Il recepimento della Direttiva NIS2 in Italia ha aperto una nuova fase nella storia della cybersecurity nazionale. Con il Decreto Legislativo 138/2024, entrato in vigore il 16 ottobre 2024, l'Italia ha recepito la direttiva europea Network and Information Security 2, estendendo in modo significativo il perimetro dei soggetti obbligati. Se fino a ieri la normativa sulla sicurezza informatica riguardava quasi esclusivamente le grandi infrastrutture critiche, oggi tocca direttamente migliaia di piccole e medie imprese italiane che operano in settori considerati essenziali o importanti per l'economia e la società.

Il tema è urgente per una ragione concreta: ottobre 2026 è la scadenza operativa entro cui le organizzazioni soggette alla normativa devono aver completato la registrazione sulla piattaforma ACN (Agenzia per la Cybersicurezza Nazionale) e dimostrato la conformità ai requisiti tecnici e organizzativi previsti. Non si tratta di una scadenza lontana: considerando i tempi di analisi, pianificazione, implementazione e verifica, le aziende che non hanno ancora avviato il percorso rischiano di trovarsi in una situazione critica. Le sanzioni previste per i soggetti inadempienti possono arrivare fino a 10 milioni di euro o al 2% del fatturato annuo globale, a seconda della categoria di appartenenza.

In questo articolo ti spieghiamo in modo chiaro e pratico chi è coinvolto, quali sono gli obblighi concreti da rispettare, come strutturare un piano d'azione realistico per una PMI italiana e quali risorse sono disponibili per affrontare il percorso di conformità. L'obiettivo non è spaventare, ma fornire una bussola operativa per chi deve prendere decisioni nei prossimi mesi.

Chi sono i soggetti obbligati dalla NIS2: PMI italiane nel mirino della normativa

Uno degli aspetti più rilevanti della NIS2 rispetto alla direttiva precedente è l'ampliamento drastico del perimetro dei destinatari. La direttiva distingue tra soggetti essenziali e soggetti importanti, classificati in base al settore di attività, alle dimensioni aziendali e al fatturato. Sono coinvolti settori come energia, trasporti, banche, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, pubblica amministrazione e spazio — ma anche settori come servizi postali, gestione rifiuti, produzione e distribuzione di alimenti, industria manifatturiera e fornitori di servizi digitali.

Per quanto riguarda le dimensioni, la soglia generale prevede che rientrino nell'ambito di applicazione le medie imprese con almeno 50 dipendenti e un fatturato annuo superiore a 10 milioni di euro. Tuttavia, alcune categorie di organizzazioni sono incluse indipendentemente dalle dimensioni: è il caso dei fornitori di reti pubbliche di comunicazione elettronica, dei registrar di nomi di dominio e di alcune infrastrutture critiche.

Questo significa che una PMI italiana che produce componenti per il settore energetico, gestisce una piattaforma digitale B2B, opera come fornitore nella supply chain della sanità o gestisce sistemi di trasporto locale potrebbe essere pienamente soggetta agli obblighi NIS2. Il primo passo concreto è quindi verificare la propria posizione attraverso la piattaforma di registrazione ACN, attiva dall'aprile 2025, dove le organizzazioni devono auto-censirsi indicando il settore di appartenenza e le caratteristiche aziendali.

  • Settori ad alta probabilità di coinvolgimento per le PMI: fornitura di servizi IT e cloud, telecomunicazioni, logistica e trasporti, produzione industriale per settori critici, distribuzione di energia, sanità digitale
  • Criteri dimensionali generali: 50+ dipendenti e/o 10+ milioni di euro di fatturato annuo
  • Eccezioni dimensionali: alcune categorie sono incluse indipendentemente dalle dimensioni aziendali
  • Termine per la registrazione ACN: entro i termini stabiliti dal decreto attuativo, con aggiornamento entro il 28 febbraio di ogni anno successivo

Gli obblighi tecnici e organizzativi NIS2: cosa deve fare concretamente una PMI

La NIS2 non si limita a richiedere una dichiarazione formale di conformità: impone l'adozione di misure concrete di gestione del rischio di cybersicurezza, documentabili e verificabili. L'articolo 24 del D.Lgs. 138/2024 elenca in modo esplicito le aree di intervento obbligatorie, che riguardano sia gli aspetti tecnici sia quelli organizzativi e di governance.

Sul piano organizzativo, la normativa richiede che l'organo di amministrazione (il consiglio di amministrazione o l'amministratore unico, nel caso delle PMI) approvi le misure di gestione del rischio e sia formato sui temi della cybersecurity. Questo è un elemento spesso sottovalutato: non è sufficiente delegare tutto al responsabile IT interno o a un consulente esterno. La responsabilità ricade esplicitamente sul vertice aziendale, che deve dimostrare una comprensione adeguata dei rischi cyber a cui l'organizzazione è esposta.

Sul piano tecnico, le aree di intervento obbligatorie includono:

  • Analisi e gestione del rischio: mappatura degli asset informatici, identificazione delle minacce, valutazione dell'impatto potenziale e adozione di misure proporzionate
  • Politiche di sicurezza delle reti e dei sistemi informativi: procedure documentate per la gestione degli accessi, la protezione dei dati, la configurazione sicura dei sistemi
  • Gestione degli incidenti: procedure per rilevare, classificare, rispondere e notificare gli incidenti di sicurezza all'ACN entro 24 ore dalla scoperta (notifica preliminare) e 72 ore per la notifica completa
  • Continuità operativa e disaster recovery: piani documentati per garantire la ripresa delle attività in caso di incidente grave, con backup regolari e testati
  • Sicurezza della supply chain: valutazione dei rischi legati a fornitori e partner tecnologici, con clausole contrattuali di sicurezza
  • Autenticazione a più fattori (MFA): obbligatoria per l'accesso ai sistemi critici e alle reti aziendali
  • Crittografia: protezione dei dati sensibili in transito e a riposo
  • Formazione del personale: programmi di sensibilizzazione e aggiornamento continuo su temi di cybersecurity

Per una PMI con risorse limitate, l'approccio più efficace è partire da una gap analysis strutturata che confronta la situazione attuale con i requisiti normativi, per poi costruire un piano di adeguamento prioritizzato in base al livello di rischio effettivo.

Piano d'azione pratico per la conformità NIS2: le fasi da seguire entro ottobre 2026

Con meno di due anni alla scadenza operativa, le PMI italiane devono strutturare un piano d'azione realistico e per fasi. La buona notizia è che la normativa adotta un approccio basato sul rischio, il che significa che le misure richieste devono essere proporzionate alla dimensione e al profilo di rischio dell'organizzazione: non si pretende lo stesso livello di sofisticazione tecnica da una media impresa manifatturiera e da un operatore di infrastrutture critiche nazionali.

Un piano d'azione tipico per una PMI italiana si articola in cinque fasi principali:

  1. Fase 1 — Verifica dell'applicabilità (entro 30-60 giorni): analisi del settore di appartenenza, delle dimensioni aziendali e dei criteri di inclusione per determinare se e in quale categoria si ricade. Registrazione sulla piattaforma ACN se applicabile.
  2. Fase 2 — Gap analysis e inventario degli asset (entro 3-4 mesi): mappatura completa dei sistemi informatici, delle reti, dei dati trattati e dei fornitori tecnologici. Confronto con i requisiti NIS2 per identificare le lacune esistenti.
  3. Fase 3 — Definizione e approvazione del piano di adeguamento (entro 6 mesi): il vertice aziendale approva formalmente il piano con priorità, budget e responsabilità definite. Questo step è fondamentale per rispettare l'obbligo di coinvolgimento dell'organo di amministrazione.
  4. Fase 4 — Implementazione delle misure tecniche e organizzative (6-18 mesi): adozione delle soluzioni tecniche mancanti (MFA, sistemi di backup, soluzioni di monitoraggio), redazione delle policy di sicurezza, avvio dei programmi di formazione, revisione dei contratti con i fornitori.
  5. Fase 5 — Verifica, test e documentazione (ultimi 3-6 mesi prima della scadenza): test delle procedure di incident response, verifica dell'efficacia delle misure implementate, predisposizione della documentazione dimostrativa della conformità.

Un aspetto pratico spesso trascurato riguarda la gestione della supply chain digitale. Le PMI italiane tendono a dipendere da un ecosistema di fornitori di software, servizi cloud e supporto IT. La NIS2 richiede che questo ecosistema venga valutato dal punto di vista della sicurezza: è necessario verificare che i principali fornitori tecnologici abbiano a loro volta misure di sicurezza adeguate, inserendo clausole specifiche nei contratti e richiedendo documentazione sulle loro pratiche di sicurezza.

Risorse e supporto disponibili: ACN, voucher e consulenza specializzata per le PMI

Il percorso verso la conformità NIS2 non deve essere affrontato in completo isolamento. Esistono risorse istituzionali e strumenti di supporto che le PMI italiane possono utilizzare. L'Agenzia per la Cybersicurezza Nazionale (ACN) ha pubblicato linee guida specifiche per i soggetti NIS2, disponibili gratuitamente sul proprio sito istituzionale, che includono indicazioni metodologiche per la gestione del rischio e la redazione delle policy di sicurezza.

Sul fronte del supporto economico, il Piano Nazionale di Ripresa e Resilienza (PNRR) ha incluso misure per il rafforzamento della cybersecurity nelle PMI italiane, con particolare attenzione ai settori produttivi strategici. È consigliabile monitorare i bandi regionali e nazionali che periodicamente mettono a disposizione voucher e contributi a fondo perduto per investimenti in sicurezza informatica. Alcune Camere di Commercio e associazioni di categoria offrono inoltre sportelli di consulenza preliminare gratuita.

Per quanto riguarda gli standard tecnici di riferimento, la NIS2 riconosce esplicitamente l'utilizzo di framework internazionali come il NIST Cybersecurity Framework, l'ISO/IEC 27001 e il CIS Controls come strumenti validi per strutturare il percorso di conformità. Una PMI che decide di adottare la certificazione ISO 27001 si trova in una posizione molto favorevole rispetto ai requisiti NIS2, poiché i due framework condividono molti principi fondamentali.

  • Risorse gratuite ACN: linee guida NIS2, framework nazionale di cybersicurezza, piattaforma di registrazione
  • Standard di riferimento utili: ISO/IEC 27001, NIST CSF 2.0, CIS Controls v8
  • Supporto associativo: Confindustria, CNA, Confartigianato hanno attivato sportelli informativi NIS2
  • Formazione professionale: corsi di aggiornamento per CISO e responsabili IT riconosciuti da enti accreditati

Domande frequenti

La mia PMI ha meno di 50 dipendenti: sono escluso dalla NIS2?

Non necessariamente. Il criterio dimensionale (50+ dipendenti e 10+ milioni di fatturato) è la regola generale, ma esistono importanti eccezioni. Se la tua azienda opera come fornitore di servizi digitali, gestisce reti di comunicazione pubblica, è l'unico fornitore nazionale di un servizio essenziale, o fa parte di specifiche categorie di infrastrutture critiche, potrebbe essere inclusa indipendentemente dalle dimensioni. È indispensabile verificare la propria posizione sulla piattaforma ACN o con il supporto di un consulente specializzato, perché il rischio di escludersi erroneamente è tanto reale quanto quello di includere organizzazioni non soggette.

Cosa rischio se non mi adeguo entro ottobre 2026?

Le sanzioni previste dal D.Lgs. 138/2024 sono significative e differenziate per categoria. Per i soggetti essenziali, le sanzioni amministrative possono arrivare fino a 10 milioni di euro o al 2% del fatturato annuo mondiale totale, se superiore. Per i soggetti importanti, il limite è di 7 milioni di euro o l'1,4% del fatturato globale. Oltre alle sanzioni economiche, l'ACN ha poteri di vigilanza che includono ispezioni, richieste di audit e, nei casi più gravi, misure interdittive temporanee. Va sottolineato che la responsabilità personale degli organi di amministrazione è esplicitamente prevista dalla normativa.

Quanto costa adeguarsi alla NIS2 per una PMI italiana?

Il costo di adeguamento varia considerevolmente in base alla situazione di partenza dell'azienda, al settore di appartenenza e al livello di maturità tecnologica già raggiunto. Non esiste una cifra standard applicabile a tutte le PMI. Un'organizzazione che ha già adottato pratiche di sicurezza strutturate (backup regolari, MFA, policy documentate) dovrà affrontare investimenti prevalentemente per colmare lacune specifiche e formalizzare quanto già in essere. Un'azienda che parte da zero dovrà invece pianificare investimenti più significativi in tecnologia, consulenza e formazione. L'approccio più efficiente è partire da una gap analysis che permetta di identificare esattamente dove concentrare le risorse, evitando sprechi su aree già conformi.

La NIS2 riguarda anche la sicurezza fisica degli uffici o solo quella informatica?

La NIS2 è focalizzata sulla sicurezza delle reti e dei sistemi informativi, ma include anche la sicurezza fisica nella misura in cui questa influenza la sicurezza dei sistemi IT. Ad esempio, i controlli di accesso fisico ai server room, la protezione dei dispositivi dagli accessi non autorizzati e la gestione sicura degli spazi dove vengono trattati dati sensibili rientrano nell'ambito delle misure di sicurezza richieste. Non si tratta quindi solo di firewall e antivirus: la normativa adotta una visione olistica della sicurezza che comprende persone, processi e tecnologia.

Conclusione

La NIS2 rappresenta un cambiamento strutturale nel modo in cui le PMI italiane devono approcciarsi alla cybersecurity: non più una scelta opzionale o un costo da minimizzare, ma un obbligo normativo con scadenze precise e sanzioni concrete. La buona notizia è che le aziende che affrontano questo percorso con metodo non solo evitano le sanzioni, ma costruiscono una resilienza operativa che le protegge dai rischi cyber reali — rischi che, secondo i dati del Rapporto Clusit, continuano a crescere in frequenza e gravità anche nel contesto italiano.

Il tempo disponibile fino a ottobre 2026 è sufficiente per completare il percorso di adeguamento, ma solo se si inizia oggi. Ogni mese di ritardo riduce il margine di manovra e aumenta il rischio di dover affrontare interventi di emergenza più costosi e meno efficaci. La priorità immediata è verificare se la tua organizzazione è soggetta alla normativa e, in caso affermativo, avviare la registrazione ACN e la gap analysis.

Hai bisogno di supporto per capire se la tua PMI è soggetta alla NIS2 o per avviare il percorso di conformità? Contatta oggi stesso un esperto di cybersecurity specializzato in normativa NIS2 per le PMI italiane. Un primo assessment della tua situazione attuale ti permetterà di avere una visione chiara dei passi necessari, dei costi realistici e delle priorità da affrontare per arrivare alla scadenza di ottobre 2026 in una posizione di piena conformità — e con una sicurezza informatica concretamente più solida.