La Direttiva NIS2 (Network and Information Security 2) è ormai una realtà concreta per migliaia di aziende italiane. Con il recepimento italiano avvenuto tramite il Decreto Legislativo 138/2024, l'Italia ha formalmente adottato le norme europee sulla cybersecurity, affidando all'Agenzia per la Cybersicurezza Nazionale (ACN) il ruolo di autorità competente. Se fino a poco tempo fa molte PMI potevano considerare la NIS2 come una questione riservata alle grandi imprese, oggi la realtà è ben diversa: centinaia di settori produttivi sono coinvolti, e le scadenze del 2026 si avvicinano rapidamente.

Il tema è particolarmente urgente per le piccole e medie imprese italiane, che rappresentano l'ossatura del tessuto produttivo nazionale. Secondo i dati ISTAT, le PMI costituiscono oltre il 99% del totale delle imprese attive in Italia e danno lavoro a più del 65% degli occupati nel settore privato. Queste realtà, spesso sprovviste di un ufficio IT strutturato o di un responsabile della sicurezza dedicato, si trovano ora a dover navigare un quadro normativo complesso, con obblighi precisi, scadenze stringenti e sanzioni significative in caso di inadempienza.

In questo articolo troverai una guida pratica e aggiornata su cosa fare, entro quando farlo e come procedere sul portale ACN per essere in regola con la NIS2. L'obiettivo è aiutarti a comprendere gli adempimenti concreti senza perderti nel gergo tecnico-legale, con esempi applicabili alla tua realtà aziendale.

Cosa prevede la NIS2 per le PMI italiane: soggetti obbligati e settori coinvolti

La NIS2 si applica a un numero molto più ampio di organizzazioni rispetto alla precedente direttiva NIS1. Il legislatore italiano ha recepito la distinzione europea tra soggetti essenziali e soggetti importanti, due categorie che determinano sia il livello di controllo a cui si è sottoposti sia l'entità delle sanzioni applicabili. Ma la domanda che si pone ogni imprenditore è semplice: la mia azienda rientra nell'ambito di applicazione?

I settori ad alta criticità elencati nell'Allegato I del Decreto 138/2024 includono energia, trasporti, settore bancario e infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi ICT, pubblica amministrazione e spazio. I settori critici dell'Allegato II comprendono invece servizi postali, gestione dei rifiuti, produzione e distribuzione di sostanze chimiche, produzione e distribuzione di alimenti, fabbricazione di dispositivi medici, produzione di autoveicoli, fornitori digitali e ricerca.

  • Soggetti essenziali: grandi imprese (oltre 250 dipendenti o fatturato superiore a 50 milioni di euro) nei settori dell'Allegato I
  • Soggetti importanti: medie imprese (da 50 a 249 dipendenti, fatturato tra 10 e 50 milioni di euro) nei settori degli Allegati I e II, e grandi imprese nei settori dell'Allegato II
  • Eccezioni dimensionali: alcune tipologie di soggetti rientrano nell'ambito NIS2 indipendentemente dalla dimensione, ad esempio fornitori di reti pubbliche di comunicazione elettronica

È fondamentale sottolineare che la verifica della propria inclusione non è automatica: spetta all'azienda stessa accertare se rientra tra i soggetti obbligati e procedere di conseguenza. L'ACN ha messo a disposizione strumenti e linee guida sul proprio sito ufficiale per supportare questa autovalutazione. Non agire nell'attesa di una notifica ufficiale è un errore comune che può portare a sanzioni retroattive.

Le scadenze NIS2 maggio-ottobre 2026: il calendario degli adempimenti sul portale ACN

Il calendario degli adempimenti NIS2 per le aziende italiane ruota attorno al portale ACN, la piattaforma digitale attraverso cui i soggetti obbligati devono registrarsi, comunicare le informazioni richieste e aggiornare i propri dati. Comprendere la sequenza temporale è essenziale per non trovarsi impreparati.

Secondo quanto stabilito dal Decreto 138/2024 e dalle comunicazioni ufficiali dell'ACN, la prima finestra di registrazione obbligatoria si apre nella primavera del 2026. I soggetti che ritengono di rientrare nell'ambito di applicazione devono procedere alla registrazione sul portale entro le scadenze indicate dall'autorità. Successivamente, entro ottobre 2026, devono essere completate ulteriori comunicazioni riguardanti l'organizzazione interna, i servizi erogati e le misure di sicurezza adottate.

  • Entro maggio 2026: registrazione sul portale ACN, indicando dati anagrafici dell'organizzazione, settore di appartenenza, tipologia di soggetto (essenziale o importante) e referente per la cybersicurezza
  • Entro ottobre 2026: completamento della comunicazione con informazioni dettagliate su servizi, infrastrutture critiche, misure di gestione del rischio già adottate e piano di miglioramento
  • Dal 2026 in poi: obbligo di notifica degli incidenti significativi entro 24 ore (preallarme), 72 ore (notifica iniziale) e 30 giorni (relazione finale)

Per accedere al portale ACN è necessario disporre di un account SPID o CIE aziendale e avere a portata di mano una serie di informazioni sull'organizzazione. È fortemente consigliato iniziare la raccolta di questi dati con largo anticipo, coinvolgendo il responsabile IT, il consulente legale e, se presente, il DPO (Data Protection Officer). Un approccio coordinato evita ritardi e lacune informative che potrebbero invalidare la registrazione.

Gli obblighi tecnici e organizzativi: cosa deve fare concretamente una PMI

La NIS2 non si limita a richiedere una registrazione burocratica: impone alle organizzazioni di adottare misure concrete di gestione del rischio cyber. L'articolo 24 del Decreto 138/2024, in recepimento dell'articolo 21 della Direttiva europea, elenca le misure minime che ogni soggetto obbligato deve implementare. Per una PMI, questo si traduce in una serie di attività pratiche che vanno ben oltre l'installazione di un antivirus.

Le misure richieste riguardano diversi ambiti: dalla politica di sicurezza delle informazioni alla gestione degli incidenti, dalla continuità operativa alla sicurezza della catena di approvvigionamento. Quest'ultimo punto è particolarmente rilevante per le PMI che operano come fornitori di aziende più grandi: se il tuo cliente principale è soggetto NIS2, potrebbe chiederti di dimostrare la conformità come requisito contrattuale.

  • Analisi e gestione del rischio: mappatura degli asset critici, valutazione delle vulnerabilità, piano di trattamento del rischio
  • Sicurezza nella gestione degli incidenti: procedure documentate per rilevare, rispondere e notificare gli incidenti
  • Continuità operativa: backup regolari, piano di disaster recovery, procedure di ripristino testate
  • Sicurezza della supply chain: valutazione della sicurezza dei fornitori IT, clausole contrattuali adeguate
  • Sicurezza nell'acquisizione, sviluppo e manutenzione di sistemi: gestione delle patch, test di sicurezza
  • Formazione del personale: programmi di sensibilizzazione sulla cybersecurity per tutti i dipendenti
  • Autenticazione a più fattori: obbligo di implementare MFA (Multi-Factor Authentication) per l'accesso ai sistemi critici
  • Crittografia: uso di protocolli crittografici adeguati per la protezione dei dati

Un esempio pratico: un'azienda manifatturiera di medie dimensioni che produce componenti per il settore automobilistico e utilizza sistemi di controllo industriale (OT - Operational Technology) deve non solo proteggere i propri sistemi informatici tradizionali, ma anche valutare i rischi legati alla convergenza IT/OT. Questo richiede competenze specifiche che spesso non sono disponibili internamente e che possono richiedere il supporto di un consulente specializzato.

Sanzioni NIS2 in Italia: i rischi concreti per chi non si adegua

Una delle novità più significative della NIS2 rispetto alla precedente normativa è l'inasprimento del regime sanzionatorio. Il Decreto 138/2024 ha recepito le previsioni della Direttiva europea, introducendo sanzioni che per entità si avvicinano a quelle del GDPR e che non possono essere ignorate da nessuna organizzazione, indipendentemente dalla sua dimensione.

Per i soggetti essenziali, le sanzioni amministrative pecuniarie possono arrivare fino a 10 milioni di euro o al 2% del fatturato annuo mondiale totale dell'esercizio precedente, se superiore. Per i soggetti importanti, il massimo è di 7 milioni di euro o dell'1,4% del fatturato annuo mondiale. Ma le sanzioni non si limitano agli aspetti economici: il Decreto prevede anche la possibilità di misure temporanee come la sospensione temporanea di certificazioni e autorizzazioni, e in casi gravi la responsabilità personale dei dirigenti.

È importante comprendere che le sanzioni non scattano automaticamente al primo adempimento mancato: l'ACN adotta un approccio basato sulla proporzionalità e sulla collaborazione. Tuttavia, la mancata registrazione entro le scadenze previste, la mancata notifica degli incidenti o l'assenza di misure di sicurezza minime possono configurare violazioni sanzionabili. La trasparenza e la proattività nei confronti dell'autorità sono quindi la strategia più intelligente che un'azienda possa adottare.

Come procedere sul portale ACN: guida passo-passo per la registrazione

Il portale ACN dedicato alla NIS2 è accessibile all'indirizzo ufficiale dell'Agenzia per la Cybersicurezza Nazionale. La registrazione è il primo passo obbligatorio e deve essere completata dal rappresentante legale dell'organizzazione o da un soggetto da questi formalmente delegato. Ecco come orientarsi nel processo.

Prima di accedere al portale, è necessario preparare una serie di informazioni e documenti. Avere tutto pronto in anticipo riduce significativamente i tempi di completamento e il rischio di errori che potrebbero richiedere successive correzioni. La preparazione è la chiave per una registrazione fluida e corretta.

  • Dati identificativi dell'organizzazione: ragione sociale, codice fiscale/partita IVA, sede legale, settore ATECO di riferimento
  • Identificazione del tipo di soggetto: documentazione che supporti la classificazione come essenziale o importante (numero dipendenti, fatturato, settore)
  • Referente per la cybersicurezza: nominativo, ruolo e recapiti del punto di contatto interno designato
  • Elenco dei servizi erogati: descrizione dei servizi che rientrano nell'ambito della NIS2
  • Informazioni sulle infrastrutture: data center, cloud provider utilizzati, sistemi critici

Una volta completata la registrazione iniziale, il portale guida l'utente attraverso le fasi successive di comunicazione. È consigliabile designare internamente un responsabile NIS2 che coordini tutte le attività di conformità, tenga traccia delle scadenze e funga da punto di contatto con l'ACN. Nelle PMI più piccole, questo ruolo può essere ricoperto dal titolare stesso o dall'IT manager, eventualmente supportato da un consulente esterno.

Domande frequenti

La mia PMI ha 45 dipendenti e opera nel settore della logistica: sono obbligato alla NIS2?

Il settore dei trasporti e della logistica rientra tra i settori ad alta criticità dell'Allegato I del Decreto 138/2024. Tuttavia, la classificazione come soggetto obbligato dipende anche dalla dimensione: le microimprese (meno di 10 dipendenti) e le piccole imprese (meno di 50 dipendenti) sono generalmente escluse, salvo eccezioni specifiche. Con 45 dipendenti, potresti rientrare nella categoria delle piccole imprese ed essere potenzialmente escluso, ma è fondamentale verificare caso per caso, considerando anche il fatturato e la specificità dei servizi erogati. Il consiglio è di consultare le linee guida ACN e, in caso di dubbio, un consulente specializzato prima di assumere di essere escluso.

Cosa rischio se non mi registro sul portale ACN entro maggio 2026?

La mancata registrazione entro i termini previsti costituisce una violazione degli obblighi NIS2 e può essere oggetto di sanzione da parte dell'ACN. Per i soggetti importanti, le sanzioni possono arrivare fino a 7 milioni di euro o all'1,4% del fatturato annuo mondiale. Oltre alle conseguenze economiche dirette, la mancata conformità può avere ripercussioni reputazionali e contrattuali, soprattutto se la tua azienda è fornitrice di soggetti NIS2 che potrebbero richiedere la conformità come requisito contrattuale. Agire tempestivamente è sempre la scelta più conveniente.

Ho già adottato misure di sicurezza per il GDPR: mi bastano per la NIS2?

Il GDPR e la NIS2 hanno obiettivi parzialmente sovrapposti ma non coincidenti. Le misure di sicurezza adottate per la protezione dei dati personali costituiscono certamente una base di partenza utile, ma la NIS2 richiede un approccio più ampio che include la sicurezza delle reti e dei sistemi informativi nel loro complesso, la gestione degli incidenti con obblighi di notifica all'ACN, la continuità operativa, la sicurezza della supply chain e la gestione del rischio cyber come processo continuo. In pratica, chi ha già un buon livello di maturità GDPR si trova in una posizione di vantaggio, ma dovrà comunque completare la registrazione ACN e colmare i gap specifici richiesti dalla NIS2.

Devo nominare un responsabile dedicato alla cybersicurezza per la NIS2?

Il Decreto 138/2024 richiede che i soggetti obbligati designino un punto di contatto con l'ACN e che i vertici aziendali siano direttamente responsabili dell'approvazione e supervisione delle misure di gestione del rischio. Non è obbligatoria la figura di un CISO (Chief Information Security Officer) dedicato a tempo pieno per le PMI, ma è necessario che qualcuno in azienda abbia la responsabilità formale di questi adempimenti. Nelle realtà più piccole, questa funzione può essere affidata a un consulente esterno qualificato, a patto che vi sia un referente interno che coordini il rapporto con l'ACN e abbia una conoscenza adeguata della situazione aziendale.

Conclusione

La NIS2 non è una scadenza burocratica da rimandare: è un'opportunità concreta per rafforzare la resilienza della tua azienda in un contesto in cui gli attacchi informatici alle PMI sono in costante aumento. Le scadenze di maggio e ottobre 2026 si avvicinano rapidamente, e ogni settimana di ritardo nella preparazione è una settimana in meno per organizzarsi adeguatamente, senza fretta e senza errori.

Il percorso verso la conformità NIS2 richiede competenze multidisciplinari: normative, tecniche e organizzative. Molte PMI non dispongono internamente di tutte le risorse necessarie, e affidarsi a un consulente IT esperto in cybersecurity e normative europee può fare la differenza tra un processo fluido e uno stressante, tra una conformità solida e una superficiale che non reggerei a un controllo.

Non aspettare l'ultimo momento: contatta oggi stesso un esperto IT specializzato in conformità NIS2 per PMI italiane. Una valutazione iniziale del tuo livello di maturità, l'identificazione dei gap e la pianificazione delle attività necessarie ti permetteranno di affrontare le scadenze 2026 con serenità e consapevolezza, proteggendo la tua azienda, i tuoi clienti e la tua reputazione sul mercato.