La Direttiva NIS2 (Network and Information Security 2) è ormai una realtà con cui ogni impresa italiana — grande o piccola — deve fare i conti. Dopo il recepimento italiano avvenuto con il Decreto Legislativo 138/2024, entrato in vigore il 16 ottobre 2024, il calendario degli adempimenti si fa sempre più serrato. Per molte PMI (Piccole e Medie Imprese), il 2026 rappresenta l'anno decisivo: le scadenze di maggio e ottobre porteranno con sé obblighi concreti, sanzioni potenzialmente significative e la necessità di interagire con il portale ufficiale dell'Agenzia per la Cybersicurezza Nazionale (ACN).

In Italia, secondo i dati del Rapporto Clusit 2024, gli attacchi informatici alle organizzazioni italiane sono in costante crescita, con il settore manifatturiero, dei servizi e della pubblica amministrazione tra i più colpiti. Le PMI, spesso prive di strutture IT dedicate, sono bersagli particolarmente vulnerabili e al tempo stesso costituiscono l'ossatura della catena di fornitura delle grandi aziende. È proprio in questo contesto che NIS2 amplia il suo perimetro: non solo le grandi infrastrutture critiche, ma anche i fornitori rilevanti che erogano servizi essenziali o importanti per l'economia nazionale.

Questo articolo è una guida pratica pensata per imprenditori, responsabili IT e consulenti di PMI italiane che devono orientarsi tra norme tecniche, portali digitali e scadenze burocratiche. Affronteremo chi è soggetto agli obblighi NIS2, quali sono le date chiave del 2026, come funziona il portale ACN per la registrazione e cosa significa essere classificati come soggetto essenziale o importante. L'obiettivo è darti una mappa chiara per non arrivare impreparato.

Chi deve adeguarsi a NIS2: settori, soglie dimensionali e fornitori rilevanti

Uno dei punti di maggiore confusione per le PMI italiane riguarda il perimetro di applicazione della direttiva. NIS2 non si applica indistintamente a tutte le imprese: esistono criteri precisi legati al settore di attività, alle dimensioni aziendali e al ruolo nella catena di fornitura. Il Decreto Legislativo 138/2024 distingue tra soggetti essenziali e soggetti importanti, con obblighi di intensità diversa.

In linea generale, sono potenzialmente soggette a NIS2 le medie e grandi imprese che operano in settori ad alta criticità (come energia, trasporti, banche, infrastrutture digitali, sanità, acque) o in settori ad altra criticità (come servizi postali, gestione rifiuti, produzione alimentare, manifatturiero avanzato, fornitori di servizi digitali). Tuttavia, il punto che sorprende molte PMI è il criterio dei fornitori rilevanti: anche un'azienda con meno di 250 dipendenti può rientrare nell'ambito NIS2 se fornisce servizi critici a soggetti essenziali o se l'ACN la identifica come tale per ragioni di rischio sistemico.

Ecco una panoramica dei principali settori coinvolti:

  • Settori ad alta criticità: energia (elettricità, gas, idrogeno), trasporti (aereo, ferroviario, stradale, marittimo), banche e infrastrutture dei mercati finanziari, settore sanitario, acqua potabile e acque reflue, infrastrutture digitali, gestione dei servizi ICT, pubblica amministrazione.
  • Altri settori critici: servizi postali e di corriere, gestione dei rifiuti, fabbricazione di prodotti chimici, alimentare, dispositivi medici, produzione di computer ed elettronica, fabbricazione di macchinari, automotive, fornitori di servizi digitali (marketplace, motori di ricerca, social network).
  • Casi speciali: indipendentemente dalla dimensione, sono sempre inclusi fornitori di reti pubbliche di comunicazione elettronica, fornitori qualificati di fiducia e registrar di nomi a dominio.

Per capire se la tua azienda rientra nel perimetro, il primo passo è effettuare una autovalutazione utilizzando i criteri dimensionali dell'UE (media impresa: 50-249 dipendenti, fatturato tra 10 e 50 milioni di euro) e verificare il proprio codice ATECO rispetto ai settori elencati nel decreto.

Le scadenze NIS2 maggio-ottobre 2026: il calendario degli adempimenti per le PMI

Il calendario NIS2 per le imprese italiane è scandito da alcune date fondamentali che non possono essere ignorate. Il 31 maggio 2026 rappresenta la prima grande scadenza operativa: entro questa data, tutti i soggetti che ritengono di rientrare nell'ambito di applicazione della direttiva devono completare la registrazione sul portale ACN e fornire le informazioni richieste per la classificazione. Si tratta di un obbligo di auto-notifica: è l'azienda stessa a dover censire la propria presenza, non l'autorità a contattare le imprese.

Successivamente, entro il 31 ottobre 2026, scattano gli obblighi più strutturati: l'ACN pubblicherà gli elenchi definitivi dei soggetti essenziali e importanti, e da quel momento inizieranno a decorrere i termini per implementare le misure di sicurezza tecnica e organizzativa previste dall'articolo 24 del decreto, tra cui la gestione del rischio, la sicurezza della supply chain, la gestione degli incidenti e la business continuity. Per i soggetti già identificati, scatteranno anche gli obblighi di notifica degli incidenti significativi all'ACN entro 24 ore (pre-alert) e 72 ore (notifica completa).

Ecco un riepilogo cronologico delle fasi principali:

  1. Entro il 31 maggio 2026: registrazione obbligatoria sul portale ACN con indicazione di settore, dimensione, servizi erogati e referente per la sicurezza.
  2. Entro il 31 ottobre 2026: pubblicazione da parte di ACN degli elenchi ufficiali; inizio del periodo di adeguamento per le misure tecniche e organizzative.
  3. Dal 1° gennaio 2027 in poi: piena operatività degli obblighi di notifica incidenti, audit, e possibili ispezioni da parte dell'autorità competente.

È importante sottolineare che le sanzioni previste per i soggetti inadempienti sono significative: fino a 10 milioni di euro o il 2% del fatturato mondiale annuo per i soggetti essenziali, e fino a 7 milioni di euro o l'1,4% del fatturato per i soggetti importanti. Per una PMI, anche la soglia inferiore può rappresentare un rischio aziendale concreto.

Il portale ACN per la registrazione NIS2: come funziona e cosa fare concretamente

Il portale ACN (accessibile tramite il sito ufficiale dell'Agenzia per la Cybersicurezza Nazionale) è lo strumento digitale attraverso cui le imprese devono effettuare la propria registrazione e gestire gli adempimenti NIS2. L'accesso al portale avviene tramite SPID o CIE (Carta d'Identità Elettronica), strumenti ormai familiari alla maggior parte degli imprenditori italiani grazie alla diffusione dei servizi pubblici digitali.

Durante la fase di registrazione, l'azienda deve fornire una serie di informazioni strutturate. In particolare, sarà necessario indicare: la natura giuridica e le dimensioni dell'impresa, i settori e sottosettori di attività, i servizi erogati che possono rientrare nell'ambito NIS2, la presenza di eventuali interdipendenze con altre infrastrutture critiche, e i dati del referente per la sicurezza informatica (che può essere interno o esterno all'azienda). Questo ultimo punto è rilevante per molte PMI: non è obbligatorio avere un CISO interno, ma occorre designare una figura responsabile e raggiungibile dall'autorità.

Cosa fare praticamente prima di accedere al portale:

  • Verificare il proprio codice ATECO e confrontarlo con i settori elencati nell'Allegato I e II del Decreto Legislativo 138/2024.
  • Calcolare i parametri dimensionali aggiornati (dipendenti, fatturato, totale di bilancio) per determinare se si rientra nella soglia di media impresa.
  • Raccogliere le informazioni sui servizi IT critici erogati o ricevuti da fornitori terzi.
  • Identificare il referente per la sicurezza informatica aziendale.
  • Preparare un inventario preliminare degli asset digitali (sistemi, reti, dati sensibili).

ACN ha pubblicato sul proprio sito materiale orientativo e FAQ aggiornate. È fortemente consigliabile consultarle prima di procedere con la registrazione, poiché le istruzioni operative possono essere aggiornate fino alla scadenza.

Adempimenti tecnici e organizzativi NIS2: cosa devono fare concretamente le PMI italiane

La conformità a NIS2 non si esaurisce con la registrazione sul portale: essa richiede l'implementazione di un insieme di misure di sicurezza informatica proporzionate al rischio. L'articolo 24 del Decreto Legislativo 138/2024 elenca le aree minime di intervento, che le PMI devono tradurre in azioni concrete, tenendo conto delle proprie risorse e del contesto operativo.

Tra le misure più rilevanti per le PMI figurano: la gestione del rischio cyber (che include l'identificazione degli asset, la valutazione delle vulnerabilità e la definizione di priorità di intervento), la sicurezza della catena di approvvigionamento (ovvero la verifica che anche i propri fornitori IT adottino misure adeguate), la gestione degli incidenti con procedure documentate per rilevare, segnalare e rispondere agli attacchi, e la continuità operativa con backup regolari e piani di disaster recovery testati.

Un esempio pratico: un'azienda manifatturiera di medie dimensioni con 80 dipendenti che fornisce componentistica a un grande gruppo automobilistico (soggetto essenziale NIS2) dovrà dimostrare di aver adottato misure di sicurezza adeguate per i propri sistemi di produzione connessi in rete, di avere un piano di risposta agli incidenti e di effettuare backup regolari dei dati di produzione. Non si tratta necessariamente di investimenti astronomici, ma di un approccio sistematico e documentato alla cybersicurezza.

Le aree di intervento prioritarie per una PMI che deve adeguarsi a NIS2 includono:

  • Politiche di sicurezza informatica: documenti scritti che definiscono regole e responsabilità.
  • Gestione delle identità e degli accessi: autenticazione a più fattori (MFA), gestione dei privilegi minimi.
  • Sicurezza degli endpoint: antivirus aggiornati, gestione delle patch, protezione dei dispositivi mobili.
  • Backup e ripristino: policy di backup regolare, test periodici di ripristino, copie offline.
  • Formazione del personale: consapevolezza sui rischi di phishing, social engineering e comportamenti sicuri.
  • Gestione degli incidenti: procedure per rilevare, contenere e notificare gli incidenti all'ACN.
  • Sicurezza dei fornitori: clausole contrattuali di sicurezza con i fornitori IT critici.

Un aspetto spesso sottovalutato è la responsabilità degli organi di amministrazione: NIS2 prevede esplicitamente che i vertici aziendali (CDA, amministratori unici) siano responsabili dell'approvazione delle misure di sicurezza e debbano ricevere formazione adeguata. Questo significa che la cybersicurezza non può più essere delegata esclusivamente all'IT, ma deve diventare una priorità del management.

Domande frequenti

La mia PMI con 60 dipendenti è automaticamente soggetta a NIS2?

Non necessariamente. Le dimensioni sono un criterio necessario ma non sufficiente. Devi verificare anche il settore di attività (codice ATECO) confrontandolo con gli allegati del Decreto Legislativo 138/2024. Se operi in uno dei settori elencati e superi le soglie dimensionali di media impresa (almeno 50 dipendenti e fatturato superiore a 10 milioni di euro), allora probabilmente sei soggetta agli obblighi. In caso di dubbio, consulta un esperto o utilizza i materiali orientativi pubblicati dall'ACN sul sito ufficiale acn.gov.it.

Cosa succede se non mi registro entro il 31 maggio 2026?

Il mancato adempimento dell'obbligo di registrazione è sanzionabile. Il Decreto Legislativo 138/2024 prevede un sistema di sanzioni graduate: per i soggetti importanti inadempienti le sanzioni amministrative possono arrivare fino a 7 milioni di euro o all'1,4% del fatturato mondiale annuo. Oltre alle sanzioni pecuniarie, la mancata registrazione impedisce all'ACN di classificare correttamente l'azienda, con possibili conseguenze nei rapporti con clienti o partner che richiedono la conformità NIS2 come requisito contrattuale.

Devo necessariamente assumere un CISO o un responsabile della sicurezza interno?

No, NIS2 non impone l'assunzione di un CISO (Chief Information Security Officer) interno. È possibile affidarsi a un CISO esterno o a un consulente specializzato che svolga questo ruolo in modalità as-a-service. Ciò che è obbligatorio è designare un referente identificabile e raggiungibile per le comunicazioni con l'ACN, e garantire che gli organi di vertice aziendale ricevano formazione adeguata in materia di cybersicurezza. Per molte PMI, il modello del CISO esterno è la soluzione più economica ed efficace.

Come gestisco la sicurezza della supply chain se i miei fornitori sono piccole realtà poco strutturate?

Questo è uno dei punti più pratici e complessi di NIS2. Il decreto richiede di adottare misure adeguate per la gestione del rischio nella catena di approvvigionamento, ma non impone standard impossibili. In pratica, puoi iniziare inserendo clausole contrattuali di sicurezza nei nuovi contratti con i fornitori IT critici (es. richiesta di aggiornamenti regolari del software, obbligo di notifica degli incidenti, uso di connessioni sicure). Per i fornitori già operativi, è consigliabile avviare un dialogo diretto e richiedere una dichiarazione o un questionario di autovalutazione sulla sicurezza. L'importante è documentare il processo e dimostrare di aver eseguito una valutazione ragionata del rischio.

Conclusione

NIS2 non è una minaccia per le PMI italiane: è un'opportunità per strutturare finalmente la propria sicurezza informatica in modo professionale, proteggendo il business da rischi reali e crescenti. Le scadenze del maggio e ottobre 2026 sono ravvicinate, ma con il giusto supporto è possibile rispettarle senza stravolgere l'organizzazione aziendale. Il punto di partenza è la registrazione sul portale ACN, seguita da una valutazione del rischio e dall'implementazione progressiva delle misure richieste.

Se non sai da dove cominciare, o se hai dubbi sulla classificazione della tua azienda, contatta oggi stesso un esperto IT specializzato in cybersicurezza e conformità NIS2. Un professionista qualificato può guidarti nell'autovalutazione, supportarti nella registrazione sul portale ACN, aiutarti a definire un piano di adeguamento sostenibile per le dimensioni e il budget della tua azienda, e — se necessario — ricoprire il ruolo di CISO esterno. Non aspettare l'ultimo momento: la cybersicurezza è un processo, non un evento, e il tempo per costruirla bene è adesso.