di evidence documentation pronto per audit ACN (1 settimana di lavoro continuativo a fine percorso)
Range investimento PMI essential 50-150 dipendenti che parte da zero: 60.000 - 180.000 euro distribuiti su 6 mesi. Include licenze (Microsoft Sentinel + Defender for IoT + Purview + Intune se non già attivi), consulenza specializzata, formazione amministratori + team operativo, eventuale audit DPO esterno.
Per chi è già a metà percorso, il completamento costa tipicamente 20.000 - 50.000 euro e richiede 8-12 settimane di lavoro focalizzato.
Il rischio di non fare niente
L’opzione “aspettiamo, vediamo come va a inizio 2027” è la più costosa di tutte. Numeri esemplificativi per PMI essential 80 dipendenti, 12 milioni di fatturato, 25% quota PA:
| Scenario fine 2026 | Costo 2027 atteso |
|---|---|
| Compliance certificata + polizza rinnovata | 8.000 € (consulenza mantenimento) |
| Compliance plan a 80% completato | 35.000 € (chiusura gap + audit) |
| Solo registrazione ACN, no plan | 150.000 - 300.000 € (sanzioni + rincaro polizza + perdita PA parziale) |
| Nemmeno registrazione ACN | 400.000 - 800.000 € (sanzioni piene + rivalsa amministratori + perdita PA completa) |
Il delta fra “compliant” e “non compliant” è 10-100x il costo della compliance stessa. Questa è la matematica reale che le PMI italiane stanno facendo nei consigli di amministrazione di maggio-giugno 2026.
Cosa offre SynSphere
SynSphere ha portato a compliance certificata 15+ PMI essential italiane fra 2024 e 2026. Il pacchetto NIS2 SynSphere include:
- Discovery + gap analysis 4-6 settimane (5-15 k€)
- Implementation roadmap personalizzata su settore + dimensione
- Setup Microsoft Sentinel + Defender for IoT + Purview quando applicabile
- Tabletop exercise con scenario settore-specifico
- Audit DPO esterno accompagnato + dossier documentazione
Per le PMI in ritardo che hanno bisogno di un go-live a gennaio 2027 con margine, possiamo organizzare percorsi accelerati (3-4 mesi vs 6 mesi standard).
Vedi NIS2 guida operativa completa per il dettaglio art. 24 + scadenze + obblighi, e Microsoft Sentinel quando ha senso per la scelta del SIEM cloud.
Contattaci per discovery gratuita 60 minuti.