--- title: "Modifiche alla NIS 2: cosa propone la Commissione" description: "Non esiste una NIS 3: la Commissione propone modifiche mirate alla NIS 2. Small mid-cap, ransomware, certificazione e a che punto è la procedura." canonical: https://www.aegister.com/it/cms/insights/nis2-modifiche-proposta-commissione-2026/ url: /it/cms/insights/nis2-modifiche-proposta-commissione-2026/ lang: it --- ![](https://www.aegister.com/static/images/header-contact.webp) # Modifiche alla NIS 2: cosa propone la Commissione Una NIS 3 non esiste. Il 20 gennaio 2026 la Commissione ha proposto modifiche mirate alla NIS 2 (COM(2026) 13): la categoria small mid-cap, che renderebbe importanti molti soggetti oggi essenziali dell'Allegato I, modifiche al perimetro, dati armonizzati sul ransomware, certificazione della postura di cibersicurezza e un ruolo dell'ENISA nella vigilanza transfrontaliera. Con il punto di accesso unico del Digital Omnibus, lo stato della procedura all'8 ottobre 2026 e che cosa vale oggi in Italia. 13 ottobre 2026 11 min di lettura ![Facciata di un edificio istituzionale europeo a Bruxelles](https://www.aegister.com/static/images/cms/theme-eu-institution.webp) Realizzata con IA [NIS 2](https://www.aegister.com/it/cms/keyword/nis-2/)[Notifica degli incidenti](https://www.aegister.com/it/cms/keyword/notifica-degli-incidenti/)Cybersecurity ActDigital Omnibus Indice 1. [In breve](#in-breve) 2. [Che cosa ha proposto la Commissione il 20 gennaio 2026](#che-cosa-ha-proposto-la-commissione-il-20-gennaio-2026) 3. [Le modifiche principali](#le-modifiche-principali) 4. [Small mid-cap: chi potrebbe passare da essenziale a importante](#small-mid-cap-chi-potrebbe-passare-da-essenziale-a-important) 5. [Segnalazione degli incidenti: punto di accesso unico (Digital Omnibus)](#segnalazione-degli-incidenti-punto-di-accesso-unico-digital-) 6. [A che punto è la procedura (all'8 ottobre 2026)](#a-che-punto-e-la-procedura-all8-ottobre-2026) 7. [Che cosa non cambia oggi per i soggetti italiani](#che-cosa-non-cambia-oggi-per-i-soggetti-italiani) Chi cerca «NIS 3» trova una risposta semplice: una NIS 3 non esiste, e nessuna istituzione europea usa questo nome. Il 20 gennaio 2026 la Commissione europea ha proposto modifiche mirate alla direttiva (UE) 2022/2555, la NIS 2, con la proposta [COM(2026) 13](https://data.consilium.europa.eu/doc/document/ST-5627-2026-INIT/it/pdf), presentata insieme al nuovo Cybersecurity Act. Questa guida spiega che cosa cambierebbe, chi ne sarebbe toccato, a che punto è la procedura e che cosa resta in vigore oggi per i soggetti italiani. ## In breve - Non esiste una «NIS 3»: la proposta COM(2026) 13 modifica alcuni articoli e gli allegati della NIS 2, che resta la direttiva di riferimento. - La novità più rilevante per le imprese è la categoria delle piccole imprese a media capitalizzazione (small mid-cap): nei settori dell'Allegato I sarebbero, di norma, soggetti importanti e non più essenziali. - Uscirebbero dal perimetro i produttori di energia elettrica fino a 1 MW e i fornitori di servizi DNS micro e piccoli; entrerebbero i fornitori dei portafogli europei di identità digitale e delle imprese e gli operatori di infrastrutture sottomarine di trasmissione dei dati. - Le notifiche degli attacchi ransomware conterrebbero dati armonizzati; i dettagli sul riscatto si comunicherebbero solo su richiesta del CSIRT. I termini di 24 ore, 72 ore e un mese non cambiano. - Una proposta separata, il Digital Omnibus, prevede un punto di accesso unico gestito dall'ENISA per le segnalazioni degli incidenti, senza modificare gli obblighi. - All'8 ottobre 2026 la proposta è all'esame del Parlamento europeo e del Consiglio: nessuno dei due ha ancora adottato una posizione. Fino all'adozione e al recepimento restano in vigore il D.Lgs. 138/2024 e le determinazioni dell'Agenzia per la Cybersicurezza Nazionale (ACN). ## Che cosa ha proposto la Commissione il 20 gennaio 2026 Il pacchetto presentato a Strasburgo il 20 gennaio 2026 contiene due testi distinti. Il primo è il Cybersecurity Act 2, [COM(2026) 11](https://data.consilium.europa.eu/doc/document/ST-5611-2026-INIT/it/pdf): un regolamento sull'ENISA, sulla certificazione europea della cybersicurezza e sulla sicurezza della catena di approvvigionamento ICT, che abbiamo descritto nell'articolo sulla [revisione del Cybersecurity Act UE](https://www.aegister.com/it/cms/insights/revisione-cybersecurity-act-ue-2026/). Il secondo è la direttiva che modifica la NIS 2 «per quanto riguarda le misure di semplificazione e l'allineamento» con il Cybersecurity Act 2: COM(2026) 13, procedura 2026/0012(COD). Le misure sui fornitori ad alto rischio delle reti mobili sono contenute nel Cybersecurity Act 2, non nella modifica della NIS 2. La Commissione presenta le modifiche come semplificazione. Secondo le sue stime alleggeriscono gli adempimenti per 28.700 imprese, tra cui 6.200 micro e piccole, e la nuova categoria delle small mid-cap riduce i costi di conformità per 22.500 imprese ([comunicato della Commissione IP/26/105](https://ec.europa.eu/commission/presscorner/detail/en/ip_26_105); [domande e risposte sul pacchetto](https://digital-strategy.ec.europa.eu/en/faqs/cybersecurity-package-questions-answers)). La proposta non riscrive la direttiva. Interviene su definizioni, ambito di applicazione, registrazione, segnalazione del ransomware, certificazione e vigilanza transfrontaliera. Non tocca l'impianto degli obblighi: la responsabilità degli organi di gestione (articolo 20), le misure di gestione dei rischi elencate nell'articolo 21 e la notifica degli incidenti significativi dell'articolo 23 restano come sono ([direttiva (UE) 2022/2555](https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32022L2555)). ## Le modifiche principali La tabella riassume le modifiche dell'articolo 1 della proposta e del suo [allegato](https://data.consilium.europa.eu/doc/document/ST-5627-2026-ADD-1/it/pdf), con gli articoli della NIS 2 interessati. | Modifica | Articolo della proposta | Chi riguarda | | --- | --- | --- | | Nuova categoria small mid-cap: i soggetti dell'Allegato I sono essenziali solo se superano i massimali delle small mid-cap | Art. 1, punti 2 e 4 (artt. 3 e 6 NIS 2) | Imprese dei settori dell'Allegato I che non sono PMI ma restano sotto i 750 dipendenti e le soglie finanziarie | | Esclusione dei produttori di energia elettrica con capacità totale fino a 1 MW | Allegato, punto 1, lettera a) | Piccoli produttori di energia elettrica | | Esclusione dei fornitori di servizi DNS micro e piccoli | Art. 1, punti 1 e 2 (artt. 2 e 3 NIS 2) | Fornitori di servizi DNS; i registri dei nomi di dominio di primo livello restano inclusi a prescindere dalle dimensioni | | Fornitori dei portafogli europei di identità digitale e dei portafogli europei delle imprese essenziali a prescindere dalle dimensioni | Art. 1, punti 1 e 2; allegato, punto 1, lettera e) | Fornitori di portafogli digitali | | Inclusione degli operatori di infrastrutture sottomarine di trasmissione dei dati e delle infrastrutture strategiche a duplice uso | Art. 1, punti 1, 2 e 4; allegato, punto 1, lettera e) | Operatori di cavi sottomarini, stazioni di approdo e infrastrutture collegate; infrastrutture individuate da un regolamento sul trasporto militare ancora in discussione | | Voci riscritte per idrogeno, sistemi di trasporto intelligenti, prestatori di assistenza sanitaria e prodotti chimici | Allegato, punti 1 e 2 | Imprese di questi settori, che dovrebbero rileggere la propria classificazione | | Dati armonizzati sugli attacchi ransomware | Art. 1, punto 8 (nuovi par. 12 e 13 dell'art. 23) | Soggetti essenziali e importanti colpiti da ransomware | | Certificato sulla postura di cibersicurezza | Art. 1, punto 9 (nuovi par. 4, 5 e 6 dell'art. 24) | Soggetti essenziali e importanti, quando esisterà uno schema europeo | | Armonizzazione massima degli atti di esecuzione sulle misure di sicurezza | Art. 1, punti 3 e 7 (artt. 5 e 21, par. 5) | Soggetti coperti da un atto di esecuzione della Commissione | | Registro ENISA di tutti i soggetti essenziali e importanti; modifiche dei dati comunicate entro due settimane | Art. 1, punti 2 e 11 (artt. 3, par. 4, e 27) | Tutti i soggetti | | Supporto dell'ENISA all'assistenza reciproca tra autorità per i soggetti transfrontalieri | Art. 1, punto 12 (nuovo art. 37 bis) | Soggetti che operano in più Stati membri | | Regole di giurisdizione per i vettori aerei e per i soggetti non stabiliti nell'UE | Art. 1, punto 10 (art. 26) | Compagnie aeree; fornitori extra UE, che designano un rappresentante nell'Unione | | Migrazione alla crittografia post-quantum nelle strategie nazionali | Art. 1, punto 5 (art. 7, par. 2) | Stati membri | ### Ransomware: che cosa si segnalerebbe Quando la Commissione adotta l'atto di esecuzione sul contenuto delle notifiche, dovrebbe prevedere tre informazioni: se il soggetto ha rilevato un attacco ransomware, il vettore dell'attacco e se sono state attuate misure di mitigazione. In caso di incidente significativo causato da ransomware, il soggetto comunicherebbe inoltre, ma solo su richiesta del CSIRT o dell'autorità competente, se ha ricevuto una richiesta di riscatto e da chi, se l'ha pagato, l'importo, il mezzo di pagamento e il destinatario, compresi la cripto-attività e il prestatore di servizi per le cripto-attività ([COM(2026) 13, nuovi paragrafi 12 e 13 dell'articolo 23](https://data.consilium.europa.eu/doc/document/ST-5627-2026-INIT/it/pdf)). La proposta non vieta il pagamento del riscatto. Secondo il considerando 11, il solo fatto di segnalare queste informazioni non dovrebbe comportare obblighi aggiuntivi ai sensi della direttiva. ### Certificazione: uno strumento futuro, non un'esenzione Gli Stati membri potrebbero richiedere ai soggetti un certificato sulla postura di cibersicurezza, rilasciato secondo uno schema europeo adottato in base al Cybersecurity Act 2. Se il certificato dimostra la conformità ai requisiti delle misure, l'autorità non sottopone il soggetto ad audit sulla sicurezza aggiuntivi su quei requisiti (articoli 32, paragrafo 2, lettera b, e 33, paragrafo 2, lettera b, della NIS 2). La responsabilità di rispettare la direttiva resta del soggetto. Uno schema di questo tipo non è ancora stato adottato: la certificazione potrebbe diventare uno strumento per dimostrare la conformità quando sarà disponibile uno schema europeo. Già ora, del resto, un certificato ISO/IEC 27001 non vale come presunzione di conformità alla NIS 2, come spieghiamo nella [guida su NIS 2 e ISO 27001](https://www.aegister.com/it/cms/insights/nis2-iso-27001-mappatura-differenze/). ### Misure di sicurezza e fornitori Quando la Commissione adotta atti di esecuzione sui requisiti tecnici, metodologici o settoriali delle misure, gli Stati membri non potrebbero imporre requisiti ulteriori ai soggetti coperti da quegli atti. Per gli altri soggetti italiani le misure restano quelle fissate dall'ACN, oggi le [misure di base NIS 2](https://www.aegister.com/it/cms/insights/misure-di-base-nis2-acn/), mentre sulle [misure di sicurezza rafforzate](https://www.aegister.com/it/cms/insights/nis-misure-sicurezza-rafforzate-consultazione-acn/) l'ACN ha avviato una consultazione. Per le imprese che forniscono soggetti NIS, la relazione che accompagna la proposta annuncia linee guida della Commissione sulle informazioni di sicurezza che i soggetti chiedono ai fornitori. L'obiettivo dichiarato è ridurre questionari eterogenei e ripetuti ed evitare che obblighi della NIS 2 ricadano indebitamente su imprese fuori dal perimetro (considerando 9). ## Small mid-cap: chi potrebbe passare da essenziale a importante Oggi i soggetti dell'Allegato I, i settori ad alta criticità come energia, trasporti, sanità e infrastrutture digitali, sono essenziali quando superano i massimali delle medie imprese fissati dalla [Raccomandazione 2003/361/CE](https://eur-lex.europa.eu/eli/reco/2003/361/oj): 250 occupati, oppure 50 milioni di euro di fatturato e 43 milioni di totale di bilancio ([D.Lgs. 138/2024, art. 6](https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:decreto.legislativo:2024-09-04;138~art6)). La proposta sposta la soglia: sarebbero essenziali i soggetti dell'Allegato I che superano i massimali delle small mid-cap. La [Raccomandazione (UE) 2025/1099](https://eur-lex.europa.eu/eli/reco/2025/1099/oj) definisce piccola impresa a media capitalizzazione un'impresa che non è una PMI, occupa meno di 750 persone e ha un fatturato annuo non superiore a 150 milioni di euro oppure un totale di bilancio annuo non superiore a 129 milioni. Secondo il considerando 2 della proposta, queste imprese sarebbero di norma soggetti importanti. Un operatore dell'Allegato I con 400 dipendenti e 120 milioni di fatturato, oggi essenziale, sarebbe quindi di norma importante. La differenza conta. Un soggetto importante è vigilato solo ex post, quando l'autorità ha elementi che suggeriscono una violazione, e le sanzioni massime sono più basse (D.Lgs. 138/2024, [art. 36](https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:decreto.legislativo:2024-09-04;138~art36) e [art. 38](https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:decreto.legislativo:2024-09-04;138~art38)). Anche le misure ACN cambiano: l'allegato 1 vale per i soggetti importanti, l'allegato 2 per gli essenziali. Le differenze sono descritte nella guida ai [soggetti essenziali e importanti](https://www.aegister.com/it/cms/insights/nis2-soggetti-essenziali-vs-importanti-differenze-baseline/). Tre limiti vanno tenuti presenti: - nessuno esce dalla NIS 2 per effetto di questa categoria: una small mid-cap supera già i massimali delle medie imprese e resta nel perimetro, come soggetto importante; - restano le altre vie per cui un soggetto è essenziale a prescindere dalle dimensioni, come l'identificazione quale soggetto critico o la designazione da parte dell'autorità, che in Italia sono previste dall'articolo 6 del D.Lgs. 138/2024; - i soggetti dell'Allegato II sono già, di regola, importanti e non sarebbero toccati da questa modifica. ## Segnalazione degli incidenti: punto di accesso unico (Digital Omnibus) Il punto di accesso unico non è nella proposta COM(2026) 13 ma nel [Digital Omnibus, COM(2025) 837](https://data.consilium.europa.eu/doc/document/ST-15698-2025-INIT/it/pdf) del 19 novembre 2025, che aggiungerebbe alla NIS 2 un articolo 23 bis. L'ENISA svilupperebbe e gestirebbe un unico punto attraverso il quale inviare le notifiche previste dalla NIS 2 e, con la stessa segnalazione, quelle previste da GDPR, DORA, regolamento eIDAS e direttiva CER, secondo il principio della segnalazione unica condivisa con più destinatari («report once, share many»). Il punto potrebbe basarsi sulla piattaforma unica di segnalazione del Cyber Resilience Act e si userebbe solo dopo una fase pilota e una verifica della Commissione. La Commissione scrive che la proposta lascia invariati i requisiti giuridici sottostanti per la segnalazione degli incidenti: i destinatari e i termini restano quelli di oggi, e per i soggetti italiani la notifica resta diretta al CSIRT Italia. Il punto di accesso unico è proposto dalla Commissione; nel Consiglio si discute anche di punti di accesso nazionali. Per la procedura in vigore oggi rimandiamo alla guida sull'[articolo 25 e la notifica degli incidenti NIS 2](https://www.aegister.com/it/cms/insights/nis2-articolo-25-notifica-incidenti/). ## A che punto è la procedura (all'8 ottobre 2026) - **Parlamento europeo.** La commissione competente è ITRE, con relatrice Markéta Gregorová, nominata il 26 febbraio 2026; la commissione IMCO esprime un parere. Il progetto di relazione è datato 24 settembre 2026 e la procedura risulta «in attesa di decisione della commissione» ([Osservatorio legislativo del Parlamento europeo](https://oeil.europarl.europa.eu/oeil/en/procedure-file?reference=2026/0012(COD))). Tra i parlamenti nazionali, la Camera dei deputati ha inviato un contributo il 12 maggio 2026. - **Consiglio.** La relazione sui progressi della Presidenza del 22 maggio 2026 annunciava l'avvio dell'esame delle misure di semplificazione della NIS 2 a fine maggio e il proseguimento dei lavori con la Presidenza irlandese ([relazione sui progressi 9399/26](https://data.consilium.europa.eu/doc/document/ST-9399-2026-INIT/en/pdf)). Il Consiglio non ha adottato un orientamento generale. - **Negoziati.** I triloghi tra Parlamento, Consiglio e Commissione non sono iniziati, e il testo può ancora cambiare. L'adozione non è attesa prima della fine del 2026; il recepimento avrà poi 12 mesi dall'entrata in vigore della direttiva di modifica ([COM(2026) 13, art. 2](https://data.consilium.europa.eu/doc/document/ST-5627-2026-INIT/it/pdf)). In Italia le modifiche arriverebbero attraverso un intervento sul D.Lgs. 138/2024. ## Che cosa non cambia oggi per i soggetti italiani Fino all'adozione e al recepimento delle modifiche restano in vigore il D.Lgs. 138/2024 e le determinazioni ACN. In concreto: - la registrazione sulla piattaforma ACN dal 1° gennaio al 28 febbraio, i dati aggiuntivi dal 15 aprile al 31 maggio e la comunicazione di ogni modifica entro quattordici giorni ([D.Lgs. 138/2024, art. 7](https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:decreto.legislativo:2024-09-04;138~art7)); la proposta europea prevede regole simili, con un termine di due settimane; - la classificazione come soggetto essenziale o importante comunicata dall'ACN, con le soglie attuali: la categoria small mid-cap non si applica finché non sarà recepita; - le misure di base nei termini fissati per la vostra coorte; - la notifica degli incidenti significativi al CSIRT Italia: pre-notifica entro 24 ore, notifica entro 72 ore e relazione finale entro un mese dalla notifica ([D.Lgs. 138/2024, art. 25](https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:decreto.legislativo:2024-09-04;138~art25)); - la responsabilità degli organi di amministrazione e direttivi e le sanzioni del decreto. Le regole da rispettare sono quelle di oggi: se volete verificare a che punto è la vostra azienda rispetto al D.Lgs. 138/2024 e alle misure ACN, vi accompagniamo nella [conformità NIS 2](https://www.aegister.com/it/solutions/compliance/nis2/). Questo articolo è stato revisionato con strumenti di intelligenza artificiale per la correzione di bozze e la verifica degli errori. Nonostante i controlli può contenere inesattezze: per decisioni di conformità fate sempre riferimento ai testi ufficiali. Autovalutazione · NIST CSF 2.0 · ISO 27001 ### Cyber Check-up Un'autovalutazione che restituisce il profilo cyber della vostra azienda: la postura di sicurezza e le raccomandazioni per mitigare i rischi e avviare il percorso di cybersecurity. [Inizia il Cyber Check-up](https://www.aegister.com/it/assessment/) Il nostro servizio ### NIS 2 Vi accompagniamo nella conformità alla Direttiva NIS 2: analisi dei requisiti, misure di sicurezza, notifica degli incidenti e audit documentale. [Maggiori informazioni](https://www.aegister.com/it/solutions/compliance/nis2/) Condividete questo articolo: Autovalutazione ### Cyber Check-up Rispondete al questionario e ricevete il profilo cyber della vostra azienda: postura di sicurezza e raccomandazioni per mitigare i rischi. [Inizia il Cyber Check-up](https://www.aegister.com/it/assessment/) ### NIS 2 Vi accompagniamo nella conformità alla Direttiva NIS 2: analisi dei requisiti, misure di sicurezza, notifica degli incidenti e audit documentale. [Maggiori informazioni](https://www.aegister.com/it/solutions/compliance/nis2/) ## Notizie correlate 05 febbraio 2026 ### [Revisione del Cybersecurity Act UE, COM(2026) 11: cosa cambia e perché conta](https://www.aegister.com/it/cms/insights/revisione-cybersecurity-act-ue-2026/) La proposta della Commissione Europea di gennaio 2026 per la revisione del Cybersecurity Act UE: governance del rischio supply chain, certificazione … [NIS 2](https://www.aegister.com/it/cms/keyword/nis-2/) [Catena di fornitura](https://www.aegister.com/it/cms/keyword/catena-di-fornitura/) [ISO 27001](https://www.aegister.com/it/cms/keyword/iso-27001/) +10 31 gennaio 2026 ### [Report mensile cybersecurity: gennaio 2026 (Italia, UE, globale)](https://www.aegister.com/it/cms/insights/report-mensile-cybersecurity-gennaio-2026/) Report mensile di gennaio 2026: pacchetto UE cybersecurity con revisione del Cybersecurity Act e modifiche di semplificazione NIS 2, maturità della s… [NIS 2](https://www.aegister.com/it/cms/keyword/nis-2/) [Notifica degli incidenti](https://www.aegister.com/it/cms/keyword/notifica-degli-incidenti/) [Governance](https://www.aegister.com/it/cms/keyword/governance/) +19 10 ottobre 2026 ### [Vigilanza ACN sulla NIS 2: ispezioni, diffide e sanzioni](https://www.aegister.com/it/cms/insights/vigilanza-acn-nis2-ispezioni-sanzioni/) Per i soggetti inseriti nell'elenco NIS ad aprile 2025 l'ACN indica ottobre 2026 come termine per le misure di base. Come vigila l'ACN dopo la scaden… [NIS 2](https://www.aegister.com/it/cms/keyword/nis-2/) [Misure di base NIS 2](https://www.aegister.com/it/cms/keyword/misure-di-base-nis-2/) [ACN](https://www.aegister.com/it/cms/keyword/acn/) +7