La Direttiva NIS2 (Network and Information Security 2) rappresenta oggi una delle sfide normative più significative per le imprese italiane. Recepita in Italia con il Decreto Legislativo n. 138 del 4 settembre 2023, questa normativa europea estende in modo sostanziale il perimetro della sicurezza informatica obbligatoria, coinvolgendo migliaia di aziende che fino a ieri non erano tenute a rispettare alcun obbligo strutturato in materia di cybersecurity. Il 2026 segna una svolta concreta: le scadenze operative si avvicinano e le PMI italiane non possono più permettersi di ignorare questo tema.

Il contesto è preoccupante. Secondo il Rapporto Clusit 2024, l'Italia è uno dei paesi europei maggiormente colpiti dagli attacchi informatici, con un incremento significativo degli incidenti gravi negli ultimi anni, molti dei quali hanno avuto come bersaglio proprio le piccole e medie imprese. Le PMI sono spesso percepite come anelli deboli nella catena della sicurezza, sia come obiettivi diretti sia come vettori di attacco verso clienti e fornitori più grandi. La NIS2 nasce proprio per innalzare il livello di resilienza dell'intero ecosistema produttivo europeo.

Per molti imprenditori e amministratori italiani, tuttavia, la normativa appare ancora nebulosa e lontana dalla quotidianità aziendale. Questo articolo ha l'obiettivo di fare chiarezza: chi è soggetto agli obblighi NIS2, cosa deve concretamente fare, entro quando, e quali sono le conseguenze personali e aziendali in caso di inadempienza. Perché sì — a differenza di molte normative passate — la NIS2 prevede responsabilità dirette in capo agli organi di amministrazione, con sanzioni che possono toccare i singoli dirigenti.

Chi sono i soggetti obbligati dalla NIS2 in Italia: settori e soglie dimensionali

La prima domanda che ogni imprenditore dovrebbe porsi è: la mia azienda rientra nel perimetro NIS2? La normativa divide i soggetti obbligati in due categorie principali: i soggetti essenziali e i soggetti importanti. La distinzione dipende dal settore di attività e dalla dimensione aziendale.

I settori ad alta criticità (allegato I del D.Lgs. 138/2023) includono energia, trasporti, settore bancario e infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi ICT, pubblica amministrazione e spazio. I settori critici (allegato II) comprendono servizi postali e di corriere, gestione dei rifiuti, fabbricazione di sostanze chimiche, produzione e distribuzione di alimenti, fabbricazione di dispositivi medici, informatica ed elettronica, ingegneria meccanica, autoveicoli, e fornitori di servizi digitali come marketplace e motori di ricerca.

Dal punto di vista dimensionale, rientrano negli obblighi le imprese con almeno 50 dipendenti oppure con un fatturato annuo o totale di bilancio superiore a 10 milioni di euro, che operino nei settori sopra citati. Esistono tuttavia eccezioni importanti: alcune tipologie di soggetti sono incluse indipendentemente dalle dimensioni, come i fornitori di reti pubbliche di comunicazione elettronica, i registrar di nomi di dominio, e alcune infrastrutture critiche nazionali. È quindi fondamentale che ogni PMI verifichi attentamente la propria posizione, possibilmente con il supporto di un consulente specializzato.

  • Soggetti essenziali: grandi operatori nei settori ad alta criticità (energia, trasporti, sanità, ecc.) con più di 250 dipendenti o fatturato superiore a 50 milioni di euro
  • Soggetti importanti: medie imprese nei settori ad alta criticità e grandi/medie imprese nei settori critici
  • Eccezioni dimensionali: alcune categorie sono obbligate a prescindere dalla dimensione

Obblighi concreti NIS2: cosa deve fare operativamente una PMI italiana

Una volta accertato di rientrare nel perimetro normativo, l'impresa deve affrontare una serie di adempimenti operativi concreti. La NIS2 non si limita a richiedere generiche misure di sicurezza, ma impone un approccio strutturato e documentato alla gestione del rischio informatico. Il punto di partenza è la registrazione presso l'ACN (Agenzia per la Cybersicurezza Nazionale), l'autorità competente italiana designata per l'attuazione della direttiva.

Le misure tecniche e organizzative obbligatorie comprendono aree ben definite. In primo luogo, le aziende devono adottare una politica di analisi del rischio e di sicurezza dei sistemi informatici, documentando le minacce identificate e le misure adottate per mitigarle. È richiesta la gestione della continuità operativa, che include piani di business continuity e di disaster recovery testati e aggiornati. La sicurezza della catena di approvvigionamento — ovvero la verifica della postura di sicurezza di fornitori e partner — è un altro pilastro fondamentale, particolarmente rilevante per le PMI che operano come subfornitori di grandi gruppi.

Sul piano pratico, un'azienda manifatturiera con 80 dipendenti che produce componentistica per il settore automotive dovrebbe, ad esempio: mappare tutti i propri sistemi informatici critici, nominare un referente interno per la cybersecurity, stipulare clausole contrattuali di sicurezza con i propri fornitori IT, implementare l'autenticazione a più fattori sui sistemi aziendali, e predisporre un piano di risposta agli incidenti. Non si tratta di misure astratte ma di azioni concrete e verificabili.

  • Analisi e gestione del rischio informatico documentata
  • Politiche di sicurezza fisica e logica dei sistemi
  • Gestione degli incidenti e procedure di notifica
  • Continuità operativa: backup, disaster recovery, crisis management
  • Sicurezza della supply chain e dei fornitori di servizi ICT
  • Formazione del personale e sensibilizzazione sulla cybersecurity
  • Uso di crittografia e, se del caso, cifratura dei dati
  • Autenticazione multi-fattore e sicurezza degli accessi

Scadenze NIS2 per le PMI italiane: il calendario degli adempimenti 2024-2026

Il recepimento italiano della NIS2 ha definito un calendario progressivo degli adempimenti che le imprese devono conoscere con precisione. La confusione sulle date è uno degli errori più comuni tra gli imprenditori italiani, e rischia di tradursi in inadempimenti formali con conseguenze sanzionatorie anche in assenza di incidenti reali.

Il processo di registrazione sulla piattaforma ACN ha avuto inizio nel 2024, con la pubblicazione del portale dedicato. Le aziende che rientrano nel perimetro sono tenute a completare la registrazione secondo le tempistiche comunicate dall'ACN stessa, che ha operato per fasi in base ai settori di appartenenza. Entro il 31 marzo 2025 doveva essere completata la prima fase di registrazione per i soggetti già identificati. Il 2026 rappresenta l'anno in cui gli obblighi operativi diventano pienamente esigibili e le ispezioni dell'autorità competente possono avere pieno effetto sanzionatorio.

È importante sottolineare che l'ACN ha il potere di condurre attività di supervisione, ispezioni e audit per verificare la conformità. Per i soggetti importanti, le ispezioni sono prevalentemente ex post (successive a un incidente o a una segnalazione), mentre per i soggetti essenziali possono essere anche preventive. Le PMI che si trovano nella categoria dei soggetti importanti non devono però abbassare la guardia: un incidente non gestito correttamente espone comunque al rischio di sanzioni pesanti.

  • 2024: avvio registrazione ACN per i soggetti identificati, prima fase
  • 31 marzo 2025: completamento registrazione prima fase
  • 2025-2026: implementazione misure tecniche e organizzative obbligatorie
  • 2026: piena esigibilità degli obblighi e regime sanzionatorio a regime

Sanzioni NIS2 e responsabilità personale degli amministratori: cosa rischia davvero chi non si adegua

Questo è probabilmente l'aspetto che più colpisce — e preoccupa giustamente — gli imprenditori italiani. La NIS2 introduce un elemento di responsabilità personale diretta per i membri degli organi di amministrazione, una novità di assoluto rilievo rispetto alla precedente normativa sulla sicurezza informatica. Non è più sufficiente delegare tutto al responsabile IT: chi governa l'azienda è chiamato a rispondere in prima persona.

Le sanzioni amministrative pecuniarie previste dalla normativa italiana di recepimento sono di notevole entità. Per i soggetti essenziali, le violazioni degli obblighi di sicurezza possono comportare sanzioni fino a 10 milioni di euro o al 2% del fatturato mondiale annuo (si applica il valore più alto). Per i soggetti importanti, il massimo è di 7 milioni di euro o l'1,4% del fatturato mondiale annuo. Si tratta di cifre che per una PMI italiana possono essere devastanti.

Ma la vera novità è la responsabilità degli organi di vertice. Il D.Lgs. 138/2023 prevede che gli organi di amministrazione e direttivi debbano approvare le misure di gestione del rischio di cybersicurezza, sovrintendere alla loro attuazione e possano essere ritenuti personalmente responsabili in caso di violazioni. L'ACN può inoltre disporre la sospensione temporanea dalle funzioni direttive per i responsabili persone fisiche dei soggetti essenziali che abbiano commesso violazioni gravi e reiterate. Per un amministratore delegato o un socio-manager di una PMI, questo significa che la cybersecurity non può più essere considerata solo un problema tecnico del reparto IT.

  • Sanzioni fino a 10 milioni di euro o 2% fatturato per soggetti essenziali
  • Sanzioni fino a 7 milioni di euro o 1,4% fatturato per soggetti importanti
  • Responsabilità personale degli organi di amministrazione
  • Possibile sospensione temporanea dalle funzioni direttive
  • Obbligo di notifica degli incidenti significativi entro 24 ore (preallarme) e 72 ore (notifica completa)

Domande frequenti

La mia PMI ha 60 dipendenti e produce componenti plastici per l'industria: sono soggetto alla NIS2?

Dipende dal settore specifico e dalla classificazione delle attività. La produzione di materie plastiche rientra generalmente nel settore della fabbricazione chimica o della produzione industriale generale, che può essere incluso nell'allegato II della direttiva. Con 60 dipendenti, potreste rientrare nella soglia delle medie imprese. Il consiglio è di verificare il proprio codice ATECO e confrontarlo con gli allegati del D.Lgs. 138/2023, o di consultare direttamente la piattaforma ACN o un consulente specializzato. Non dare per scontato di non rientrare nel perimetro è la regola principale.

Cosa succede se non mi registro sull'ACN entro le scadenze previste?

La mancata registrazione è già di per sé una violazione degli obblighi NIS2 e può comportare sanzioni amministrative. Inoltre, non essere registrati non significa essere esenti dagli obblighi: se la vostra azienda rientra nel perimetro, gli obblighi si applicano indipendentemente dalla registrazione. L'ACN può identificare d'ufficio i soggetti obbligati attraverso le proprie attività di censimento. Registrarsi tempestivamente è quindi sia un obbligo formale sia una tutela per l'imprenditore, in quanto avvia il dialogo con l'autorità competente.

Devo assumere un CISO o un responsabile della cybersecurity dedicato?

La normativa non impone esplicitamente la figura del CISO (Chief Information Security Officer) per tutte le organizzazioni, ma richiede che le misure di sicurezza siano gestite e supervisionate in modo strutturato dall'organo di amministrazione. Nelle PMI, questa responsabilità può essere assegnata a una figura interna esistente (ad esempio il responsabile IT) adeguatamente formata, oppure affidata a un CISO esterno o un consulente di sicurezza. L'importante è che vi sia una governance documentata e che l'organo amministrativo sia informato e coinvolto nelle decisioni di sicurezza.

La NIS2 si sovrappone al GDPR? Devo gestire due conformità separate?

NIS2 e GDPR sono normative distinte con obiettivi parzialmente sovrapposti ma non identici. Il GDPR si concentra sulla protezione dei dati personali, mentre la NIS2 riguarda la sicurezza delle reti e dei sistemi informativi in senso più ampio. Detto questo, molte misure di sicurezza richieste dalla NIS2 sono coerenti con quanto già previsto dal GDPR, e una buona parte del lavoro già fatto per la conformità al regolamento europeo sulla privacy può essere valorizzato anche nell'ambito NIS2. Un approccio integrato alla compliance, che consideri entrambe le normative insieme, è generalmente la strada più efficiente per le PMI, sia in termini di costi che di organizzazione interna.

Conclusione

La NIS2 non è un'opzione, né una formalità burocratica da rimandare: è un obbligo di legge con scadenze concrete, sanzioni significative e — fatto inedito — con responsabilità dirette in capo agli amministratori aziendali. Per le PMI italiane che rientrano nel perimetro, il 2026 rappresenta un punto di non ritorno. Aspettare significa accumulare ritardo su adempimenti che richiedono tempo, risorse e competenze specialistiche per essere implementati correttamente.

La buona notizia è che adeguarsi alla NIS2 non significa solo evitare sanzioni: significa costruire un'infrastruttura di sicurezza più solida, proteggere il proprio business dagli attacchi informatici, rafforzare la fiducia di clienti e partner, e posizionarsi meglio sul mercato. In un contesto dove la cybersecurity è sempre più un fattore competitivo, le PMI che si adeguano per tempo trasformano un obbligo normativo in un vantaggio concreto.

Non aspettare che sia troppo tardi. Se non hai ancora verificato se la tua azienda rientra nel perimetro NIS2, se non sai da dove iniziare, o se hai già avviato il percorso ma hai bisogno di supporto tecnico e legale per completarlo correttamente, contatta oggi stesso un esperto IT specializzato in cybersecurity e compliance normativa. Un consulente qualificato può aiutarti a fare un'analisi del gap, pianificare gli interventi necessari e accompagnarti verso la piena conformità in modo efficiente e sostenibile per la tua realtà aziendale.