La Direttiva NIS2 (Network and Information Security 2) è ormai una realtà operativa per migliaia di aziende italiane. Recepita in Italia con il Decreto Legislativo 138/2024, entrato in vigore il 16 ottobre 2024, questa normativa europea sulla cybersicurezza ha ampliato in modo significativo la platea dei soggetti obbligati, includendo per la prima volta molte PMI italiane che operano in settori considerati critici o importanti. Se fino a pochi anni fa la sicurezza informatica era percepita come un tema riservato alle grandi aziende e alle infrastrutture nazionali, oggi il legislatore europeo ha chiarito in modo inequivocabile che la resilienza digitale è un obbligo collettivo.

Il 2025 ha rappresentato l'anno della presa di coscienza: le aziende hanno iniziato a capire se ricadono o meno nel perimetro della direttiva, hanno avviato i processi di registrazione sulla piattaforma ACN (Agenzia per la Cybersicurezza Nazionale) e hanno cominciato a fare i conti con i nuovi obblighi organizzativi e tecnici. Ma è il 2026 l'anno cruciale: è in questo periodo che scattano gli obblighi concreti, le verifiche e le possibili sanzioni. Per le PMI italiane, spesso prive di un reparto IT strutturato, questo significa agire adesso, senza aspettare l'ultimo momento.

In questo articolo analizziamo nel dettaglio cosa devono fare le PMI italiane nel corso del 2026, con particolare attenzione al tema dei fornitori rilevanti — uno degli aspetti più complessi e sottovalutati della normativa — e al rispetto delle scadenze fissate dall'ACN. L'obiettivo è fornire una guida pratica, comprensibile anche a chi non ha una formazione tecnica specifica, per affrontare la compliance NIS2 in modo consapevole e organizzato.

Chi sono i soggetti obbligati dalla NIS2: PMI italiane nei settori essenziali e importanti

La NIS2 distingue tra soggetti essenziali e soggetti importanti, categorie che determinano il livello di vigilanza e le sanzioni applicabili. I settori essenziali includono energia, trasporti, banche, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, pubblica amministrazione e spazio. I settori importanti coprono invece servizi postali, gestione rifiuti, produzione e distribuzione di prodotti chimici, industria alimentare, manifattura di dispositivi medici, elettronica, macchinari e veicoli, fornitori digitali e servizi di ricerca.

Una delle novità più rilevanti del Decreto 138/2024 riguarda proprio le soglie dimensionali: le PMI non sono automaticamente escluse. Vengono incluse le medie imprese (50-249 dipendenti, fatturato tra 10 e 50 milioni di euro) che operano nei settori sopra citati, e in alcuni casi anche le piccole imprese se svolgono un ruolo critico nella catena di fornitura o se sono l'unico fornitore in un determinato mercato nazionale. Secondo le stime dell'ACN, il numero di soggetti obbligati in Italia potrebbe superare le 20.000 entità, un dato che conferma quanto ampio sia il perimetro di applicazione.

Per capire se la propria azienda è coinvolta, è necessario verificare:

  • Il settore di appartenenza rispetto agli allegati del Decreto 138/2024
  • Le dimensioni aziendali (numero di dipendenti, fatturato e bilancio annuo)
  • L'eventuale ruolo critico nella filiera di settori strategici
  • La presenza di dipendenze tecnologiche rilevanti da parte di terzi soggetti obbligati

Il consiglio pratico è quello di non affidarsi a un'autovalutazione improvvisata: molte PMI hanno erroneamente concluso di non essere soggette alla normativa, salvo poi scoprire — anche grazie ai questionari dell'ACN — di ricadere pienamente negli obblighi. Un'analisi professionale del perimetro è il primo passo obbligato.

La registrazione ACN e le scadenze operative da rispettare nel 2026

L'Agenzia per la Cybersicurezza Nazionale è l'autorità nazionale competente per l'attuazione della NIS2 in Italia. Tra i suoi compiti rientra la gestione della piattaforma di registrazione attraverso cui i soggetti obbligati devono comunicare la propria identità, il settore di appartenenza e le informazioni tecniche rilevanti. La registrazione non è un adempimento facoltativo: è il punto di ingresso obbligatorio nel sistema di compliance NIS2.

Il calendario degli adempimenti previsto per il 2026 include scadenze precise che le PMI devono conoscere e rispettare:

  • Entro il 28 febbraio 2026: comunicazione all'ACN delle informazioni aggiornate sull'organizzazione (referenti, sistemi informativi, elenco fornitori ICT rilevanti)
  • Dal 1° aprile 2026: obbligo di notifica degli incidenti significativi entro 24 ore per la segnalazione preliminare e 72 ore per la notifica completa
  • Nel corso del 2026: avvio delle attività di verifica e ispezione da parte dell'ACN sui soggetti registrati, con priorità ai settori essenziali
  • Entro il 31 dicembre 2026: adozione formale delle misure minime di sicurezza definite dall'ACN nelle linee guida tecniche

Le sanzioni per i soggetti inadempienti sono severe: per i soggetti essenziali si arriva fino a 10 milioni di euro o il 2% del fatturato mondiale annuo, per i soggetti importanti fino a 7 milioni di euro o l'1,4% del fatturato. Queste cifre, anche se applicate in percentuale su fatturati modesti, possono rappresentare un impatto devastante per una PMI. Vale la pena ricordare che la responsabilità ricade anche sugli organi di amministrazione: i vertici aziendali non possono delegare completamente la questione al reparto IT.

Il tema cruciale dei fornitori rilevanti: cosa cambia per la supply chain digitale

Uno degli aspetti più innovativi e complessi della NIS2 è l'estensione degli obblighi alla catena di fornitura digitale. L'articolo 21 della direttiva e il relativo recepimento italiano impongono ai soggetti obbligati di gestire attivamente i rischi derivanti dai propri fornitori di servizi ICT, tecnologie e sistemi informativi. In pratica, non basta che l'azienda sia sicura al proprio interno: deve anche garantire che i suoi fornitori rilevanti rispettino standard adeguati di sicurezza.

Un fornitore rilevante è qualsiasi soggetto esterno che fornisce servizi, tecnologie o prodotti ICT che, se compromessi, potrebbero causare un impatto significativo sulla continuità operativa o sulla sicurezza delle informazioni del soggetto obbligato. Rientrano in questa categoria, a titolo esemplificativo:

  • Provider di servizi cloud (IaaS, PaaS, SaaS) utilizzati per gestire dati sensibili o processi critici
  • Fornitori di software gestionale (ERP, CRM, sistemi di contabilità)
  • Aziende che erogano servizi di managed security o NOC/SOC in outsourcing
  • Fornitori di connettività e telecomunicazioni
  • Aziende che gestiscono backup, disaster recovery o sistemi di continuità operativa
  • Consulenti IT con accesso privilegiato ai sistemi aziendali

Per ciascun fornitore rilevante, il soggetto obbligato deve effettuare una valutazione del rischio, inserire clausole contrattuali specifiche sulla sicurezza, verificare periodicamente il rispetto degli standard e documentare l'intero processo. Questo significa che le PMI italiane devono rivedere i propri contratti IT esistenti, spesso firmati anni fa senza alcuna considerazione per la compliance di sicurezza, e rinegoziare le condizioni con i fornitori.

Un esempio concreto: un'azienda manifatturiera di medie dimensioni che usa un gestionale in cloud per la produzione e la logistica deve verificare che il proprio fornitore di software disponga di certificazioni adeguate (come ISO 27001), che i dati siano protetti da cifratura, che esista un piano di continuità operativa certificato e che il contratto preveda obblighi di notifica in caso di incidente. Se il fornitore non è in grado di garantire questi standard, l'azienda deve valutare se diversificare i fornitori o accettare il rischio residuo documentandolo formalmente.

Le misure tecniche e organizzative minime richieste dalla NIS2 per le PMI

Al di là degli adempimenti burocratici, la NIS2 richiede l'adozione concreta di misure di sicurezza proporzionate al rischio. Il Decreto 138/2024 e le linee guida dell'ACN identificano un insieme di misure minime obbligatorie che ogni soggetto obbligato deve implementare, indipendentemente dalle proprie dimensioni. Il principio è quello della proporzionalità: una PMI con 60 dipendenti non è tenuta ad avere un SOC h24, ma deve dimostrare un approccio sistematico e documentato alla gestione del rischio informatico.

Le aree di intervento principali includono:

  • Gestione del rischio: analisi formale dei rischi cyber, aggiornata almeno annualmente, con identificazione degli asset critici e delle vulnerabilità
  • Sicurezza della rete e dei sistemi informativi: segmentazione della rete, firewall, sistemi di rilevamento delle intrusioni (IDS/IPS), aggiornamenti e patch management strutturato
  • Gestione degli incidenti: procedure documentate per il rilevamento, la risposta e la notifica degli incidenti, con ruoli e responsabilità definiti
  • Continuità operativa e disaster recovery: piani formali di Business Continuity e ripristino dei sistemi, testati periodicamente
  • Sicurezza della supply chain: come descritto nella sezione precedente, gestione attiva dei fornitori ICT rilevanti
  • Formazione e consapevolezza: programmi di sensibilizzazione per tutto il personale, con focus particolare su phishing, social engineering e gestione delle credenziali
  • Autenticazione e controllo degli accessi: adozione dell'autenticazione a più fattori (MFA) per tutti i sistemi critici e applicazione del principio del minimo privilegio
  • Crittografia: cifratura dei dati sensibili sia in transito che a riposo

Per molte PMI italiane, la sfida non è tanto tecnica quanto organizzativa: queste misure esistono spesso in forma frammentata, non documentata e non governata. La NIS2 impone di formalizzare, documentare e governare ciò che esiste, colmando le lacune con interventi mirati. Un approccio graduale, basato su una gap analysis iniziale, è la strada più efficace per le aziende che partono da zero.

Domande frequenti

La mia PMI deve registrarsi all'ACN anche se non sono sicuro di essere soggetto obbligato?

La registrazione all'ACN è obbligatoria per tutti i soggetti che, sulla base dei criteri del Decreto 138/2024, ricadono nella categoria dei soggetti essenziali o importanti. Se hai dubbi sulla tua posizione, il consiglio è di effettuare comunque una verifica formale con il supporto di un consulente specializzato. L'ACN ha pubblicato strumenti di autovalutazione sul proprio portale istituzionale, ma questi non sostituiscono un'analisi professionale. Ignorare l'obbligo di registrazione, qualora la tua azienda sia effettivamente soggetta, espone a sanzioni amministrative significative. È sempre preferibile verificare con attenzione piuttosto che assumere di essere esclusi.

Cosa succede se un mio fornitore IT non vuole adeguarsi ai requisiti NIS2?

La responsabilità della gestione dei fornitori ricade sul soggetto obbligato, non sui fornitori stessi (a meno che questi ultimi non siano anch'essi soggetti obbligati in proprio). Se un fornitore non è disponibile a fornire le garanzie contrattuali e tecniche richieste, hai essenzialmente due opzioni: documentare formalmente il rischio residuo accettato e adottare misure compensative, oppure procedere alla sostituzione del fornitore con uno che offra le necessarie garanzie. In un mercato IT sempre più consapevole della compliance, molti fornitori si stanno già attrezzando con certificazioni e clausole NIS2-ready. Vale la pena verificare la disponibilità del fornitore attuale prima di procedere a cambiamenti costosi.

Quali sono le sanzioni concrete per una PMI che non rispetta la NIS2?

Le sanzioni previste dal Decreto 138/2024 sono articolate su due livelli. Per i soggetti importanti (categoria in cui ricadono molte PMI) le sanzioni amministrative pecuniarie arrivano fino a 7 milioni di euro o all'1,4% del fatturato mondiale annuo totale, con prevalenza dell'importo più elevato. Per i soggetti essenziali si arriva fino a 10 milioni di euro o al 2% del fatturato. A queste si aggiungono misure non pecuniarie come la sospensione temporanea delle attività, l'obbligo di comunicare pubblicamente le violazioni e, nei casi più gravi, la responsabilità personale dei vertici aziendali. L'ACN ha dichiarato che l'approccio iniziale sarà orientato alla compliance e al supporto, con un'escalation graduale verso le sanzioni, ma non è prudente fare affidamento su questa posizione.

Quanto tempo e risorse servono a una PMI per essere compliant NIS2?

Non esiste una risposta unica, perché dipende molto dal punto di partenza dell'azienda in termini di maturità di sicurezza. Una PMI che ha già implementato misure di base come backup strutturati, antivirus gestito, MFA e una qualche forma di gestione degli accessi avrà un percorso significativamente più breve rispetto a una che parte da zero. In media, le consulenze specializzate indicano un percorso di 6-12 mesi per raggiungere una compliance sostanziale, con investimenti variabili. Una gap analysis professionale è il modo migliore per avere una stima realistica dei costi e dei tempi specifici per la propria realtà aziendale.

Conclusione

La NIS2 non è una formalità burocratica da evadere con un documento firmato: è una trasformazione profonda del modo in cui le aziende italiane devono approcciare la sicurezza informatica. Per le PMI italiane, il 2026 è l'anno in cui gli obblighi diventano pienamente esigibili e le sanzioni una concreta possibilità. Aspettare non è più un'opzione razionale: ogni mese di ritardo è un mese in meno per organizzarsi, documentarsi e adeguarsi.

I temi dei fornitori rilevanti, della registrazione ACN e delle misure minime di sicurezza richiedono competenze specifiche che raramente sono disponibili internamente in una PMI. La buona notizia è che esistono professionisti IT e consulenti di cybersicurezza specializzati proprio nell'accompagnare le aziende in questo percorso, con approcci graduali, proporzionati e sostenibili anche per realtà di piccole e medie dimensioni.

Non aspettare la scadenza per iniziare. Contatta oggi stesso un esperto IT qualificato in ambito NIS2 e cybersicurezza per avviare una gap analysis della tua azienda. Conoscere il tuo punto di partenza è il primo passo per arrivare alla compliance in modo strutturato, senza sorprese e senza affanni dell'ultimo minuto. La sicurezza della tua azienda — e la tua tranquillità come imprenditore o manager — dipende da decisioni che puoi prendere adesso.