Il recepimento della Direttiva NIS2 in Italia, avvenuto con il Decreto Legislativo 138/2024, ha segnato un punto di svolta nella gestione della cybersecurity per migliaia di aziende italiane. Non si tratta più soltanto di grandi corporazioni o infrastrutture critiche nazionali: la nuova normativa europea allarga in modo significativo il perimetro dei soggetti obbligati, coinvolgendo anche molte piccole e medie imprese che operano in settori considerati essenziali o importanti per l'economia e la società. Per molti imprenditori italiani, questo rappresenta una novità assoluta che richiede attenzione immediata.

Il contesto in cui nasce questa normativa è tutt'altro che astratto. Secondo il Rapporto Clusit 2024, l'Italia è uno dei Paesi europei più colpiti da attacchi informatici, con una crescita degli incidenti gravi che ha riguardato in modo crescente anche le realtà di medie dimensioni. Le PMI, spesso prive di strutture IT dedicate e con budget limitati per la sicurezza, sono diventate bersagli privilegiati per i cybercriminali proprio perché rappresentano anelli deboli nelle catene di fornitura di aziende più grandi. La NIS2 nasce anche per rispondere a questa vulnerabilità sistemica.

In questo articolo analizziamo in modo pratico e concreto cosa prevede la normativa NIS2 per le PMI italiane, quali sono le scadenze operative del 2026, cosa rischiano gli amministratori in caso di inadempienza e soprattutto cosa fare fin da subito per avviare un percorso di adeguamento strutturato. L'obiettivo non è spaventare, ma fornire una mappa chiara per orientarsi in un panorama normativo complesso ma affrontabile con la giusta guida.

Chi sono i soggetti obbligati dalla NIS2: come capire se la tua PMI è coinvolta

La prima domanda che ogni imprenditore si pone è semplice: la mia azienda è davvero obbligata? La risposta richiede un'analisi attenta. La Direttiva NIS2, recepita in Italia, distingue tra soggetti essenziali e soggetti importanti, suddivisi sulla base del settore di attività e della dimensione aziendale. In linea generale, rientrano nell'ambito di applicazione le medie imprese (con almeno 50 dipendenti o un fatturato annuo superiore a 10 milioni di euro) che operano in specifici settori.

I settori ad alta criticità includono energia, trasporti, settore bancario e infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi ICT, pubblica amministrazione e spazio. I settori critici includono invece servizi postali, gestione dei rifiuti, produzione e distribuzione di prodotti chimici, produzione e distribuzione di alimenti, manifattura di dispositivi medici, produzione di computer e prodotti elettronici, fabbricazione di autoveicoli, fornitori di servizi digitali e ricerca. Una PMI metalmeccanica che fornisce componenti a un'azienda del settore automotive, o un'agenzia IT che gestisce sistemi di terzi, potrebbe trovarsi facilmente inclusa in questo perimetro.

  • Medie imprese (50-249 dipendenti, fatturato 10-50 milioni di euro) nei settori elencati: soggetti importanti
  • Grandi imprese (250+ dipendenti o fatturato superiore a 50 milioni) nei settori ad alta criticità: soggetti essenziali
  • Alcune piccole imprese possono essere incluse se svolgono ruoli critici specifici (es. fornitori unici di infrastrutture)
  • Le aziende devono effettuare l'autoregistrazione sulla piattaforma dell'ACN (Agenzia per la Cybersicurezza Nazionale)

È fondamentale comprendere che l'obbligo di registrazione non aspetta che qualcuno venga a bussare alla porta dell'azienda. È l'azienda stessa a dover verificare la propria posizione e procedere all'autoregistrazione nei termini previsti. Affidarsi a un professionista per questa valutazione iniziale può evitare errori costosi.

Gli obblighi concreti di sicurezza informatica previsti dalla NIS2

Una volta stabilito che la propria azienda rientra nel perimetro NIS2, è necessario capire cosa fare in concreto. La normativa non si limita a richiedere l'acquisto di un antivirus o l'installazione di un firewall: prevede l'adozione di un approccio strutturato e documentato alla gestione del rischio informatico. L'articolo 24 del D.Lgs. 138/2024 stabilisce che i soggetti obbligati devono adottare misure tecniche, operative e organizzative adeguate e proporzionate.

Tra le misure richieste rientrano in modo esplicito:

  • Politiche di analisi e gestione del rischio: identificazione sistematica delle minacce, valutazione degli impatti e definizione di contromisure proporzionate
  • Gestione degli incidenti: procedure documentate per rilevare, rispondere e notificare gli incidenti significativi all'ACN entro 24 ore dalla scoperta (notifica preliminare) e 72 ore per la notifica dettagliata
  • Continuità operativa e disaster recovery: piani di backup, ripristino dei sistemi e gestione delle crisi
  • Sicurezza della supply chain: valutazione dei rischi legati a fornitori e partner tecnologici, inclusi i contratti con provider cloud e MSP
  • Sicurezza nello sviluppo e acquisizione di sistemi: pratiche di security by design e gestione delle vulnerabilità
  • Formazione e consapevolezza: programmi di sensibilizzazione per dipendenti e figure apicali
  • Uso di crittografia: protezione dei dati sensibili in transito e a riposo
  • Autenticazione a più fattori (MFA): obbligatoria per l'accesso ai sistemi critici

Per una PMI manifatturiera con 80 dipendenti, questo si traduce, ad esempio, nel dotarsi di un piano di risposta agli incidenti scritto, nel condurre almeno una valutazione del rischio annuale documentata, nell'attivare l'MFA su tutti gli account aziendali e nel verificare i contratti con i propri fornitori IT per assicurarsi che anche loro rispettino standard di sicurezza adeguati. Non si tratta di interventi impossibili, ma richiedono pianificazione e competenze specifiche.

Scadenze NIS2 2026: il calendario operativo che ogni PMI deve conoscere

La gestione del tempo è uno degli aspetti più critici dell'adeguamento NIS2. Il Decreto Legislativo 138/2024 ha fissato un calendario preciso che le aziende non possono ignorare. È importante sottolineare che alcune scadenze sono già operative, mentre altre sono attese nel corso del 2025 e 2026, rendendo urgente avviare il processo di adeguamento senza ulteriori ritardi.

Il quadro temporale principale prevede che la registrazione sulla piattaforma ACN sia il primo passo obbligatorio. L'ACN ha progressivamente aperto la piattaforma di registrazione e le aziende che rientrano nel perimetro devono completare questa procedura entro i termini comunicati dall'Agenzia stessa. Successivamente, l'ACN notifica formalmente all'azienda la propria inclusione nell'elenco dei soggetti obbligati, avviando il conteggio dei termini per l'adeguamento alle misure di sicurezza.

  • Registrazione ACN: primo obbligo operativo, da completare appena verificato il proprio perimetro
  • Adeguamento alle misure di sicurezza: i soggetti inclusi nell'elenco ACN hanno tipicamente 18 mesi dalla notifica per completare l'adeguamento
  • Obbligo di notifica incidenti: operativo da subito per i soggetti già notificati (24h notifica preliminare, 72h notifica dettagliata, 30 giorni rapporto finale)
  • Revisione periodica: le misure adottate devono essere rivalutate almeno annualmente

Il consiglio pratico per ogni PMI è di non aspettare le notifiche ufficiali per iniziare a lavorare. Avviare oggi una gap analysis — ovvero un'analisi dello scarto tra la situazione attuale e quanto richiesto dalla normativa — permette di distribuire gli interventi nel tempo, razionalizzare gli investimenti e arrivare alle scadenze con maggiore serenità. Chi aspetta l'ultimo momento si troverà a fare tutto in fretta, con costi più elevati e rischi di errori.

Responsabilità degli amministratori e sanzioni: cosa rischiano concretamente

Uno degli aspetti più innovativi e impattanti della NIS2 riguarda la responsabilità personale degli organi di amministrazione. Per la prima volta in modo così esplicito, la normativa europea stabilisce che i vertici aziendali non possono delegare completamente la cybersecurity al reparto IT o a fornitori esterni e poi lavarsene le mani. Gli amministratori devono approvare le misure di gestione del rischio, supervisionarne l'attuazione e rispondere direttamente in caso di inadempienza.

L'articolo 23 del D.Lgs. 138/2024 prevede che gli organi di amministrazione e direttivi dei soggetti essenziali e importanti debbano seguire una formazione specifica in materia di cybersecurity e garantire che anche il personale riceva un'adeguata formazione. In caso di violazione grave degli obblighi, l'ACN può applicare sanzioni amministrative significative. Per i soggetti essenziali, le sanzioni possono arrivare fino a 10 milioni di euro o al 2% del fatturato mondiale annuo (si applica il massimo tra i due valori). Per i soggetti importanti, il tetto è di 7 milioni di euro o l'1,4% del fatturato mondiale.

Ma le conseguenze non si limitano alle sanzioni economiche. L'ACN può disporre misure più severe nei confronti dei soggetti inadempienti, tra cui:

  • Sospensione temporanea delle certificazioni o autorizzazioni relative ai servizi forniti
  • Divieto temporaneo per le persone fisiche responsabili di ricoprire funzioni dirigenziali
  • Pubblicazione delle violazioni accertate (con effetti reputazionali potenzialmente devastanti)
  • Obblighi di audit straordinari a spese dell'azienda inadempiente

Per un amministratore di una PMI italiana, la lezione è chiara: la cybersecurity non è più una questione esclusivamente tecnica da delegare al responsabile IT. È diventata una responsabilità di governance, al pari della compliance fiscale o della sicurezza sul lavoro. Ignorarla non è un'opzione praticabile.

Domande frequenti

Una piccola impresa con meno di 50 dipendenti è esclusa dalla NIS2?

In linea generale, le micro e piccole imprese (sotto i 50 dipendenti e con fatturato inferiore a 10 milioni di euro) sono escluse dall'applicazione della NIS2. Tuttavia esistono eccezioni importanti: alcune piccole imprese che svolgono attività considerate critiche per la sicurezza nazionale, che sono fornitori unici di servizi essenziali, o che rientrano in specifiche categorie indicate dall'ACN, possono comunque essere incluse nel perimetro. È quindi consigliabile verificare caso per caso, anche per le realtà più piccole, soprattutto se operano come fornitori di aziende soggette alla normativa.

Cosa succede se la mia azienda non si registra sulla piattaforma ACN nei tempi previsti?

La mancata registrazione costituisce già di per sé una violazione degli obblighi NIS2 e può comportare l'avvio di procedimenti sanzionatori da parte dell'ACN. Oltre alle sanzioni economiche, la mancata registrazione impedisce all'azienda di essere correttamente classificata e può creare problemi anche nei rapporti commerciali con clienti e partner che richiedono garanzie di conformità normativa. È fortemente consigliabile procedere alla verifica del proprio perimetro e alla registrazione quanto prima, con il supporto di un consulente specializzato.

Posso affidarmi completamente a un fornitore esterno di servizi IT per adempiere alla NIS2?

Affidarsi a fornitori specializzati — come MSSP (Managed Security Service Provider) o consulenti di cybersecurity — è una scelta intelligente e spesso necessaria per le PMI. Tuttavia, la NIS2 chiarisce che la responsabilità ultima resta in capo all'azienda e ai suoi amministratori, non può essere trasferita contrattualmente a terzi. Il fornitore esterno può implementare le misure tecniche, gestire i sistemi e supportare la governance, ma l'organo amministrativo deve approvare formalmente le politiche di sicurezza, supervisionarne l'applicazione e mantenere consapevolezza dei rischi. La formazione degli amministratori rimane un obbligo non delegabile.

Quanto costa adeguarsi alla NIS2 per una PMI italiana?

Non esiste un costo fisso valido per tutte le realtà: dipende dal livello di maturità di sicurezza già raggiunto, dalla dimensione e complessità dell'infrastruttura IT, dal settore di appartenenza e dagli interventi necessari. Un percorso di adeguamento per una PMI di medie dimensioni può comprendere costi per la gap analysis iniziale, l'implementazione di strumenti tecnici (firewall di nuova generazione, sistemi di monitoraggio, backup avanzati), la formazione del personale e la redazione della documentazione necessaria. Investire in prevenzione oggi è sistematicamente meno costoso che gestire le conseguenze di un incidente non gestito o di una sanzione regolatoria.

Conclusione

L'adeguamento alla Direttiva NIS2 rappresenta una sfida concreta per le PMI italiane, ma anche un'opportunità per strutturare la cybersecurity in modo maturo e sostenibile. Le aziende che affrontano questo percorso con serietà non solo evitano sanzioni e responsabilità legali, ma migliorano la propria resilienza operativa, rafforzano la fiducia dei clienti e si posizionano meglio sul mercato rispetto ai concorrenti meno attenti alla sicurezza.

Il tempo per iniziare è adesso. Le scadenze si avvicinano, i rischi sono reali e la complessità normativa richiede competenze specifiche che raramente si trovano all'interno di una PMI tradizionale. Contatta oggi stesso un esperto di cybersecurity e compliance NIS2: una prima consulenza può fare la differenza tra un adeguamento ordinato e un'emergenza costosa. Non aspettare che sia l'ACN a contattare te: prenditi l'iniziativa e trasforma un obbligo normativo in un vantaggio competitivo concreto per la tua azienda.