Il 2026 si avvicina e con esso una scadenza che molte PMI italiane stanno ancora sottovalutando: l'entrata in vigore piena degli obblighi derivanti dalla Direttiva NIS2 (Network and Information Security 2), recepita in Italia con il Decreto Legislativo 138/2024. Mentre le grandi aziende si sono già mosse, la maggior parte delle piccole e medie imprese si trova ancora in una fase di attesa, spesso nella convinzione errata che la normativa riguardi solo le multinazionali o i grandi operatori di infrastrutture critiche. Questa percezione è profondamente sbagliata e potenzialmente molto costosa.

In realtà, la NIS2 ha ampliato in modo significativo la platea dei soggetti obbligati rispetto alla precedente direttiva NIS1. Le PMI che operano come fornitori di servizi digitali, che fanno parte della catena di approvvigionamento di soggetti essenziali o importanti, o che operano in settori considerati critici — dalla sanità all'energia, dalla logistica ai servizi ICT — rientrano a pieno titolo nel perimetro della normativa. E l'Agenzia per la Cybersicurezza Nazionale (ACN), l'autorità competente in Italia, ha già fissato scadenze precise che non ammettono ritardi.

Questo articolo è pensato per aiutare imprenditori, responsabili IT e consulenti delle PMI italiane a capire concretamente cosa devono fare, entro quando, e come organizzarsi per non farsi trovare impreparati. Non si tratta solo di evitare sanzioni — che possono arrivare fino a 10 milioni di euro o al 2% del fatturato globale annuo per i soggetti importanti — ma di costruire una vera resilienza digitale che protegga il business nel lungo periodo.

Chi è davvero obbligato dalla NIS2: le PMI come fornitori rilevanti nella supply chain

Uno degli aspetti più rilevanti e meno discussi della NIS2 riguarda il concetto di fornitore rilevante. La direttiva impone ai soggetti essenziali e importanti di gestire i rischi legati alla loro catena di approvvigionamento, il che significa che anche i fornitori di queste organizzazioni — spesso PMI — devono dimostrare di avere standard di sicurezza adeguati. In pratica, se la tua PMI fornisce servizi IT, software, manutenzione di sistemi, servizi cloud o anche semplice assistenza tecnica a un'azienda soggetta a NIS2, potresti essere coinvolto direttamente o indirettamente negli obblighi normativi.

Il Decreto Legislativo 138/2024 classifica i soggetti in due categorie principali: soggetti essenziali (operatori di settori ad alta criticità come energia, trasporti, banche, infrastrutture sanitarie) e soggetti importanti (settori critici come servizi postali, gestione dei rifiuti, produzione di dispositivi medici, fornitori di servizi digitali). Le soglie dimensionali prevedono generalmente l'esclusione delle microimprese (meno di 10 dipendenti e fatturato sotto i 2 milioni di euro), ma esistono eccezioni significative per aziende che, pur piccole, operano in settori particolarmente sensibili o sono le uniche fornitrici di un servizio critico sul territorio nazionale.

Concretamente, una PMI italiana che fornisce servizi di managed security, gestione di reti aziendali, sviluppo software per ospedali o comuni, o che gestisce infrastrutture cloud per altre imprese obbligate, deve aspettarsi di ricevere richieste di conformità dai propri clienti. Queste richieste si tradurranno in audit, questionari di sicurezza, clausole contrattuali specifiche e, in alcuni casi, nella necessità di certificazioni riconosciute.

  • Fornitori ICT: aziende che offrono servizi di rete, cloud, cybersecurity, sviluppo software
  • Fornitori di servizi professionali: consulenti IT, system integrator, MSP (Managed Service Provider)
  • Fornitori industriali: aziende che forniscono componenti o sistemi a operatori di energia, trasporti, manifattura critica
  • Fornitori della PA: imprese che lavorano con pubbliche amministrazioni locali o nazionali rientranti nel perimetro NIS2

Le scadenze ACN per il 2026: il calendario degli adempimenti che ogni PMI deve conoscere

L'ACN — Agenzia per la Cybersicurezza Nazionale — ha pubblicato le indicazioni operative per l'attuazione della normativa NIS2 in Italia. Il processo di registrazione e notifica è già avviato: i soggetti che ritengono di rientrare nel perimetro della direttiva devono registrarsi sulla Piattaforma Digitale Nazionale ACN. La prima finestra di registrazione è già stata aperta e le aziende identificate come soggetti essenziali o importanti riceveranno notifica ufficiale dall'ACN stessa.

Per quanto riguarda il 2026, le scadenze più rilevanti riguardano l'adozione effettiva delle misure di sicurezza obbligatorie. Secondo quanto previsto dal decreto, i soggetti obbligati devono implementare misure tecniche e organizzative adeguate entro i termini che l'ACN sta progressivamente definendo attraverso le proprie linee guida. È fondamentale monitorare costantemente il sito ufficiale dell'ACN (acn.gov.it) per gli aggiornamenti normativi, poiché il quadro è ancora in evoluzione su alcuni aspetti applicativi.

Gli obblighi principali che le organizzazioni — e indirettamente i loro fornitori — devono soddisfare includono:

  • Registrazione sulla piattaforma ACN: obbligo già attivo per i soggetti che si autoclassificano come essenziali o importanti
  • Analisi del rischio: valutazione documentata dei rischi cyber con metodologia strutturata
  • Piano di gestione degli incidenti: procedure formali per identificare, contenere e notificare gli incidenti di sicurezza significativi
  • Notifica degli incidenti: obbligo di notifica all'ACN entro 24 ore dalla scoperta di un incidente grave, con report completo entro 72 ore
  • Gestione della continuità operativa: piani di business continuity e disaster recovery documentati e testati
  • Sicurezza della supply chain: valutazione dei fornitori rilevanti e inclusione di clausole di sicurezza nei contratti
  • Formazione del personale: programmi di sensibilizzazione e formazione sulla cybersicurezza per tutti i dipendenti

Cosa devono fare concretamente le PMI italiane: misure tecniche e organizzative obbligatorie

Tradurre la normativa in azioni concrete è la sfida principale per le PMI. L'articolo 24 del Decreto Legislativo 138/2024 — che recepisce l'articolo 21 della direttiva NIS2 — elenca le misure minime che i soggetti obbligati devono adottare. Queste misure non sono solo tecnologiche: comprendono una dimensione organizzativa e di governance che richiede un coinvolgimento diretto del management aziendale, incluso il titolare o l'amministratore delegato della PMI.

Sul fronte tecnico, le misure prioritarie riguardano la protezione delle reti e dei sistemi informativi, la gestione delle vulnerabilità, l'autenticazione multifattoriale (MFA), la cifratura dei dati sensibili, la segmentazione delle reti e il monitoraggio continuo degli accessi. Per una PMI con risorse limitate, questo può sembrare un obiettivo ambizioso, ma esistono soluzioni scalabili e accessibili che consentono di raggiungere un livello di conformità adeguato senza investimenti proibitivi.

Sul fronte organizzativo, è indispensabile nominare un responsabile della sicurezza delle informazioni (anche in forma part-time o esternalizzata), redigere una policy di sicurezza aziendale, documentare i processi critici e formare regolarmente il personale. Ecco un esempio pratico: una PMI lombarda con 30 dipendenti che fornisce software gestionale a ospedali deve, come minimo, documentare come tratta i dati dei propri clienti sanitari, avere un piano di risposta agli incidenti, applicare l'MFA su tutti gli accessi ai sistemi critici e verificare che i propri fornitori IT (hosting, cloud provider) rispettino standard di sicurezza adeguati.

  • Implementare l'autenticazione a più fattori su tutti i sistemi di accesso remoto e le applicazioni critiche
  • Adottare una soluzione di backup con copie immutabili e test di ripristino periodici
  • Effettuare una valutazione delle vulnerabilità almeno annuale con strumenti di vulnerability scanning
  • Redigere e testare un piano di risposta agli incidenti (Incident Response Plan)
  • Inserire clausole di sicurezza nei contratti con i fornitori IT e verificarne il rispetto
  • Formare tutto il personale sul riconoscimento di phishing e attacchi di ingegneria sociale
  • Adottare una soluzione di endpoint detection and response (EDR) sui dispositivi aziendali

Rischi e sanzioni per le PMI non conformi: cosa si rischia davvero

Molte PMI tendono a rimandare gli adempimenti normativi fino all'ultimo momento, contando sul fatto che i controlli siano rari o le sanzioni difficili da applicare. Questo approccio è particolarmente rischioso nel contesto della NIS2, per due ragioni fondamentali. La prima è che l'ACN ha poteri ispettivi significativi e può disporre audit, richiedere documentazione e ordinare misure correttive. La seconda, forse ancora più concreta per le PMI, è che la pressione arriverà anche — e forse prima — dai propri clienti e committenti.

Le sanzioni previste dal Decreto Legislativo 138/2024 sono severe: per i soggetti essenziali, le violazioni più gravi possono comportare sanzioni fino a 10 milioni di euro o al 2% del fatturato mondiale annuo totale, se superiore. Per i soggetti importanti, il massimo è 7 milioni di euro o l'1,4% del fatturato mondiale. Oltre alle sanzioni economiche, la normativa prevede la possibilità di misure temporanee come la sospensione delle certificazioni o delle autorizzazioni necessarie per l'esercizio dell'attività, una conseguenza potenzialmente devastante per una PMI che dipende da tali autorizzazioni.

Ma il rischio più immediato per molte PMI non viene dall'ACN: viene dai propri clienti. Le grandi aziende e le pubbliche amministrazioni soggette a NIS2 stanno già inserendo nei bandi di gara e nei contratti requisiti di cybersicurezza per i fornitori. Una PMI che non riesce a dimostrare un livello adeguato di maturità in cybersicurezza rischia semplicemente di perdere commesse importanti. Secondo i dati del Rapporto Clusit 2024, l'Italia è tra i paesi europei più colpiti da attacchi informatici, con un incremento significativo degli attacchi alle PMI, spesso usate come porta d'ingresso verso target più grandi.

Domande frequenti

La mia PMI con meno di 50 dipendenti è obbligata dalla NIS2?

Non automaticamente, ma dipende dal settore in cui operi e dal tuo ruolo nella catena di approvvigionamento. La NIS2 esclude generalmente le microimprese (meno di 10 dipendenti, fatturato sotto 2 milioni di euro), ma le piccole imprese (10-49 dipendenti) possono rientrare nel perimetro se operano in settori critici o se sono fornitrici di soggetti essenziali o importanti. Il primo passo è verificare se la tua attività rientra nei settori elencati negli allegati del Decreto Legislativo 138/2024 e, in caso di dubbio, consultare un esperto di cybersicurezza o un legale specializzato. L'ACN ha anche pubblicato strumenti di autovalutazione sul proprio portale ufficiale.

Entro quando devo registrarmi sulla piattaforma ACN?

La registrazione sulla Piattaforma Digitale Nazionale ACN è già operativa. I soggetti che ritengono di rientrare nel perimetro NIS2 devono procedere alla registrazione senza attendere ulteriormente. L'ACN sta progressivamente notificando le aziende identificate, ma l'autoclassificazione è una responsabilità dell'organizzazione stessa. Non registrarsi quando si è obbligati costituisce già una violazione della normativa. Si raccomanda di consultare il sito ufficiale acn.gov.it per le istruzioni aggiornate e le tempistiche precise, che possono essere soggette ad aggiornamenti da parte dell'autorità.

Quanto costa adeguarsi alla NIS2 per una PMI italiana?

I costi variano enormemente in base alla dimensione dell'azienda, al settore, al livello di maturità di sicurezza già raggiunto e alle tecnologie già in uso. Non esiste una cifra standard, ma è possibile approcciare la conformità in modo progressivo e proporzionale. Molte PMI scoprono di avere già in parte gli strumenti necessari (antivirus, backup, firewall) e che il lavoro principale riguarda la documentazione, le procedure e la formazione. Un percorso di adeguamento per una PMI di medie dimensioni può richiedere un investimento iniziale in consulenza e tecnologia, spalmato su 12-18 mesi. Esistono anche incentivi e agevolazioni fiscali per gli investimenti in cybersicurezza che è opportuno valutare con il proprio commercialista.

Come gestisco i contratti con i miei fornitori IT alla luce della NIS2?

La NIS2 richiede esplicitamente di gestire i rischi della catena di approvvigionamento, il che significa che devi valutare i tuoi fornitori IT e inserire clausole di sicurezza nei contratti. In pratica, dovresti richiedere ai tuoi fornitori critici (provider cloud, MSP, sviluppatori software) di dimostrare di adottare misure di sicurezza adeguate, attraverso certificazioni (come ISO 27001), questionari di autovalutazione o audit. Nei nuovi contratti, è opportuno includere clausole che prevedano la notifica tempestiva in caso di incidenti di sicurezza che possano impattarti, il diritto di audit e la conformità alle normative applicabili. Un avvocato specializzato in diritto digitale può aiutarti a redigere queste clausole in modo efficace.

Conclusione

La NIS2 non è una normativa che si può ignorare o rimandare indefinitamente. Per le PMI italiane, il 2026 rappresenta un momento cruciale: chi si organizza per tempo avrà un vantaggio competitivo reale, oltre che la tranquillità di essere in regola. Chi rimanda rischia di trovarsi a gestire in emergenza un processo che richiede mesi di lavoro, con il rischio concreto di perdere clienti, subire sanzioni o — nel peggiore dei casi — subire un attacco informatico senza le difese adeguate.

Il punto di partenza non deve essere la paura, ma la consapevolezza: capire dove sei, cosa ti manca e costruire un piano d'azione realistico e sostenibile. Le risorse e le competenze necessarie esistono, e molte sono accessibili anche per realtà di piccole dimensioni. La cybersicurezza è un investimento nel futuro della tua azienda, non solo un obbligo di compliance.

Non aspettare l'ultimo momento: contatta oggi stesso un esperto di cybersicurezza certificato che possa aiutarti a valutare la tua situazione attuale, identificare le lacune rispetto ai requisiti NIS2 e costruire un piano di adeguamento su misura per la tua PMI. Un professionista qualificato può guidarti attraverso la registrazione ACN, la redazione delle policy necessarie, la scelta delle soluzioni tecnologiche più adatte e la formazione del tuo personale — trasformando un obbligo normativo in un'opportunità per rafforzare davvero la tua azienda.