Il 2026 si avvicina e con esso una scadenza che molte piccole e medie imprese italiane non possono più permettersi di ignorare: l'entrata in piena operatività della Direttiva NIS2 (Network and Information Security 2), recepita in Italia con il Decreto Legislativo n. 138 del 4 settembre 2023. Questa normativa europea ridefinisce il perimetro della cybersicurezza obbligatoria, estendendolo in modo significativo rispetto alla precedente NIS1 e coinvolgendo per la prima volta in modo diretto migliaia di PMI italiane che operano in settori considerati critici o importanti per l'economia nazionale.

La novità più rilevante non riguarda solo le grandi aziende o le infrastrutture critiche dello Stato. La NIS2 abbassa le soglie dimensionali e amplia i settori soggetti, trascinando nella rete degli obbligatori anche realtà con 50 dipendenti o un fatturato superiore ai 10 milioni di euro, purché attive in ambiti come la sanità, i trasporti, la gestione dei rifiuti, le telecomunicazioni, i servizi digitali e l'industria manifatturiera di prodotti strategici. Secondo i dati pubblicati dall'Agenzia per la Cybersicurezza Nazionale (ACN), si stima che le organizzazioni italiane soggette alla nuova normativa siano decine di migliaia, una platea enormemente più ampia rispetto al passato.

Per molti imprenditori italiani, il nome NIS2 evoca ancora qualcosa di vago e distante. Eppure le implicazioni pratiche sono concrete, immediate e potenzialmente costose in caso di inadempienza. In questo articolo analizziamo nel dettaglio cosa cambia nel 2026, quali sono gli obblighi specifici per le PMI, come gestire la catena dei fornitori e come interagire correttamente con la piattaforma dell'ACN per essere in regola.

Chi sono i soggetti obbligati NIS2: PMI italiane nei settori rilevanti

La Direttiva NIS2 introduce una distinzione fondamentale tra soggetti essenziali e soggetti importanti. I primi operano in settori ad alta criticità come energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile e infrastrutture digitali. I secondi appartengono a settori a criticità elevata, tra cui servizi postali, gestione dei rifiuti, fabbricazione di prodotti chimici, dispositivi medici, prodotti elettronici, veicoli a motore e fornitori di servizi digitali.

Per le PMI, il discrimine principale è dimensionale: rientrano nell'obbligo le organizzazioni con almeno 50 dipendenti oppure con un fatturato o un totale di bilancio annuo superiore a 10 milioni di euro, attive nei settori sopra citati. Fanno eccezione alcune categorie che sono incluse a prescindere dalle dimensioni, come i fornitori di reti pubbliche di comunicazione elettronica o i registrar di nomi di dominio di primo livello.

Un esempio concreto: un'azienda di medie dimensioni che produce dispositivi elettromedicali con 60 dipendenti e 12 milioni di fatturato annuo è quasi certamente soggetta agli obblighi NIS2. Allo stesso modo, una società di logistica che gestisce trasporti critici per conto di ospedali pubblici potrebbe rientrare nell'ambito di applicazione anche se non lo ha ancora verificato formalmente. Il primo passo consiste proprio nell'autovalutazione della propria appartenenza settoriale, un'operazione che molte PMI hanno finora rimandato.

  • Settori ad alta criticità (Allegato I): energia, trasporti, settore bancario, infrastrutture finanziarie, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione ICT B2B, pubblica amministrazione, spazio.
  • Altri settori critici (Allegato II): servizi postali e di corriere, gestione dei rifiuti, fabbricazione di sostanze chimiche, produzione alimentare, manifattura di dispositivi medici ed elettronici, industria automobilistica, fornitori di servizi digitali.
  • Microimprese escluse: in linea generale, le organizzazioni con meno di 50 dipendenti e fatturato sotto i 10 milioni sono escluse, salvo eccezioni previste dalla normativa.

Obblighi concreti NIS2: misure di sicurezza e gestione del rischio per le PMI

Essere soggetti alla NIS2 significa adottare un insieme strutturato di misure di gestione del rischio di cybersicurezza. L'articolo 24 del D.Lgs. 138/2023 stabilisce che le organizzazioni devono implementare misure tecniche, operative e organizzative proporzionate al rischio, tenendo conto dello stato dell'arte, delle dimensioni dell'ente e dell'impatto potenziale degli incidenti.

In termini pratici, le PMI devono affrontare almeno le seguenti aree:

  • Politiche di analisi del rischio: condurre valutazioni periodiche dei rischi informatici e documentarle formalmente.
  • Gestione degli incidenti: dotarsi di procedure per rilevare, segnalare e rispondere agli incidenti di sicurezza in modo tempestivo.
  • Continuità operativa: predisporre piani di backup, disaster recovery e gestione delle crisi.
  • Sicurezza della catena di approvvigionamento: valutare e monitorare i fornitori ICT critici (approfondito nella sezione successiva).
  • Sicurezza nell'acquisizione e sviluppo di sistemi: includere requisiti di sicurezza in ogni nuovo progetto IT.
  • Formazione e sensibilizzazione: formare il personale, inclusi i vertici aziendali, sui rischi cyber.
  • Autenticazione multifattore (MFA): implementare soluzioni MFA per gli accessi ai sistemi critici.
  • Crittografia: proteggere i dati sensibili in transito e a riposo con misure crittografiche adeguate.

Un elemento spesso sottovalutato è la responsabilità degli organi di amministrazione: la NIS2 prevede esplicitamente che i consigli di amministrazione e i vertici aziendali debbano approvare le misure di sicurezza, supervisionarne l'attuazione e rispondere personalmente in caso di gravi negligenze. Questa disposizione rappresenta una vera novità culturale per il panorama italiano, dove la cybersicurezza è stata storicamente delegata esclusivamente al reparto IT.

Fornitori rilevanti e sicurezza della supply chain: il punto più critico per le PMI

Tra tutti gli obblighi introdotti dalla NIS2, la gestione della sicurezza della catena di approvvigionamento (supply chain security) è probabilmente quella che crea maggiore complessità per le PMI italiane. La direttiva impone di valutare non solo la propria postura di sicurezza interna, ma anche quella dei fornitori rilevanti: tutti quei soggetti terzi che forniscono servizi ICT, software, hardware o servizi gestiti e che potrebbero rappresentare un vettore di attacco o una vulnerabilità indiretta.

Il concetto di fornitore rilevante va oltre il classico provider IT. Include il cloud provider che ospita i dati aziendali, il software gestionale utilizzato per fatturazione e logistica, il fornitore di firewall o di soluzioni EDR (Endpoint Detection and Response), ma anche consulenti esterni con accesso privilegiato ai sistemi. Le PMI devono censire questi fornitori, valutare il rischio associato a ciascuno e includere clausole contrattuali di sicurezza nei nuovi accordi e nei rinnovi.

Concretamente, una PMI del settore manifatturiero dovrebbe procedere così:

  1. Mappare tutti i fornitori con accesso ai propri sistemi informatici o ai dati aziendali.
  2. Classificarli per criticità in base all'impatto che una loro compromissione avrebbe sull'operatività aziendale.
  3. Richiedere ai fornitori più critici documentazione sulle proprie misure di sicurezza (politiche ISO 27001, SOC 2, questionari di sicurezza).
  4. Inserire nei contratti clausole che obblighino i fornitori a notificare tempestivamente eventuali incidenti di sicurezza che potrebbero impattare il cliente.
  5. Pianificare audit periodici o verifiche documentali sui fornitori di primo livello.

Questo processo richiede tempo e risorse, ma è imprescindibile. Un attacco informatico che colpisce un fornitore di software gestionale può propagarsi silenziosamente a centinaia di aziende clienti: lo dimostrano casi come l'attacco alla supply chain di SolarWinds o le compromissioni di MSP (Managed Service Provider) che negli ultimi anni hanno colpito anche aziende italiane.

Adempimenti ACN 2026: registrazione, notifica degli incidenti e scadenze operative

L'Agenzia per la Cybersicurezza Nazionale (ACN) è l'autorità nazionale competente per l'applicazione della NIS2 in Italia. Ha predisposto una piattaforma digitale dedicata attraverso cui i soggetti obbligati devono registrarsi e comunicare le informazioni richieste. Comprendere il funzionamento di questo processo è fondamentale per evitare sanzioni.

La fase di registrazione obbligatoria rappresenta il primo adempimento formale. Le organizzazioni soggette devono iscriversi sulla piattaforma ACN fornendo dati identificativi, il settore di appartenenza, le tipologie di servizi erogati e le informazioni sui referenti aziendali per la cybersicurezza. Le finestre temporali per la registrazione vengono comunicate dall'ACN attraverso comunicazioni ufficiali, pertanto è essenziale monitorare il sito istituzionale acn.gov.it e le comunicazioni delle associazioni di categoria.

Oltre alla registrazione, la NIS2 impone un regime di notifica degli incidenti significativi articolato in tre fasi:

  • Preallarme entro 24 ore: comunicazione iniziale all'ACN o al CSIRT Italia entro 24 ore dalla rilevazione di un incidente significativo.
  • Notifica entro 72 ore: notifica dettagliata dell'incidente, con una prima valutazione della gravità e dell'impatto, entro 72 ore.
  • Relazione finale entro un mese: relazione conclusiva con analisi completa, misure adottate e insegnamenti tratti.

Le sanzioni previste in caso di inadempienza sono significative: per i soggetti essenziali possono arrivare fino al 2% del fatturato annuo globale o a 10 milioni di euro (il maggiore dei due); per i soggetti importanti fino all'1,4% del fatturato o a 7 milioni di euro. A queste si aggiungono possibili misure inibitorie temporanee e, per i soggetti essenziali, la responsabilità personale dei dirigenti. Si tratta di cifre che per molte PMI italiane potrebbero risultare devastanti, rendendo l'investimento in conformità assolutamente conveniente rispetto al rischio sanzionatorio.

Domande frequenti

Come faccio a sapere se la mia PMI è soggetta agli obblighi NIS2?

Il modo più corretto è verificare contemporaneamente due condizioni: il settore di attività (deve rientrare negli allegati I o II del D.Lgs. 138/2023) e le dimensioni aziendali (almeno 50 dipendenti oppure fatturato o totale di bilancio superiore a 10 milioni di euro). Se entrambe le condizioni sono soddisfatte, con ogni probabilità la tua azienda è soggetta alla normativa. In caso di dubbio, è fortemente consigliato consultare un consulente specializzato in compliance normativa IT o cybersicurezza, oppure fare riferimento alle FAQ pubblicate dall'ACN sul proprio sito istituzionale. Alcune associazioni di categoria, come Confindustria e CNA, stanno producendo guide settoriali di supporto.

Entro quando devo registrarmi sulla piattaforma ACN?

L'ACN ha definito un calendario di attivazione progressivo. Le prime finestre di registrazione obbligatoria sono state aperte nel corso del 2024 e del 2025, con ulteriori fasi previste per il 2026. È fondamentale monitorare le comunicazioni ufficiali dell'ACN, poiché le scadenze vengono comunicate con anticipo ragionevole ma richiedono una verifica proattiva da parte delle aziende. Non aspettare di ricevere una comunicazione diretta: la normativa prevede che sia l'organizzazione a prendere l'iniziativa di verificare la propria appartenenza e procedere alla registrazione nei tempi indicati.

Cosa rischio se non mi adeguo alla NIS2 entro le scadenze previste?

Le conseguenze dell'inadempienza sono molteplici. Sul piano economico, le sanzioni amministrative possono essere molto elevate, come descritto nella sezione precedente. Sul piano operativo, l'ACN può disporre misure correttive obbligatorie, audit ispettivi e, nei casi più gravi, sospensioni temporanee di attività per i soggetti essenziali. Sul piano reputazionale, gli incidenti di sicurezza non gestiti correttamente e le mancate notifiche possono diventare pubblici, danneggiando la fiducia di clienti e partner. Infine, sul piano della responsabilità civile, un incidente causato da negligenza nella gestione della sicurezza può esporre l'azienda e i suoi vertici a richieste di risarcimento da parte di clienti o terzi danneggiati.

Devo ottenere una certificazione ISO 27001 per essere conformi alla NIS2?

La NIS2 non impone esplicitamente la certificazione ISO/IEC 27001 come requisito obbligatorio. Tuttavia, adottare un Sistema di Gestione della Sicurezza delle Informazioni (SGSI) conforme a questo standard è considerato una delle modalità più efficaci per dimostrare la conformità alle misure di gestione del rischio richieste dalla direttiva. L'ACN ha indicato che potrà riconoscere schemi di certificazione europei come prova di conformità. Per una PMI, avviare il percorso verso ISO 27001 — anche senza certificarsi immediatamente — è un ottimo modo per strutturare gli adempimenti NIS2 in modo organico e documentato, e può diventare anche un vantaggio competitivo nelle gare d'appalto pubbliche e nei rapporti con grandi clienti.

Conclusione

La NIS2 non è una burocrazia da subire passivamente: è un'opportunità concreta per le PMI italiane di rafforzare la propria resilienza digitale, proteggere il patrimonio informativo aziendale e costruire fiducia nei confronti di clienti, partner e istituzioni. Le scadenze del 2026 si avvicinano rapidamente e chi inizia oggi il percorso di adeguamento avrà il vantaggio di poterlo fare con calma, senza pressioni dell'ultimo momento e con la possibilità di distribuire gli investimenti nel tempo.

Il punto di partenza è sempre una gap analysis onesta e strutturata: capire dove si è oggi rispetto a dove la normativa richiede di essere. Da lì si costruisce un piano d'azione prioritizzato, che tenga conto delle risorse disponibili e dei rischi più urgenti da mitigare. Non è necessario fare tutto subito, ma è necessario iniziare.

Hai bisogno di capire se la tua azienda è soggetta alla NIS2 e da dove iniziare? Contatta un esperto IT specializzato in cybersicurezza e compliance normativa: un professionista qualificato può guidarti nell'autovalutazione, supportarti nella registrazione ACN, aiutarti a gestire la catena dei fornitori e costruire un piano di adeguamento sostenibile per la tua realtà aziendale. Non aspettare che sia troppo tardi: ogni giorno di ritardo aumenta il rischio di sanzioni e lascia la tua azienda esposta a minacce che oggi sono più concrete che mai.