La direttiva NIS2 (Network and Information Security 2) rappresenta oggi una delle sfide normative più significative per il tessuto imprenditoriale italiano. Entrata in vigore a livello europeo nell'ottobre 2022 e recepita in Italia con il Decreto Legislativo 4 settembre 2024, n. 138, questa normativa amplia in modo sostanziale il perimetro dei soggetti obbligati rispetto alla precedente direttiva NIS, coinvolgendo per la prima volta in modo esplicito migliaia di piccole e medie imprese che operano in settori considerati critici per l'economia e la sicurezza nazionale.

Per molti imprenditori italiani, il termine "cybersicurezza" evoca ancora scenari lontani dalla propria realtà quotidiana, associati a grandi banche o infrastrutture statali. Questa percezione è oggi profondamente errata e potenzialmente dannosa. Secondo il Rapporto Clusit 2024, l'Italia è tra i Paesi europei maggiormente colpiti da attacchi informatici, con una crescita costante degli incidenti che coinvolgono aziende di medie dimensioni. Le PMI, spesso prive di strutture IT dedicate, sono diventate il bersaglio preferito dei cybercriminali proprio perché rappresentano l'anello più debole delle catene di fornitura digitale.

Il 2026 si avvicina rapidamente e con esso le prime scadenze operative concrete previste dalla normativa italiana. Le aziende che non si adeguano rischiano non solo pesanti sanzioni amministrative, ma soprattutto l'esclusione da contratti con grandi committenti pubblici e privati che, a loro volta obbligati dalla NIS2, dovranno garantire la conformità dell'intera propria catena di fornitura. In questo articolo analizziamo in modo pratico cosa devono fare concretamente le PMI italiane, entro quando e perché non agire non è un'opzione.

Chi sono i soggetti obbligati dalla NIS2: anche le PMI rientrano nel perimetro

Una delle novità più rilevanti della NIS2 rispetto alla precedente normativa è l'ampliamento drastico dei settori e delle dimensioni aziendali coinvolte. La direttiva distingue tra soggetti essenziali e soggetti importanti, una classificazione che determina il livello di supervisione e l'entità delle sanzioni applicabili.

I settori ad alta criticità (allegato I del decreto) includono energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, settore sanitario, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi ICT, pubblica amministrazione e spazio. I settori critici (allegato II) aggiungono servizi postali, gestione dei rifiuti, produzione e distribuzione di sostanze chimiche, produzione e distribuzione di alimenti, produzione di dispositivi medici, produzione di computer e prodotti elettronici, produzione di macchinari, produzione di autoveicoli, fornitori digitali.

In termini dimensionali, la soglia generale prevede l'inclusione di aziende con almeno 50 dipendenti oppure un fatturato o bilancio annuo superiore a 10 milioni di euro, purché operino nei settori indicati. Tuttavia, esistono eccezioni importanti: alcune tipologie di aziende, indipendentemente dalle dimensioni, possono essere incluse se la loro interruzione avrebbe un impatto significativo sulla sicurezza pubblica o sull'economia. È quindi fondamentale che ogni PMI verifichi la propria posizione, poiché l'Agenzia per la Cybersicurezza Nazionale (ACN) ha il compito di notificare ai soggetti obbligati la loro inclusione nel registro.

  • Soggetti essenziali: grandi operatori nei settori ad alta criticità, sottoposti a supervisione proattiva e sanzioni fino al 2% del fatturato globale annuo
  • Soggetti importanti: medie imprese nei settori critici, supervisione reattiva e sanzioni fino all'1,4% del fatturato globale annuo
  • Micro e piccole imprese: generalmente escluse, salvo eccezioni specifiche legate al ruolo nella catena di fornitura critica

Gli obblighi concreti di sicurezza: cosa deve fare una PMI per essere conforme

La NIS2 non si limita a dichiarazioni di principio, ma impone misure tecniche e organizzative specifiche che le aziende devono implementare. L'articolo 24 del Decreto Legislativo 138/2024 elenca con precisione le categorie di misure obbligatorie, e la loro implementazione richiede un approccio strutturato che va ben oltre l'installazione di un antivirus.

Il cuore della conformità è l'adozione di un approccio basato sul risk management: ogni azienda deve effettuare una valutazione del rischio informatico riferita alla propria realtà, identificare le vulnerabilità nei propri sistemi e processi, e implementare controlli proporzionati. Non esiste un unico standard prescritto, ma framework come ISO/IEC 27001 o il Framework Nazionale per la Cybersecurity di ACN rappresentano riferimenti pratici riconosciuti.

Le misure minime obbligatorie comprendono:

  • Politiche di sicurezza delle informazioni: documenti formali che definiscono come l'azienda gestisce la sicurezza dei dati e dei sistemi
  • Gestione degli incidenti: procedure documentate per rilevare, rispondere e notificare gli incidenti di sicurezza significativi entro 24 ore per la segnalazione preliminare e 72 ore per la notifica completa all'ACN
  • Continuità operativa e backup: piani di disaster recovery e procedure di backup verificate e testate periodicamente
  • Sicurezza della catena di approvvigionamento: valutazione e contratto con fornitori e partner che garantiscano standard minimi di sicurezza
  • Sicurezza nell'acquisizione, sviluppo e manutenzione dei sistemi: controlli sulla sicurezza del software e delle infrastrutture tecnologiche
  • Formazione del personale: programmi di sensibilizzazione e formazione sulla cybersicurezza per tutti i dipendenti, non solo per il personale IT
  • Autenticazione multifattore (MFA): implementazione obbligatoria per l'accesso ai sistemi critici
  • Crittografia: utilizzo di protocolli crittografici aggiornati per la protezione dei dati in transito e a riposo

Un aspetto spesso sottovalutato riguarda la responsabilità degli organi di amministrazione: la NIS2 stabilisce esplicitamente che i consigli di amministrazione e i dirigenti apicali sono personalmente responsabili dell'approvazione e supervisione delle misure di sicurezza. Questo significa che un amministratore delegato di una PMI soggetta alla direttiva non può delegare completamente la responsabilità al reparto IT o a un consulente esterno.

Scadenze operative 2025-2026: il calendario che ogni PMI deve conoscere

Il decreto italiano di recepimento ha definito un calendario di adempimenti progressivi che le aziende devono seguire con attenzione. La prima scadenza critica riguarda la registrazione sulla piattaforma ACN: i soggetti che ritengono di rientrare nel perimetro NIS2 devono completare l'auto-registrazione sul portale dell'Agenzia per la Cybersicurezza Nazionale entro i termini comunicati dall'ACN stessa, con comunicazioni ufficiali già avviate nel 2024.

Il processo di adeguamento prevede fasi distinte:

  1. Fase di identificazione e registrazione (2024-2025): verifica dell'appartenenza al perimetro, completamento della registrazione sulla piattaforma ACN, prima analisi del gap di sicurezza rispetto ai requisiti NIS2
  2. Fase di implementazione (2025-2026): adozione delle misure tecniche e organizzative, formazione del personale, definizione delle procedure di incident reporting
  3. Fase di piena operatività (dal 2026): sistema di gestione della sicurezza pienamente operativo, supervisione attiva da parte di ACN, applicazione delle sanzioni in caso di non conformità

È importante sottolineare che l'ACN ha il potere di condurre ispezioni e audit anche senza preavviso nei confronti dei soggetti essenziali. Per i soggetti importanti, l'approccio è reattivo, ma un incidente significativo non gestito correttamente o una notifica tardiva possono innescare procedure sanzionatorie. Le PMI che attendono l'ultimo momento si trovano tipicamente di fronte a costi di adeguamento molto più elevati rispetto a quelle che pianificano con anticipo.

Il rischio supply chain: perché anche le PMI non direttamente obbligate devono adeguarsi

Forse il rischio più insidioso per le PMI italiane non è quello delle sanzioni dirette, ma quello dell'esclusione dalla catena di fornitura. La NIS2 obbliga esplicitamente i soggetti essenziali e importanti a valutare e gestire i rischi di sicurezza derivanti dai propri fornitori e partner. Questo significa che un'azienda manifatturiera di medie dimensioni, fornitore di un grande operatore del settore energetico o automobilistico, dovrà dimostrare di soddisfare determinati standard di sicurezza informatica per mantenere il proprio contratto.

Questo meccanismo crea un effetto a cascata che coinvolge anche PMI tecnicamente escluse dal perimetro NIS2. Un'azienda con 30 dipendenti che fornisce software gestionale a un ospedale, o una piccola impresa logistica che serve un'azienda farmaceutica, potrebbe trovarsi a dover rispondere a questionari di sicurezza dettagliati, a dover certificare i propri processi o a dover accettare clausole contrattuali sulla cybersicurezza pena la perdita del contratto.

Esempi pratici di richieste che le grandi aziende stanno già iniziando a rivolgere ai propri fornitori:

  • Dimostrazione dell'adozione di una politica di sicurezza delle informazioni documentata
  • Prova di esecuzione di vulnerability assessment periodici sui sistemi utilizzati per interagire con il committente
  • Clausole contrattuali sulla notifica obbligatoria degli incidenti che potrebbero impattare il committente entro tempi definiti
  • Richiesta di certificazioni come ISO 27001 o equivalenti come condizione per la qualificazione come fornitore
  • Audit di sicurezza eseguiti direttamente dal committente o da terze parti indipendenti

Questo scenario è già una realtà in molti settori, e non riguarda solo le aziende italiane: si tratta di un fenomeno europeo che sta ridisegnando le regole del gioco della supply chain digitale. Le PMI che si adeguano per tempo non solo evitano rischi, ma acquisiscono un vantaggio competitivo concreto nei confronti dei concorrenti meno strutturati.

Domande frequenti

Come faccio a sapere se la mia PMI è soggetta alla NIS2?

Il primo passo è verificare se la propria attività rientra nei settori elencati negli allegati I e II del Decreto Legislativo 138/2024 e se l'azienda supera le soglie dimensionali previste (almeno 50 dipendenti o fatturato/bilancio superiore a 10 milioni di euro). Tuttavia, poiché esistono eccezioni e situazioni particolari, il metodo più sicuro è accedere alla piattaforma ufficiale dell'ACN (acn.gov.it) dove sono disponibili strumenti di auto-valutazione, oppure consultare un consulente specializzato in conformità NIS2. È importante non attendere una comunicazione proattiva da parte delle autorità: la responsabilità della verifica è in primo luogo del soggetto stesso.

Quali sono le sanzioni concrete per chi non si adegua?

Le sanzioni previste dalla normativa italiana sono significative. I soggetti essenziali rischiano sanzioni amministrative fino al 2% del fatturato mondiale annuo totale o, se superiore, fino a 10 milioni di euro. I soggetti importanti rischiano sanzioni fino all'1,4% del fatturato mondiale annuo o fino a 7 milioni di euro. Oltre alle sanzioni pecuniarie, l'ACN può disporre misure cautelari come la sospensione temporanea delle certificazioni o autorizzazioni, e nei casi più gravi i dirigenti responsabili possono essere interdetti dall'esercizio di funzioni manageriali. Va sottolineato che le sanzioni si applicano non solo alla mancata implementazione delle misure, ma anche alla mancata notifica degli incidenti entro i termini previsti.

Quanto costa adeguarsi alla NIS2 per una PMI?

Non esiste un costo standard perché dipende molto dalla situazione di partenza dell'azienda, dal settore e dalla complessità dell'infrastruttura IT. In linea generale, una PMI che parte da zero può aspettarsi investimenti che vanno da poche migliaia di euro per le realtà più semplici (principalmente per consulenza, formazione e strumenti base) fino a investimenti più significativi per aziende con infrastrutture complesse o che necessitano di certificazioni formali. L'approccio più efficace in termini di costi è procedere per fasi, partendo da una gap analysis che identifichi le priorità, e sfruttare eventuali incentivi fiscali disponibili per gli investimenti in cybersicurezza. In ogni caso, il costo dell'adeguamento è quasi sempre inferiore al costo medio di una violazione di sicurezza o alla perdita di un contratto strategico.

La NIS2 si applica anche alle aziende che usano solo software in cloud o servizi SaaS?

Sì, l'utilizzo di servizi cloud o SaaS non esime dall'obbligo di conformità. Anzi, la NIS2 dedica particolare attenzione alla sicurezza della catena di approvvigionamento digitale. Le aziende soggette alla direttiva devono valutare i rischi associati ai propri fornitori di servizi cloud, verificare le clausole contrattuali relative alla sicurezza, e assicurarsi che i fornitori rispettino standard adeguati. Questo significa che anche una PMI che ha esternalizzato completamente la propria infrastruttura IT deve eseguire una due diligence sui propri fornitori cloud e includere requisiti di sicurezza specifici nei contratti di servizio. La responsabilità finale della sicurezza rimane in capo all'azienda cliente, non al fornitore di servizi.

Conclusione

La NIS2 non è una formalità burocratica da rimandare: è una trasformazione strutturale del modo in cui le aziende italiane devono approcciare la sicurezza informatica. Per le PMI, il messaggio è chiaro: che si rientri direttamente nel perimetro normativo o che si operi come fornitore di aziende soggette agli obblighi, ignorare la cybersicurezza significa mettere a rischio non solo i propri dati, ma l'intera continuità del business e le relazioni commerciali costruite nel tempo.

Le scadenze del 2026 si stanno avvicinando rapidamente e, come in ogni processo di adeguamento normativo, le aziende che agiscono per tempo avranno costi inferiori, meno stress operativo e un vantaggio competitivo reale sul mercato. Al contrario, chi aspetterà l'ultimo momento si troverà a competere per le stesse risorse di consulenza con migliaia di altre aziende in ritardo, con prezzi più alti e tempi più stretti.

Non aspettare che sia un cliente, un'ispezione o un incidente informatico a costringerti ad agire. Contatta oggi stesso un esperto di cybersicurezza qualificato per effettuare una prima valutazione della tua situazione rispetto alla NIS2: un'analisi del gap iniziale ti permetterà di capire esattamente dove si trova la tua azienda, cosa devi fare e in quanto tempo, con un piano d'azione proporzionato alle tue reali esigenze e al tuo budget. Investire nella sicurezza informatica oggi significa proteggere il lavoro di domani.