Il 31 maggio è passato. Per le PMI manifatturiere italiane il difficile inizia adesso.

Sabato 31 maggio alle 23:59 è scaduto il primo grande adempimento operativo sulla supply chain che la NIS2 ha imposto alle imprese italiane in elenco dal 2025: la comunicazione, tramite il Portale ACN, dell’elenco dei fornitori rilevanti.

L’obbligo è stato introdotto dalla Determinazione del Direttore Generale ACN n. 127437 del 13 aprile 2026, nell’ambito dell’aggiornamento annuale delle informazioni. Sei settimane tra l’emanazione della determina e la scadenza. Per molte aziende italiane sono state troppo poche, per molte altre sono state usate male.

Quello che è successo nei consigli di amministrazione delle PMI manifatturiere italiane tra metà aprile e fine maggio, e quello che non è successo, racconta meglio di qualsiasi commento la condizione attuale del rapporto tra impresa media italiana e governance del rischio.

L’errore di lettura

La maggior parte delle aziende ha trattato la scadenza come un adempimento. Il responsabile IT, o un consulente esterno, ha aperto la piattaforma ACN, ha caricato un elenco, ha chiuso la pratica. Spesso senza che il CEO sapesse esattamente cosa c’era dentro quell’elenco.

L’errore non è formale. È strategico.

Il legislatore europeo, e l’ACN nell’implementazione italiana, hanno chiesto una cosa molto più precisa di quello che sembra. Sono fornitori rilevanti tre categorie distinte: i fornitori di infrastrutture digitali; i fornitori di servizi ICT in regime B2B; e — questa è la categoria che molti hanno sottovalutato — i fornitori di attività, servizi o prodotti la cui interruzione o compromissione inciderebbe significativamente sulla capacità dell’azienda di erogare i servizi rilevanti, anche in assenza di fornitori alternativi.

L’ultima categoria non è una categoria informatica. È una categoria industriale. Riguarda i fornitori critici della filiera fisica: chi produce il componente che non si trova altrove, chi gestisce un processo produttivo non internalizzabile, chi ha la capacità tecnica che nessun altro fornitore ha. In una PMI manifatturiera italiana, questa terza categoria spesso pesa più delle prime due. E nella maggior parte delle compilazioni del 31 maggio è stata trattata in modo superficiale, o ignorata.

Cosa diceva davvero quella scadenza

Il 31 maggio chiedeva al CEO di una PMI manifatturiera italiana di rispondere a una domanda che pochi si sono mai posti in modo formale.

Se domani il mio fornitore numero uno smette di consegnare, in quanti giorni il mio stabilimento si ferma?

E poi un’altra: se domani il fornitore di quel mio fornitore smette di consegnare a lui, in quanti giorni si ferma lui, e in quanti giorni si ferma di conseguenza il mio?

E poi un’ultima: questi fornitori, conosco i nomi delle persone che li gestiscono dall’altra parte, ho un canale aperto con loro, oppure è tutto delegato all’ufficio acquisti che gestisce ordini ma non relazioni?

Queste sono domande di governance industriale, non di compliance. La NIS2 le ha rese obbligatorie nel mondo della cybersecurity. Ma quelle stesse domande, riformulate per ogni dimensione del rischio operativo, dovrebbero essere oggetto di valutazione strutturata in ogni consiglio di amministrazione, almeno una volta l’anno.

La maggior parte delle PMI manifatturiere italiane non le ha mai poste in questa forma. La scadenza del 31 maggio era l’occasione per cominciare. La maggior parte l’ha lasciata passare come una pratica.

Il dato di realtà

Le statistiche ACN ufficiali sul rispetto della scadenza saranno disponibili nei prossimi mesi. Ma quello che si vede già adesso, parlando con responsabili IT e consulenti operativi, è una distribuzione su tre fasce.

Una minoranza di aziende ha colto l’occasione e ha trasformato la mappatura in un esercizio strategico, con il CEO al tavolo, una valutazione di impatto operativo per ciascun fornitore critico, e una conseguente revisione del registro dei rischi industriali. Sono le aziende che usciranno dal 2026 con un vantaggio competitivo significativo sui propri concorrenti diretti, anche al di fuori del perimetro NIS2.

Una maggioranza ha caricato un elenco, magari completo dal punto di vista formale, senza che dentro l’azienda sia successo nulla. La compliance è stata raggiunta. La conoscenza no.

Una minoranza non irrilevante non ha caricato in tempo. Per alcune violazioni, il sistema sanzionatorio NIS2 prevede percentuali rilevanti sul fatturato annuo mondiale, con regimi diversi a seconda che si tratti di soggetti essenziali o importanti e della specifica violazione contestata. L’entità numerica per la singola omissione di maggio, presa isolatamente, può non essere enorme. Ma è il primo segnale di un sistema sanzionatorio che si sta strutturando, e che alla scadenza successiva — quando matureranno gli obblighi sulle misure di sicurezza — diventerà molto più severo.

Cosa fare adesso, in ordine di urgenza

Il 31 maggio è passato. Ma quello che è stato fatto in fretta tra aprile e maggio può ancora essere rifatto bene tra giugno e ottobre. La determina ACN prevede che l’elenco dei fornitori rilevanti possa essere aggiornato in qualsiasi momento, entro quattordici giorni da ogni modifica significativa. C’è quindi un margine per correggere, integrare, ripensare.

Quattro mosse in ordine di priorità, per un CEO di PMI manifatturiera che leggesse questo articolo entro la prima settimana di giugno.

Primo: chiedere al proprio responsabile IT, o al consulente che ha gestito la pratica, di portare in CdA l’elenco effettivamente caricato il 31 maggio. Non un riassunto: l’elenco completo, fornitore per fornitore, con il criterio di rilevanza dichiarato per ciascuno. Se il CEO non riconosce metà dei nomi, o non capisce perché un fornitore è dentro e un altro è fuori, l’esercizio non è stato fatto bene.

Secondo: per ogni fornitore in elenco, fare una valutazione di impatto a tre livelli. Quanti giorni di operatività residua se quel fornitore esce dalla filiera oggi? Esistono fornitori alternativi sostituibili in che tempi? Il contratto con quel fornitore contiene clausole di continuità operativa e diritti di audit, oppure è un contratto generico? La determina non impone formalmente una Business Impact Analysis fornitore per fornitore, ma l’esercizio richiesto porta inevitabilmente verso quella forma di analisi. Le aziende che la stanno strutturando adesso si troveranno avvantaggiate alla scadenza successiva.

Terzo: aprire la riflessione sui fornitori che oggi non sono in elenco ma che, secondo la categoria C della determina, dovrebbero esserci. Questa è la zona di rischio massima: aziende che hanno dichiarato compliance ma che hanno escluso fornitori industriali critici per mancanza di analisi.

Quarto: definire la responsabilità formale della gestione continuativa di questo registro. Non l’IT da solo. Non l’ufficio acquisti da solo. Una persona — di norma un membro del management o un dirigente con visione trasversale — che risponda al CEO, una volta a trimestre, dell’aggiornamento del registro e delle azioni conseguenti.

La scadenza che conta davvero

Il 31 maggio era la prima scadenza. Per i soggetti già inclusi nel perimetro NIS nel 2025, il 31 ottobre 2026 rappresenta la vera scadenza critica.

Entro quella data tutte le misure di sicurezza di base previste dagli Allegati 1 e 2 della Determinazione ACN n. 379907/2025 devono essere operative, con evidenze documentali dimostrabili. Per i nuovi soggetti inseriti nel perimetro nel 2026, la Determinazione ACN 127434/2026 ha differenziato le scadenze, con l’adozione delle misure di sicurezza spostata al 31 luglio 2027. Tra le misure di base ci sono — e questo molti non l’hanno ancora messo a fuoco — obblighi specifici sulla gestione contrattuale dei fornitori rilevanti: clausole di sicurezza, diritti di audit, processi di monitoraggio continuo.

Tradotto: la mappatura del 31 maggio era il prerequisito. Le scadenze successive sono il momento in cui quella mappatura diventa la base contrattuale per rinegoziare il rapporto con i propri fornitori critici. Chi è arrivato al 31 maggio senza aver capito cosa stava facendo, ha alcuni mesi per rimettere a posto le cose. Chi ci arriva impreparato alla scadenza di adozione delle misure rischia molto più di una sanzione.

Una considerazione finale

La NIS2 viene raccontata, in Italia, come una normativa di cybersecurity. È quello, ma è anche un’altra cosa.

È il primo grande tentativo, da parte del legislatore europeo, di imporre alle imprese una disciplina di governance del rischio sistemico che, fino a oggi, era prerogativa volontaria delle grandi aziende quotate. Le PMI italiane — comprese quelle manifatturiere non quotate — sono state messe davanti a un esercizio che la cultura industriale italiana del Novecento aveva delegato all’esperienza individuale del titolare. Adesso si chiede di formalizzarlo, documentarlo, renderlo difendibile.

Per chi capisce la portata della cosa, è un’opportunità storica. Per chi continua a vederla come un adempimento da scaricare sull’IT, è un’occasione persa.

Il 31 maggio è passato. Resta da decidere chi, tra le aziende italiane, ha capito cosa è successo davvero.