La direttiva NIS2 (Network and Information Security 2) rappresenta oggi uno degli adempimenti normativi più rilevanti per le imprese italiane che operano in settori considerati critici o essenziali per l'economia del Paese. Recepita in Italia con il Decreto Legislativo n. 138 del 4 settembre 2023, questa normativa europea ha ampliato significativamente il perimetro dei soggetti obbligati rispetto alla precedente NIS1, coinvolgendo per la prima volta in modo diretto migliaia di piccole e medie imprese che fino a ieri si sentivano lontane dal mondo della cybersecurity regolamentata. Non si tratta più di un tema riservato alle grandi corporation o alle infrastrutture critiche nazionali: oggi anche una PMI manifatturiera con cinquanta dipendenti o uno studio professionale che eroga servizi digitali può rientrare nell'ambito di applicazione della norma.

Il contesto in cui nasce NIS2 non è casuale. Secondo il Rapporto Clusit 2024, l'Italia è tra i Paesi europei più colpiti da attacchi informatici gravi, con un incremento costante degli incidenti che hanno riguardato anche la filiera produttiva delle PMI. Le aziende più piccole vengono spesso utilizzate come vettore di attacco verso committenti più grandi: un fornitore non adeguatamente protetto diventa la porta d'ingresso verso un cliente che ha investito milioni in sicurezza. Questa logica — la cosiddetta supply chain attack — è esattamente ciò che NIS2 vuole contrastare, imponendo standard minimi di sicurezza lungo tutta la catena del valore.

Per le PMI italiane, il rischio non è solo normativo e sanzionatorio. Chi non si adegua rischia concretamente di essere escluso dalle gare d'appalto pubbliche, dai contratti con grandi gruppi industriali e dalle reti di fornitura internazionali che richiedono certificazioni di conformità come prerequisito contrattuale. In questo articolo esploriamo cosa prevede concretamente la NIS2, quali sono le scadenze stabilite dall'Agenzia per la Cybersicurezza Nazionale (ACN), e come una PMI può iniziare a strutturare la propria risposta senza disperdere risorse preziose.

Chi è obbligato dalla NIS2: settori e soglie dimensionali per le PMI italiane

Uno degli aspetti più fraintesi della NIS2 riguarda proprio il perimetro di applicazione. La direttiva distingue tra soggetti essenziali e soggetti importanti, classificazione che dipende sia dal settore di appartenenza sia dalle dimensioni dell'impresa. Per le PMI, la soglia rilevante è quella delle medie imprese: aziende con almeno 50 dipendenti oppure con un fatturato annuo superiore a 10 milioni di euro, operanti in uno dei settori elencati negli allegati I e II del decreto legislativo.

I settori ad alta criticità (Allegato I) comprendono energia, trasporti, banche, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi ICT e pubblica amministrazione. I settori critici di secondo livello (Allegato II) includono servizi postali, gestione dei rifiuti, produzione e distribuzione di prodotti chimici, produzione e distribuzione alimentare, industria manifatturiera in senso ampio, fornitori digitali e ricerca. Una PMI metalmeccanica che produce componenti per il settore automotive, o un'azienda agroalimentare che distribuisce a livello nazionale, potrebbe trovarsi perfettamente dentro questi perimetri.

  • Soggetti essenziali: grandi imprese nei settori Allegato I e medie imprese in settori particolarmente critici come energia e sanità
  • Soggetti importanti: medie imprese in tutti i settori degli Allegati I e II non già classificate come essenziali
  • Esclusioni: micro e piccole imprese (sotto i 50 dipendenti e sotto i 10 milioni di fatturato) sono generalmente escluse, salvo eccezioni per ruoli infrastrutturali specifici

È fondamentale sottolineare che la classificazione non avviene automaticamente: l'ACN ha aperto un portale di registrazione attraverso cui i soggetti obbligati devono provvedere all'autonotifica. Non aspettarsi una lettera ufficiale: è responsabilità dell'impresa verificare se rientra nell'ambito e provvedere alla registrazione nei termini previsti.

Scadenze ACN e iter di registrazione: cosa deve fare concretamente una PMI entro quando

L'Agenzia per la Cybersicurezza Nazionale ha pubblicato le istruzioni operative per la registrazione attraverso il proprio portale istituzionale. La fase di registrazione per i soggetti NIS2 in Italia ha preso avvio concretamente nel 2024, con proroghe e aggiornamenti comunicati progressivamente. Le aziende che ritengono di rientrare nell'ambito di applicazione devono registrarsi sulla piattaforma ACN fornendo informazioni sulla propria organizzazione, sui servizi erogati e sulla infrastruttura tecnologica utilizzata.

Una volta completata la registrazione, l'ACN procede alla classificazione ufficiale del soggetto e comunica l'elenco degli obblighi specifici applicabili. Da quel momento, le imprese hanno un periodo transitorio per implementare le misure di sicurezza richieste. Gli obblighi principali riguardano:

  • Adozione di misure tecniche e organizzative adeguate al rischio (gestione delle vulnerabilità, autenticazione multifattore, cifratura dei dati)
  • Implementazione di un piano di gestione degli incidenti con procedure di risposta documentate
  • Obbligo di notifica degli incidenti significativi all'ACN entro 24 ore dalla scoperta (notifica preliminare) e 72 ore per la notifica completa
  • Valutazione della sicurezza della catena di fornitura, inclusa la verifica dei fornitori ICT
  • Formazione del personale e coinvolgimento del management nella governance della cybersecurity

Un aspetto spesso sottovalutato riguarda proprio la responsabilità degli organi di amministrazione: la NIS2 prevede che i vertici aziendali debbano approvare le misure di sicurezza e possano essere ritenuti personalmente responsabili in caso di violazioni gravi. Per un imprenditore abituato a delegare interamente la tecnologia al proprio responsabile IT, questo rappresenta un cambiamento culturale significativo oltre che normativo.

Sanzioni NIS2 in Italia: quanto si rischia e come vengono calcolate le multe

Le sanzioni previste dalla NIS2 e recepite nel decreto legislativo italiano sono significativamente più severe rispetto a quanto visto con la precedente normativa. Per i soggetti essenziali, le violazioni possono comportare sanzioni amministrative fino a 10 milioni di euro o il 2% del fatturato mondiale annuo, se superiore. Per i soggetti importanti, il massimale scende a 7 milioni di euro o all'1,4% del fatturato mondiale.

Queste cifre potrebbero sembrare astronomiche per una PMI, ma è importante capire la logica proporzionale del sistema sanzionatorio. Le autorità competenti valutano la gravità della violazione, la reiterazione dei comportamenti scorretti, i danni causati, il grado di cooperazione con le autorità e le misure adottate per mitigare gli effetti dell'incidente. Una PMI che dimostra buona fede, ha avviato un percorso di adeguamento e collabora pienamente con l'ACN sarà trattata diversamente rispetto a chi ignora sistematicamente i propri obblighi.

Oltre alle sanzioni pecuniarie, la normativa prevede misure accessorie che per una PMI possono essere ancora più impattanti: la sospensione temporanea delle autorizzazioni a operare in determinati settori, la pubblicazione delle violazioni accertate e, in casi gravi, interdizioni per i dirigenti responsabili. In un contesto di mercato dove la reputazione è un asset critico, una pubblicazione ufficiale di una violazione NIS2 può avere effetti devastanti sui rapporti commerciali.

Rischio esclusione dalla supply chain: perché NIS2 è anche un tema commerciale e non solo normativo

Forse l'aspetto più concreto e immediato della NIS2 per le PMI italiane non riguarda le sanzioni dell'ACN, ma le conseguenze sui rapporti commerciali. Le grandi imprese e i gruppi multinazionali che operano in Italia stanno già inserendo nei contratti di fornitura clausole di conformità NIS2 come requisito essenziale. Un fornitore che non può dimostrare di rispettare standard minimi di cybersecurity diventa un rischio accettato consapevolmente dal committente — e sempre più spesso i committenti scelgono di non accettarlo.

Questo fenomeno è particolarmente rilevante in settori come l'automotive, la farmaceutica, l'aerospazio e le telecomunicazioni, dove la supply chain digitale è profondamente integrata e un incidente presso un fornitore di terzo livello può bloccare la produzione dell'intera filiera. Le PMI che non si adeguano rischiano concretamente di perdere contratti esistenti o di essere escluse da nuove opportunità commerciali, indipendentemente dalla qualità del loro prodotto o servizio.

  • Gare pubbliche: i capitolati tecnici di molte gare della PA stanno includendo requisiti NIS2 come criterio di ammissibilità
  • Contratti con grandi gruppi privati: multinazionali e grandi imprese italiane richiedono ai fornitori dichiarazioni di conformità o audit di sicurezza
  • Finanziamenti e assicurazioni: le polizze cyber e alcuni strumenti di finanziamento agevolato iniziano a considerare la postura di sicurezza dell'impresa come fattore di valutazione
  • Partnership internazionali: le imprese che esportano o collaborano con partner europei sono soggette a requisiti di conformità imposti dai mercati di destinazione

Un esempio pratico: una PMI lombarda che produce componenti elettronici per un grande gruppo tedesco dell'automotive riceve dal committente un questionario di cybersecurity assessment. Non si tratta di un adempimento facoltativo: è un prerequisito contrattuale. Se la PMI non supera la valutazione o non riesce a documentare le proprie misure di sicurezza, il contratto viene messo a rischio. Questo scenario si sta già materializzando in molte realtà industriali italiane, e la pressione aumenterà con l'entrata a regime della NIS2.

Domande frequenti

La mia PMI ha 45 dipendenti e 8 milioni di fatturato: siamo obbligati dalla NIS2?

In linea generale, le micro e piccole imprese con meno di 50 dipendenti e fatturato inferiore a 10 milioni di euro sono escluse dall'ambito di applicazione diretto della NIS2. Tuttavia, esistono eccezioni importanti: se la vostra azienda eroga servizi considerati critici per l'infrastruttura nazionale (ad esempio siete l'unico fornitore di un servizio essenziale in un territorio), potreste comunque essere inclusi su decisione dell'ACN. Inoltre, anche se non siete formalmente obbligati, i vostri clienti potrebbero richiedere contrattualmente misure di sicurezza equivalenti. Vi consigliamo di verificare la vostra posizione sul portale ACN e, in caso di dubbio, di consultare un esperto di cybersecurity e conformità normativa.

Qual è la differenza pratica tra soggetto essenziale e soggetto importante ai fini degli obblighi?

La distinzione tra soggetti essenziali e soggetti importanti incide principalmente sull'intensità della supervisione da parte dell'ACN e sull'entità massima delle sanzioni. I soggetti essenziali sono sottoposti a una vigilanza più stringente, con possibili ispezioni proattive e requisiti di rendicontazione più frequenti. Per entrambe le categorie, tuttavia, gli obblighi sostanziali in termini di misure tecniche e organizzative da implementare sono largamente equivalenti. In pratica, sia che siate classificati come essenziali che come importanti, dovrete adottare politiche di gestione del rischio, procedure di notifica degli incidenti, misure di continuità operativa e presidi di sicurezza della supply chain. La differenza è nel livello di scrutinio e nelle conseguenze in caso di inadempimento.

Come funziona la notifica degli incidenti all'ACN e quali sono i tempi?

La NIS2 introduce un sistema articolato di notifica degli incidenti significativi su più livelli temporali. Entro 24 ore dalla rilevazione di un incidente che impatta significativamente sulla continuità del servizio o sulla riservatezza dei dati, il soggetto obbligato deve inviare all'ACN una notifica preliminare, che può essere anche sintetica ma deve comunicare la natura dell'evento. Entro 72 ore, è richiesta una notifica più dettagliata con la valutazione iniziale dell'impatto. Entro un mese, deve essere presentata una relazione finale con l'analisi completa dell'incidente, le cause, le misure adottate e le lezioni apprese. Ritardi o omissioni nella notifica costituiscono autonoma fonte di responsabilità sanzionatoria, indipendentemente dalla gravità dell'incidente originario.

Quanto costa adeguarsi alla NIS2 per una PMI italiana e da dove si inizia?

Non esiste un costo standard perché dipende fortemente dal punto di partenza dell'azienda in termini di maturità di sicurezza, dalla complessità dell'infrastruttura IT e dal settore di appartenenza. Una PMI che ha già investito in sicurezza informatica (firewall aggiornati, backup testati, formazione del personale, policy documentate) avrà un percorso di adeguamento significativamente più contenuto rispetto a un'azienda che parte da zero. Il primo passo concreto è condurre una gap analysis: un'analisi che confronta la situazione attuale con i requisiti NIS2 e identifica le aree di intervento prioritarie. Questo esercizio, svolto con un professionista qualificato, permette di costruire un piano di adeguamento realistico con priorità chiare e costi prevedibili, evitando investimenti disorganizzati e poco efficaci.

Conclusione

La NIS2 non è un adempimento burocratico da gestire all'ultimo momento: è un cambiamento strutturale nel modo in cui le imprese devono pensare alla propria sicurezza digitale. Per le PMI italiane, il rischio di ignorarla è duplice — normativo e commerciale — e in entrambi i casi le conseguenze possono essere concrete e costose. La buona notizia è che il percorso di adeguamento, se affrontato con metodo e con il supporto giusto, è accessibile anche per realtà di dimensioni contenute.

Il primo passo è capire se la vostra azienda rientra nell'ambito di applicazione della direttiva, procedere alla registrazione sul portale ACN se necessario, e poi costruire un piano d'azione basato su una valutazione onesta della vostra postura di sicurezza attuale. Non aspettate che sia un cliente a sollevare il problema in sede contrattuale o che arrivi una comunicazione dall'autorità di vigilanza: agire in anticipo è sempre meno costoso che rimediare in emergenza.

Se volete capire concretamente dove si trova la vostra azienda rispetto agli obblighi NIS2 e come strutturare un piano di adeguamento sostenibile, contattate oggi stesso un esperto IT specializzato in cybersecurity e conformità normativa. Una consulenza iniziale vi darà la chiarezza necessaria per prendere decisioni informate e proteggere il vostro business — non solo dalle sanzioni, ma dai rischi reali che la cybersecurity comporta ogni giorno.