Quando la piattaforma NIS2 è stata resa disponibile nel dicembre 2024, l’Agenzia per la Cybersicurezza Nazionale si aspettava un afflusso graduale di registrazioni. Le evidenze emerse nel corso dell’anno hanno però restituito un quadro diverso.
I dati presentati durante il convegno “NIS2, pronti per la prima scadenza delle Misure di Base?”, organizzato con l’Agenzia per la Cybersicurezza Nazionale (ACN), mostrano infatti un andamento fortemente condizionato dalle scadenze normative.
Le registrazioni si sono concentrate in prossimità delle deadline, confermando una dinamica ben nota nei processi di compliance NIS2: la tendenza delle organizzazioni a rimandare fino al momento cruciale.
Indice degli argomenti
Il pattern dei picchi: quando le aziende si registrano alla NIS2
Come ha spiegato Milena Rizzi, Capo Servizio Regolazione dell’ACN, l’andamento delle registrazioni NIS2 nel 2025 ha evidenziato due momenti di concentrazione particolarmente rilevanti. «Quando abbiamo incominciato l’anno scorso, mettendo a terra la disponibilità della piattaforma NIS per incominciare ad invogliare i soggetti che si sarebbero dovuti registrare a prendere confidenza con questo strumento, abbiamo notato che non c’è stato quello sprint di partenza».
Il primo picco si è registrato attorno al 17 gennaio 2025, coincidenza che non sorprende: «Il picco si è verificato inizialmente intorno alla data del 17 di gennaio, quando c’era la prima scadenza per la registrazione di quella particolare tipologia di soggetti che si occupano della fornitura dei servizi di sicurezza».
Terminata questa fase, il flusso di registrazioni ha subito un rallentamento. Rizzi parla di «un momento di calma», una pausa fisiologica prima del secondo impulso. Il picco più consistente si è infatti concentrato verso la fine di febbraio 2025, in concomitanza con la scadenza generale prevista dal quadro NIS2. L’intensità dell’afflusso ha costretto ACN ad aprire una finestra aggiuntiva per consentire il completamento delle registrazioni, segnale evidente della pressione operativa generata dall’effetto deadline.
La lezione di ACN: procrastinazione e carico sulla compliance NIS2
La scelta di illustrare nel dettaglio questa sequenza temporale non risponde a un’esigenza meramente descrittiva. Come ha chiarito Rizzi durante l’intervento al convegno Clusit del 3 dicembre, le dinamiche osservate nel 2025 hanno implicazioni dirette sulla gestione della NIS2 nel 2026. «A gennaio si dovrà rifare l’attività di registrazione. Mi auguro che i soggetti che si sono registrati l’anno scorso e che quest’anno devono rinnovare la registrazione, quindi a partire da gennaio, non aspettassero la scadenza del termine».
La procrastinazione in ambito NIS2 non è solo una questione di organizzazione interna. Produce effetti concreti sull’intero sistema: concentra il carico sulla piattaforma, rende più complessa la gestione operativa per ACN, aumenta il rischio di errori formali e riduce il tempo disponibile per eventuali correzioni o richieste di supporto. Nei giorni immediatamente precedenti alle scadenze, il sistema si trova così a operare con margini di tolleranza ridotti.
Gennaio 2026: il doppio flusso delle registrazioni NIS2
Rispetto al 2025, l’avvio del 2026 introduce un elemento di complessità ulteriore per la NIS2. A gennaio non saranno coinvolti soltanto i soggetti chiamati al rinnovo della registrazione, ma anche le organizzazioni che, nel corso del 2025, avranno maturato per la prima volta i presupposti di obbligatorietà, entrando così nel perimetro NIS2.
«Sarebbe molto opportuno, per i soggetti già NIS che hanno già ricevuto la PEC che comunica loro l’inserimento nell’elenco, che procedessero al rinnovo della loro registrazione senza attendere la scadenza del termine», afferma Rizzi.
La presenza simultanea di rinnovi e nuove registrazioni crea una finestra operativa particolarmente delicata. In questo scenario, il rinvio sistematico rischia di amplificare criticità già osservate nel primo anno di applicazione della NIS2.
Il contesto: oltre 20.000 organizzazioni coinvolte dalla NIS2
La scala del fenomeno rende il tema particolarmente rilevante. Secondo le stime di ACN, il perimetro NIS2 in Italia coinvolge più di 20mila organizzazioni, distribuite tra settori critici – come energia, trasporti, sanità, comunicazioni e finanza – e settori importanti, tra cui digitale, servizi postali e sistemi di identificazione.
Quando una quota significativa di questi soggetti tende a concentrarsi negli ultimi giorni disponibili, l’intero sistema di compliance NIS2 viene sottoposto a una pressione elevata. Non si tratta di una carenza di competenze, ma di una dinamica comportamentale ampiamente documentata nella gestione del rischio normativo. La risposta, come emerge dall’esperienza di ACN, non è il giudizio, ma una pianificazione che tenga conto di questo comportamento come di un dato strutturale.
