Il 2026 si avvicina e con esso una serie di nuovi adempimenti derivanti dalla Direttiva NIS2 che coinvolgeranno direttamente migliaia di piccole e medie imprese italiane. La Direttiva europea NIS2 (Network and Information Security 2), recepita in Italia con il Decreto Legislativo 4 settembre 2024 n. 138, ha ampliato in modo significativo il perimetro dei soggetti obbligati rispetto alla precedente NIS1, includendo settori e dimensioni aziendali che fino a poco tempo fa non erano toccati da questi obblighi normativi.

Per molte PMI italiane questo rappresenta una vera e propria novità: fino a oggi la cybersecurity era percepita come un tema prevalentemente per le grandi imprese o per i settori critici come energia e telecomunicazioni. Con NIS2, invece, anche un'azienda manifatturiera con 60 dipendenti o un fornitore di servizi digitali di medie dimensioni può rientrare negli obblighi di legge. Ignorare queste scadenze può comportare sanzioni significative, oltre a gravi rischi operativi in caso di incidente informatico non gestito correttamente.

In questo articolo analizziamo nel dettaglio cosa cambia nel 2026, quali sono gli obblighi specifici legati alla gestione dei fornitori rilevanti, quali sono le scadenze fissate dall'ACN (Agenzia per la Cybersicurezza Nazionale) e come una PMI italiana può organizzarsi concretamente per affrontare questi adempimenti senza farsi cogliere impreparata.

Chi è coinvolto dalla NIS2: PMI italiane nei settori ad alta e media criticità

La Direttiva NIS2 distingue due categorie principali di soggetti: i soggetti essenziali e i soggetti importanti. I primi includono operatori in settori ad altissima criticità come energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità e acqua potabile. I secondi comprendono settori a criticità più ampia come i servizi postali, la gestione dei rifiuti, la fabbricazione di prodotti critici (es. dispositivi medici, prodotti chimici), i fornitori di servizi digitali e altri.

Una delle novità più rilevanti rispetto alla NIS1 è che la dimensione aziendale non è più automaticamente un fattore esimente. Pur essendo vero che la direttiva si rivolge principalmente a medie e grandi imprese (oltre 50 dipendenti o 10 milioni di euro di fatturato), esistono eccezioni esplicite: alcune categorie di soggetti sono incluse indipendentemente dalla loro dimensione, ad esempio i fornitori di reti pubbliche di comunicazione elettronica o certi fornitori di servizi fiduciari.

Per una PMI italiana che opera in uno dei settori coperti è fondamentale verificare attivamente la propria posizione. L'ACN ha predisposto una procedura di auto-registrazione sulla piattaforma digitale dedicata, attraverso la quale i soggetti devono notificare la propria presenza e fornire le informazioni richieste. Non attendere la notifica dell'Autorità: la responsabilità di verificare se si rientra negli obblighi è in capo all'azienda stessa.

  • Settori ad alta criticità (Allegato I): energia, trasporti, settore bancario, infrastrutture mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione servizi ICT, pubblica amministrazione, settore spaziale
  • Settori a criticità elevata (Allegato II): servizi postali e di corriere, gestione rifiuti, fabbricazione di prodotti critici, fornitori di servizi digitali, ricerca

L'obbligo di gestione dei fornitori rilevanti: cosa cambia concretamente per le PMI

Uno degli aspetti più impegnativi della NIS2 per le PMI italiane è senza dubbio l'obbligo di gestione della sicurezza nella catena di approvvigionamento, comunemente noto come supply chain security. L'articolo 21 della direttiva, recepito nel decreto italiano, impone ai soggetti obbligati di adottare misure adeguate per gestire i rischi posti dai fornitori e dai prestatori di servizi.

In pratica, questo significa che un'azienda soggetta a NIS2 non può limitarsi a proteggere la propria infrastruttura interna: deve anche verificare e monitorare il livello di sicurezza dei propri fornitori rilevanti, ovvero quei soggetti terzi che forniscono componenti, software, servizi cloud, servizi di manutenzione o qualsiasi altra prestazione che, se compromessa, potrebbe impattare sulla continuità operativa o sulla sicurezza dei dati dell'azienda.

Cosa significa concretamente per una PMI manifatturiera, ad esempio? Significa dover identificare i propri fornitori critici (es. il fornitore del software gestionale, il provider cloud, il manutentore dei sistemi industriali), valutarne il profilo di rischio e, se necessario, inserire clausole contrattuali specifiche sulla sicurezza informatica. Non si tratta di un adempimento teorico: in caso di audit o di incidente, l'azienda dovrà dimostrare di aver adottato queste misure.

  • Mappatura dei fornitori critici e classificazione per livello di rischio
  • Questionari di sicurezza e audit ai fornitori principali
  • Clausole contrattuali NIS2-compliant (obblighi di notifica, standard minimi di sicurezza)
  • Monitoraggio continuo degli aggiornamenti di sicurezza dei software forniti da terzi
  • Procedure di gestione delle vulnerabilità segnalate dai fornitori

Le scadenze ACN per il 2025 e 2026: calendario degli adempimenti NIS2

L'ACN ha definito un calendario preciso per gli adempimenti NIS2 in Italia. È importante sottolineare che alcune scadenze sono già operative o in corso, mentre quelle principali per la piena conformità si concentrano nel 2026. Conoscere e rispettare questo calendario è essenziale per evitare sanzioni e per pianificare le risorse necessarie con il giusto anticipo.

La prima fase ha riguardato la registrazione sulla piattaforma ACN: i soggetti rientranti negli obblighi avevano (o hanno) l'obbligo di registrarsi entro le scadenze indicate dall'Autorità, fornendo informazioni sulla propria organizzazione, sui servizi erogati e sui referenti per la sicurezza. Questa fase è propedeutica a tutto il resto: senza registrazione, l'azienda non può procedere agli adempimenti successivi né interagire correttamente con l'Autorità in caso di incidente.

Nel corso del 2026 entreranno in vigore gli obblighi sostanziali di sicurezza, tra cui l'adozione delle misure tecniche e organizzative previste dall'articolo 21, la notifica degli incidenti significativi entro le tempistiche stabilite (pre-notifica entro 24 ore, notifica completa entro 72 ore), e la nomina formale di un responsabile della sicurezza delle reti e dei sistemi informativi. Le sanzioni per i soggetti importanti possono arrivare fino al 1,4% del fatturato mondiale annuo, mentre per i soggetti essenziali fino al 2%.

  • Fase 1 – Registrazione ACN: verifica e registrazione sulla piattaforma nazionale (già avviata)
  • Fase 2 – Autovalutazione: compilazione del questionario di autovalutazione del rischio
  • Fase 3 – Adozione misure: implementazione delle misure di sicurezza obbligatorie entro il 2026
  • Fase 4 – Notifica incidenti: attivazione del processo di notifica obbligatoria degli incidenti

Come prepararsi alla NIS2 in modo pratico: un percorso per le PMI italiane

La buona notizia è che non è necessario trasformare la propria azienda in una fortezza digitale da un giorno all'altro. La NIS2 richiede un approccio basato sulla gestione del rischio, il che significa che le misure adottate devono essere proporzionate alla natura, alla dimensione e all'esposizione al rischio dell'organizzazione. Una PMI da 80 dipendenti non deve implementare gli stessi controlli di un operatore di infrastrutture critiche nazionali.

Il punto di partenza consigliato è la gap analysis, ovvero un'analisi dello stato attuale della sicurezza informatica aziendale rispetto ai requisiti NIS2. Questo consente di identificare le aree di miglioramento prioritarie, stimare i costi degli interventi e pianificare un percorso di adeguamento realistico. Molte PMI italiane, pur non avendo mai lavorato formalmente sulla cybersecurity, hanno già in essere alcune misure di base (antivirus, backup, firewall) che possono costituire un buon punto di partenza.

Tra le misure concrete che una PMI deve considerare per la conformità NIS2 ci sono:

  • Politiche di sicurezza documentate: procedure scritte per la gestione degli accessi, degli aggiornamenti e degli incidenti
  • Gestione delle identità e degli accessi: autenticazione multifattore (MFA) per tutti i sistemi critici
  • Backup e continuità operativa: piani di disaster recovery testati e documentati
  • Formazione del personale: consapevolezza sulla sicurezza informatica per tutti i dipendenti, non solo per il reparto IT
  • Gestione delle vulnerabilità: processi di aggiornamento regolare di sistemi operativi e applicazioni
  • Sicurezza fisica: controllo degli accessi fisici ai sistemi informatici critici
  • Crittografia: utilizzo di protocolli cifrati per la trasmissione e la conservazione dei dati sensibili

Domande frequenti

La mia PMI con 40 dipendenti è soggetta alla NIS2?

In generale, la NIS2 si applica alle medie imprese (oltre 50 dipendenti o oltre 10 milioni di euro di fatturato) che operano nei settori coperti dagli allegati della direttiva. Tuttavia, esistono eccezioni per alcune categorie specifiche che sono incluse indipendentemente dalla dimensione. Se la tua azienda opera in settori come le infrastrutture digitali, i servizi fiduciari o le reti pubbliche di comunicazione, potrebbe essere soggetta agli obblighi anche al di sotto di queste soglie. Il consiglio è di effettuare una verifica specifica sulla piattaforma ACN o con il supporto di un consulente specializzato.

Cosa rischio se non mi registro entro le scadenze ACN?

Il mancato adempimento degli obblighi NIS2, inclusa la registrazione nei termini previsti, può comportare sanzioni amministrative significative. Per i soggetti importanti le sanzioni possono arrivare fino a 7 milioni di euro o all'1,4% del fatturato mondiale annuo totale, se superiore. Per i soggetti essenziali il massimale sale fino a 10 milioni di euro o al 2% del fatturato. Oltre alle sanzioni pecuniarie, in caso di incidente non gestito correttamente, l'azienda potrebbe incorrere in responsabilità verso clienti e partner commerciali.

Come gestisco i fornitori che non vogliono fornire garanzie di sicurezza?

Questo è uno degli scenari più comuni che le PMI italiane si trovano ad affrontare. Se un fornitore rilevante non è in grado o non è disposto a fornire garanzie adeguate sulla propria sicurezza informatica, l'azienda soggetta a NIS2 ha essenzialmente due opzioni: lavorare con il fornitore per migliorare le sue pratiche di sicurezza, ad esempio attraverso clausole contrattuali e audit, oppure valutare la sostituzione del fornitore con uno che offra garanzie adeguate. In ogni caso, la decisione e il ragionamento seguito devono essere documentati, dimostrando che l'azienda ha adottato un approccio basato sulla gestione del rischio.

La NIS2 si sovrappone al GDPR? Devo gestire due compliance diverse?

NIS2 e GDPR (General Data Protection Regulation) sono normative complementari ma distinte. Il GDPR si concentra sulla protezione dei dati personali, mentre la NIS2 ha un perimetro più ampio che riguarda la sicurezza delle reti e dei sistemi informativi in generale, inclusi sistemi che non trattano dati personali. In pratica, molte misure di sicurezza sono valide per entrambe le normative (es. cifratura, controllo degli accessi, gestione degli incidenti), quindi un buon programma di cybersecurity ben strutturato può soddisfare contemporaneamente i requisiti di entrambe. Tuttavia, è opportuno fare una verifica specifica con un professionista per identificare eventuali gap specifici.

Conclusione

La NIS2 non è l'ennesimo adempimento burocratico da gestire all'ultimo minuto: è un'opportunità concreta per le PMI italiane di rafforzare la propria resilienza digitale e ridurre il rischio di incidenti informatici che, secondo i dati del Rapporto Clusit, continuano a crescere per numero e gravità anche nel nostro Paese. Le scadenze del 2026 si avvicinano e chi inizia a prepararsi oggi avrà il tempo di farlo in modo ordinato, distribuendo i costi nel tempo e senza la pressione delle ultime settimane.

Il percorso verso la conformità NIS2 richiede competenze specifiche che spesso non sono presenti internamente nelle PMI. Non significa che sia necessario assumere un team di cybersecurity, ma significa che avere al proprio fianco un partner IT esperto in normativa NIS2 può fare la differenza tra un adeguamento efficace e costoso e uno strutturato e sostenibile.

Contatta oggi stesso un esperto IT specializzato in NIS2 e cybersecurity per PMI. Una prima consulenza di analisi della situazione attuale ti permetterà di capire se la tua azienda è soggetta agli obblighi, cosa manca rispetto ai requisiti normativi e come pianificare il percorso di adeguamento nei tempi e nei budget giusti per la tua realtà. Non aspettare le scadenze: agire con anticipo significa risparmiare tempo, denaro e preoccupazioni.