La Direttiva NIS2 (Network and Information Security 2) è entrata ufficialmente nell'ordinamento italiano con il Decreto Legislativo 4 settembre 2024, n. 138, pubblicato in Gazzetta Ufficiale. Questo provvedimento recepisce la direttiva europea 2022/2555 e ridisegna in modo radicale il panorama della cybersecurity per le organizzazioni italiane, estendendo gli obblighi ben oltre le grandi infrastrutture critiche. Per la prima volta, migliaia di PMI italiane si trovano direttamente nel perimetro normativo, con scadenze operative già attive e sanzioni che possono colpire personalmente gli amministratori aziendali.

Il contesto in cui si inserisce questa normativa è tutt'altro che astratto. Secondo il Rapporto Clusit 2024, l'Italia è tra i Paesi europei più colpiti da attacchi informatici, con un incremento significativo degli incidenti gravi che hanno interessato anche aziende di medie dimensioni, manifattura, logistica e servizi professionali. La dipendenza digitale delle imprese italiane è cresciuta enormemente dopo la pandemia, ma gli investimenti in sicurezza informatica sono rimasti spesso inadeguati, soprattutto nelle realtà con meno di 250 dipendenti. La NIS2 nasce proprio per colmare questo divario strutturale.

Per molti imprenditori italiani, la NIS2 può sembrare l'ennesimo adempimento burocratico europeo. In realtà, è qualcosa di molto più concreto: un obbligo legale con scadenze precise, procedure di registrazione obbligatorie, requisiti tecnici misurabili e, soprattutto, responsabilità personali degli organi di amministrazione. Ignorare questa normativa non è un'opzione percorribile. Questo articolo vuole essere una guida pratica per capire chi è coinvolto, cosa bisogna fare, entro quando e quali rischi si corrono in caso di inadempienza.

Chi sono i soggetti obbligati dalla NIS2: PMI incluse nel perimetro normativo

Uno degli aspetti più rilevanti della NIS2 rispetto alla precedente direttiva NIS1 è l'ampliamento drastico del perimetro dei soggetti obbligati. La normativa italiana distingue due categorie principali: i soggetti essenziali e i soggetti importanti. Entrambe le categorie devono rispettare obblighi di sicurezza, ma con intensità di controllo e sanzioni differenziate.

Rientrano nel perimetro NIS2 le organizzazioni che operano in uno dei 18 settori elencati negli allegati al decreto, tra cui energia, trasporti, banche, infrastrutture digitali, acque reflue, sanità, pubblica amministrazione, ma anche — e qui sta la novità più rilevante per le PMI — settori come manifattura di prodotti critici, servizi postali, gestione dei rifiuti, produzione e distribuzione di prodotti chimici, industria alimentare e fornitori di servizi digitali. Le soglie dimensionali prevedono che siano incluse le aziende con almeno 50 dipendenti o un fatturato annuo superiore a 10 milioni di euro, ma vi sono eccezioni che abbassano questa soglia per alcune categorie.

Questo significa, in termini pratici, che un'azienda manifatturiera con 60 dipendenti che produce componenti per il settore automotive, o un fornitore di servizi IT con 55 dipendenti che gestisce infrastrutture cloud per clienti terzi, è potenzialmente soggetta alla NIS2. È fondamentale che ogni imprenditore verifichi la propria posizione con l'ausilio di un consulente legale o IT specializzato, senza attendere comunicazioni dirette dall'ACN (Agenzia per la Cybersicurezza Nazionale), che è l'autorità competente designata in Italia.

  • Soggetti essenziali: operano in settori ad alta criticità (energia, trasporti, banche, sanità, infrastrutture digitali) e sono soggetti a vigilanza proattiva e sanzioni più elevate
  • Soggetti importanti: operano in settori critici secondari (manifattura critica, servizi postali, gestione rifiuti, chimica, alimentare) e sono soggetti a vigilanza reattiva
  • Esclusioni parziali: microimprese (meno di 10 dipendenti e meno di 2 milioni di fatturato) sono generalmente escluse, salvo operino in settori specifici ad alto rischio

Obblighi concreti di sicurezza informatica che le PMI devono adottare

Il decreto italiano recepisce dall'articolo 21 della Direttiva NIS2 un elenco preciso di misure di gestione del rischio che i soggetti obbligati devono implementare. Non si tratta di indicazioni generiche, ma di requisiti tecnici e organizzativi misurabili. L'approccio richiesto è quello della gestione del rischio basata su evidenze: ogni organizzazione deve analizzare i propri rischi specifici e adottare contromisure proporzionate.

Le misure obbligatorie includono in primo luogo la redazione e il mantenimento di una politica di sicurezza delle informazioni documentata e approvata dall'organo di amministrazione. È richiesta l'implementazione di procedure di gestione degli incidenti, inclusa la capacità di rilevare, classificare e rispondere agli eventi di sicurezza in modo strutturato. Le PMI devono dotarsi di un piano di business continuity e di disaster recovery, con test periodici verificabili. Va inoltre garantita la sicurezza della supply chain, valutando i rischi introdotti da fornitori e partner tecnologici.

Sul piano tecnico, le misure minime attese comprendono:

  • Implementazione dell'autenticazione a più fattori (MFA) per tutti gli accessi ai sistemi critici
  • Cifratura dei dati sensibili in transito e a riposo
  • Gestione sistematica delle vulnerabilità e delle patch di sicurezza
  • Controllo degli accessi basato sul principio del least privilege
  • Monitoraggio continuo dei sistemi e dei log di sicurezza
  • Formazione periodica del personale sulla sicurezza informatica
  • Valutazione periodica del rischio con aggiornamento documentato

Un esempio pratico: un'azienda alimentare con 80 dipendenti che utilizza un gestionale ERP connesso a Internet e accede a piattaforme cloud per la gestione della logistica dovrà, come minimo, implementare MFA per tutti gli utenti, eseguire vulnerability assessment almeno annuali, documentare un piano di risposta agli incidenti e formare il personale amministrativo sui rischi di phishing e social engineering.

Scadenze NIS2 2025-2026: il calendario degli adempimenti per le imprese italiane

Il decreto legislativo 138/2024 ha stabilito un calendario di adempimenti progressivi che le aziende devono rispettare. La prima e più urgente scadenza riguarda la registrazione sulla piattaforma ACN: i soggetti che ritengono di rientrare nel perimetro NIS2 devono completare la registrazione tramite il portale dedicato dell'Agenzia per la Cybersicurezza Nazionale. Questa procedura è già attiva dal 2024 e rappresenta il primo passo formale di compliance.

Il calendario prevede che entro il 31 marzo 2026 l'ACN comunichi ufficialmente alle organizzazioni registrate se sono definitivamente incluse nell'elenco dei soggetti essenziali o importanti. Da quella data decorrono ulteriori obblighi operativi. Entro il 1° gennaio 2026, tuttavia, i soggetti già identificati devono aver avviato concretamente l'implementazione delle misure di sicurezza richieste, poiché le autorità di vigilanza possono effettuare ispezioni e richiedere evidenze delle attività svolte.

  • Dal 16 ottobre 2024: entrata in vigore del D.Lgs. 138/2024 — obbligo di auto-valutazione e avvio registrazione ACN
  • Entro fine 2025: completamento della registrazione sulla piattaforma ACN per tutti i soggetti che ritengono di rientrare nel perimetro
  • Entro 1° gennaio 2026: avvio concreto dell'implementazione delle misure di sicurezza obbligatorie
  • Entro 31 marzo 2026: comunicazione ufficiale ACN dell'elenco definitivo dei soggetti inclusi
  • Entro 1° ottobre 2026: piena conformità operativa per tutti i soggetti inclusi nel perimetro

È importante sottolineare che l'obbligo di notifica degli incidenti significativi è già operativo. I soggetti che subiscono un incidente con impatto rilevante sulla continuità dei servizi devono notificarlo all'ACN entro 24 ore dalla prima rilevazione (notifica preliminare) e fornire un rapporto dettagliato entro 72 ore. Entro un mese dall'incidente va trasmessa la relazione finale. Questo obbligo non attende il 2026: è vigente oggi.

Sanzioni NIS2 per gli amministratori: responsabilità personale e conseguenze legali

Uno degli elementi più dirompenti della NIS2 rispetto alla cultura di compliance italiana è l'introduzione della responsabilità personale degli organi di amministrazione. Il decreto 138/2024 stabilisce che gli amministratori, i consigli di amministrazione e i direttori generali devono approvare le misure di gestione del rischio cyber, supervisionarne l'attuazione e ricevere formazione adeguata in materia di cybersicurezza. Non è più sufficiente delegare tutto al responsabile IT o al CTO.

Le sanzioni previste sono significative. Per i soggetti essenziali, le sanzioni amministrative possono arrivare fino a 10 milioni di euro o al 2% del fatturato annuo mondiale totale (si applica il valore più alto). Per i soggetti importanti, il massimo scende a 7 milioni di euro o all'1,4% del fatturato annuo mondiale. Queste cifre rendono evidente perché la NIS2 non possa essere trattata come un adempimento secondario.

Ma la novità più rilevante per gli imprenditori italiani è la possibilità che l'ACN, in caso di gravi e persistenti violazioni, possa richiedere la sospensione temporanea dei dirigenti responsabili dalle loro funzioni, fino a quando l'organizzazione non dimostri di aver adottato le misure correttive necessarie. Questo strumento, mutuato dalla normativa GDPR ma applicato alla cybersecurity, rappresenta un cambiamento culturale profondo: la sicurezza informatica diventa una responsabilità del vertice aziendale, non solo del reparto IT.

  • Sanzione massima soggetti essenziali: 10 milioni di € o 2% fatturato mondiale
  • Sanzione massima soggetti importanti: 7 milioni di € o 1,4% fatturato mondiale
  • Possibile sospensione temporanea degli amministratori in caso di violazioni gravi
  • Obbligo di formazione specifica per gli organi di amministrazione
  • Responsabilità solidale in caso di mancata supervisione delle misure adottate

Domande frequenti

Come faccio a sapere se la mia PMI è soggetta alla NIS2?

Il primo passo è verificare se la tua azienda opera in uno dei 18 settori elencati negli allegati I e II del D.Lgs. 138/2024 e se supera le soglie dimensionali previste (almeno 50 dipendenti o 10 milioni di euro di fatturato). Se entrambe le condizioni sono soddisfatte, è molto probabile che la tua organizzazione rientri nel perimetro. Tuttavia, esistono eccezioni e casistiche particolari — ad esempio, i fornitori di servizi IT che gestiscono infrastrutture per altre aziende possono essere inclusi anche sotto soglia. Il consiglio è di effettuare un'autovalutazione documentata con il supporto di un consulente specializzato e, in caso di dubbio, procedere comunque alla registrazione sulla piattaforma ACN: è gratuita e non comporta obblighi automatici fino alla conferma ufficiale dell'inclusione.

Devo registrarmi sull'ACN anche se non sono sicuro di rientrare nel perimetro?

Sì, il decreto prevede che siano le stesse organizzazioni a effettuare l'autovalutazione e, se ritengono di rientrare nel perimetro, a procedere con la registrazione. Attendere la notifica dell'ACN senza essersi registrati non è una strategia sicura: l'autorità potrebbe identificare la tua organizzazione come soggetto obbligato e contestare l'omessa registrazione come violazione. La registrazione è uno strumento di dialogo con l'autorità competente e permette di ricevere comunicazioni ufficiali, chiarimenti e aggiornamenti. La piattaforma di registrazione è accessibile tramite il sito ufficiale dell'ACN (acn.gov.it) ed è necessario disporre di credenziali SPID o CIE.

Cosa succede se subisco un attacco informatico prima di essermi adeguato alla NIS2?

In caso di incidente significativo, l'obbligo di notifica all'ACN è già vigente indipendentemente dal completamento del processo di adeguamento. Se la tua organizzazione rientra nel perimetro NIS2 e subisce un attacco che compromette la continuità operativa o causa violazioni di dati, devi notificare l'incidente entro 24 ore. La mancata notifica è una violazione autonoma, sanzionabile separatamente dal mancato adeguamento delle misure tecniche. Questo non significa che l'ACN avvii automaticamente un procedimento sanzionatorio per ogni notifica: la trasparenza e la collaborazione con l'autorità sono generalmente valutate positivamente. Avere almeno la documentazione del processo di adeguamento in corso può costituire un elemento attenuante nelle valutazioni dell'autorità.

Quanto costa adeguarsi alla NIS2 per una PMI italiana?

Non esiste una cifra standard, perché i costi dipendono fortemente dal livello di maturità digitale esistente, dal settore di appartenenza e dalla dimensione dell'organizzazione. Una PMI che ha già implementato misure di sicurezza di base (firewall, antivirus, backup regolari) dovrà investire principalmente in gap analysis, documentazione, formazione e strumenti di monitoraggio. Aziende partite da zero dovranno affrontare investimenti più significativi. Indicativamente, per una PMI con 50-100 dipendenti, un progetto di adeguamento NIS2 gestito con il supporto di consulenti specializzati può richiedere tra i 15.000 e i 50.000 euro, a seconda della complessità. È importante valutare questi costi in rapporto alle sanzioni potenziali e al rischio economico di un attacco informatico non gestito, che può essere molto più elevato.

Conclusione

La NIS2 non è un'opzione per le PMI italiane che rientrano nel perimetro normativo: è un obbligo di legge con scadenze operative già avviate e responsabilità che coinvolgono direttamente gli amministratori aziendali. Il 2026 sembra lontano, ma i processi di adeguamento richiedono tempo, risorse e una pianificazione strutturata. Le organizzazioni che iniziano oggi hanno il vantaggio di poter costruire un programma di sicurezza solido e sostenibile; quelle che aspettano si troveranno a dover correre contro il tempo, con costi più elevati e rischi maggiori.

Il messaggio più importante che emerge da questa analisi è che la cybersecurity non è più solo un problema tecnico: è una responsabilità del vertice aziendale, sancita dalla legge. Un imprenditore che delega completamente la gestione della sicurezza informatica senza supervisionarla personalmente e senza formarsi adeguatamente, oggi rischia non solo il blocco operativo della propria azienda, ma anche conseguenze legali e finanziarie dirette. Investire nella sicurezza informatica è diventato, a tutti gli effetti, parte della governance aziendale responsabile.

Non aspettare che sia troppo tardi. Se non hai ancora avviato il percorso di adeguamento NIS2 o non sei sicuro di rientrare nel perimetro normativo, contatta oggi stesso un esperto IT specializzato in cybersecurity e compliance normativa. Un professionista qualificato può effettuare rapidamente una gap analysis della tua situazione attuale, identificare le priorità di intervento, stimare i costi realistici e affiancarti lungo tutto il percorso di adeguamento. Proteggere la tua azienda e tutelare la tua posizione come amministratore è un investimento, non una spesa.