La direttiva europea NIS2 (Network and Information Security 2) rappresenta oggi una delle sfide normative più rilevanti per il tessuto imprenditoriale italiano. Entrata in vigore a ottobre 2024 con il recepimento nel decreto legislativo italiano, essa amplia in modo significativo il perimetro dei soggetti obbligati rispetto alla precedente NIS1, coinvolgendo per la prima volta migliaia di piccole e medie imprese che operano in settori considerati critici o essenziali per l'economia nazionale. Per molte PMI, la consapevolezza di essere soggette a questi obblighi è ancora scarsa, rendendo urgente una corretta informazione.

Il contesto in cui si inserisce NIS2 è quello di una crescente minaccia cyber a livello europeo. Secondo il rapporto ENISA Threat Landscape 2023, gli attacchi ransomware e le campagne di phishing hanno colpito in misura crescente le organizzazioni di medie dimensioni, spesso meno protette rispetto alle grandi corporate. L'Italia, secondo i dati del Rapporto Clusit 2024, si conferma tra i Paesi europei più colpiti da attacchi informatici gravi, con il settore manifatturiero, quello dei trasporti e le infrastrutture digitali tra i principali bersagli. È esattamente in questi ambiti che molte PMI italiane operano quotidianamente.

In questo scenario, non adeguarsi alla NIS2 non è semplicemente una questione di rischio sanzionatorio: significa esporsi a conseguenze operative concrete, inclusa la possibile esclusione dalla supply chain di grandi committenti pubblici e privati che, per conformarsi a loro volta alla normativa, richiedono garanzie di sicurezza a tutti i loro fornitori. Questo articolo guida imprenditori e responsabili IT attraverso gli obblighi reali, le scadenze imposte dall'Agenzia per la Cybersicurezza Nazionale (ACN) e le azioni pratiche da intraprendere fin da subito.

Chi sono i soggetti obbligati dalla NIS2: le PMI italiane a rischio

Uno degli aspetti più rilevanti della NIS2 rispetto alla precedente direttiva è la drastica espansione del perimetro applicativo. La normativa distingue tra soggetti essenziali e soggetti importanti, categorie che ora includono anche imprese di dimensioni medio-piccole, purché operanti in determinati settori ad alta criticità. In Italia, l'ACN è l'autorità competente per l'identificazione e la registrazione di tali soggetti.

I settori coperti dalla NIS2 si dividono in settori ad alta criticità (Allegato I) e altri settori critici (Allegato II). Tra i primi rientrano energia, trasporti, banche, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi ICT, pubblica amministrazione e spazio. Nel secondo gruppo figurano servizi postali, gestione dei rifiuti, produzione e distribuzione di prodotti chimici, alimentari, manifattura di dispositivi medici, produzione di computer e veicoli, fornitori di servizi digitali.

Per quanto riguarda la soglia dimensionale, la regola generale prevede che siano incluse le imprese con almeno 50 dipendenti o un fatturato annuo superiore a 10 milioni di euro. Tuttavia, esistono eccezioni importanti: alcune tipologie di soggetti sono incluse indipendentemente dalle dimensioni, come i fornitori di reti pubbliche di comunicazione elettronica o i prestatori di servizi di trust. Una PMI che forni servizi digitali a enti pubblici o che gestisca infrastrutture critiche potrebbe quindi essere soggetta alla NIS2 anche al di sotto di tali soglie.

  • Settori ad alta criticità (Allegato I): energia, trasporti, sanità, banche, infrastrutture digitali, PA
  • Altri settori critici (Allegato II): manifattura, alimentare, chimico, postale, gestione rifiuti
  • Soglia generale: 50+ dipendenti oppure fatturato/bilancio annuo superiore a 10 milioni di euro
  • Eccezioni: alcuni soggetti sono inclusi a prescindere dalle dimensioni

Obblighi concreti NIS2: cosa deve fare davvero una PMI italiana

La NIS2 non si limita a richiedere una generica attenzione alla sicurezza informatica: stabilisce obblighi specifici e misurabili che le organizzazioni devono implementare. Il punto di partenza è l'adozione di misure tecniche e organizzative adeguate per gestire i rischi per la sicurezza delle reti e dei sistemi informativi. Questo include una valutazione del rischio strutturata, politiche di sicurezza documentate e piani di risposta agli incidenti.

Sul fronte della gestione degli incidenti, uno degli obblighi più cogenti riguarda la notifica tempestiva all'ACN. In caso di incidente significativo — ovvero un evento che causa o può causare gravi perturbazioni operative o perdite finanziarie — le organizzazioni devono inviare una pre-notifica entro 24 ore dalla rilevazione, una notifica dettagliata entro 72 ore e un rapporto finale entro un mese. Per una PMI abituata a gestire gli incidenti informatici in modo informale, questo rappresenta un cambiamento culturale e organizzativo significativo.

Tra gli obblighi pratici che le PMI devono implementare, si annoverano:

  • Analisi e gestione del rischio cyber con metodologia documentata (es. basata su framework come ISO 27001 o NIST)
  • Politiche di sicurezza delle informazioni approvate dal management
    • Gestione della continuità operativa e piani di business continuity e disaster recovery
  • Sicurezza della supply chain: valutazione della sicurezza dei fornitori e dei contratti con terze parti
  • Formazione del personale sulla cybersicurezza, inclusi i dirigenti
  • Uso di crittografia e multi-factor authentication (MFA) dove applicabile
  • Gestione delle vulnerabilità e aggiornamenti sistematici dei sistemi
  • Registrazione e monitoraggio degli accessi ai sistemi critici

Un aspetto spesso sottovalutato è la responsabilità degli organi di amministrazione. La NIS2 stabilisce esplicitamente che i dirigenti apicali devono approvare le misure di cybersicurezza e possono essere ritenuti personalmente responsabili in caso di violazioni gravi. Questo significa che la cybersicurezza deve diventare una voce dell'agenda del consiglio di amministrazione, non solo del responsabile IT.

Scadenze ACN: il calendario che ogni PMI italiana deve conoscere

L'Agenzia per la Cybersicurezza Nazionale ha pubblicato le linee guida operative per l'attuazione della NIS2 in Italia, definendo un percorso graduale di adeguamento. Il primo passo fondamentale è la registrazione sulla piattaforma ACN, obbligatoria per tutti i soggetti che rientrano nel perimetro della direttiva. Questa registrazione non è facoltativa: è il punto di partenza per l'intero processo di conformità e permette all'ACN di censire il numero reale di soggetti obbligati nel Paese.

Secondo quanto comunicato dall'ACN, il processo si articola in fasi temporali precise. La fase di registrazione si è aperta nei primi mesi del 2025, con le organizzazioni tenute ad auto-censirsi attraverso il portale dedicato. Successivamente, l'ACN procederà alla notifica ufficiale ai soggetti identificati come essenziali o importanti, a partire dalla quale decorreranno i termini per l'adeguamento completo alle misure tecniche e organizzative. È importante sottolineare che l'ignoranza della propria inclusione nel perimetro non esime dalla responsabilità: le imprese devono autonomamente verificare se rientrano negli obblighi.

Le sanzioni previste per la mancata conformità sono significative. Per i soggetti essenziali, le sanzioni amministrative possono arrivare fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, se superiore. Per i soggetti importanti, il massimo è di 7 milioni di euro o l'1,4% del fatturato mondiale. Queste cifre rendono evidente come l'investimento nella conformità sia economicamente razionale anche per le PMI.

  • 2025 (inizio): apertura della piattaforma di registrazione ACN per i soggetti obbligati
  • 2025 (corso dell'anno): notifica ufficiale da parte di ACN ai soggetti identificati
  • Entro 18 mesi dalla notifica: implementazione completa delle misure di sicurezza richieste
  • Obbligo continuativo: notifica degli incidenti significativi entro 24/72 ore dalla rilevazione

Il rischio supply chain: perché le PMI fornitrici rischiano l'esclusione dai mercati

Forse il rischio più immediato e concreto per le PMI italiane non riguarda le sanzioni dirette dell'ACN, ma le conseguenze commerciali del mancato adeguamento. Le grandi imprese e le pubbliche amministrazioni soggette alla NIS2 hanno l'obbligo esplicito di valutare la sicurezza dei propri fornitori e di includere requisiti di cybersicurezza nei contratti. Una PMI che non può dimostrare la propria conformità rischia semplicemente di essere esclusa dalle gare d'appalto e dai contratti di fornitura.

Questo fenomeno, già visibile nei mercati internazionali e in settori come quello automobilistico (dove lo standard TISAX è diventato prerequisito per fornire a molti OEM europei), si sta estendendo rapidamente anche alla filiera delle PMI italiane. Un'azienda manifatturiera che fornisce componenti a un'industria dell'energia, o un fornitore di software gestionale che serve una struttura sanitaria, sarà sempre più spesso chiamata a presentare una certificazione o dichiarazione di conformità NIS2 come prerequisito contrattuale.

Esistono già esempi pratici di questo fenomeno in Italia: alcune grandi utility energetiche e aziende del settore difesa hanno iniziato a inserire clausole di cybersicurezza nei propri contratti di fornitura, richiedendo ai partner di adottare framework di sicurezza documentati e di sottoporsi a audit periodici. Per una PMI con 60 dipendenti che dipende per il 40% del fatturato da un unico grande cliente industriale, perdere quel contratto a causa della mancata conformità NIS2 potrebbe avere conseguenze devastanti.

  • Appalti pubblici: i bandi del PNRR e delle PA richiedono sempre più spesso requisiti di cybersicurezza ai fornitori IT
  • Supply chain manifatturiera: i grandi OEM europei estendono i requisiti NIS2 ai subfornitori italiani
  • Settore sanitario: ospedali e ASL richiedono conformità ai fornitori di software e servizi digitali
  • Settore energetico: utility ed enti regolati impongono standard di sicurezza alla catena di fornitura

Domande frequenti

La mia PMI ha 30 dipendenti: sono comunque soggetta alla NIS2?

In linea generale, la NIS2 si applica alle organizzazioni con almeno 50 dipendenti o un fatturato annuo superiore a 10 milioni di euro. Tuttavia, esistono eccezioni significative: se la tua azienda fornisce servizi di rete pubblica, servizi di trust qualificati, gestisce infrastrutture critiche o opera come fornitore esclusivo di un servizio essenziale in Italia, potresti essere inclusa indipendentemente dalle dimensioni. È fondamentale verificare caso per caso attraverso la piattaforma ACN o con il supporto di un consulente specializzato, piuttosto che presumere di essere esclusa.

Cosa rischio concretamente se non mi registro sulla piattaforma ACN?

La mancata registrazione non comporta sanzioni immediate nella fase iniziale, poiché il processo è ancora in corso di avvio. Tuttavia, non registrarsi significa non ricevere la notifica ufficiale dell'ACN, con il rischio di trovarsi poi in ritardo sugli adempimenti. Le sanzioni per mancata conformità alle misure tecniche possono essere molto severe (fino a 10 milioni di euro per i soggetti essenziali). Inoltre, in caso di incidente informatico non notificato, le responsabilità per i dirigenti potrebbero essere significative. La registrazione è il primo passo obbligatorio e conviene effettuarla tempestivamente.

Quanto costa adeguarsi alla NIS2 per una PMI italiana?

Non esiste un costo standard, poiché dipende dallo stato attuale della sicurezza dell'azienda, dal settore e dalle dimensioni. Una PMI che ha già adottato pratiche di sicurezza di base (backup regolari, antivirus gestito, firewall configurato, MFA sugli accessi critici) avrà costi di adeguamento inferiori rispetto a una che parte da zero. In via orientativa, per una PMI da 50-100 dipendenti che deve colmare lacune significative, i costi possono variare da poche migliaia di euro per consulenza e formazione fino a investimenti più consistenti se sono necessari strumenti di monitoraggio o la revisione completa dell'infrastruttura. Va considerato che molti di questi investimenti sono anche finanziabili attraverso crediti d'imposta per la transizione 4.0 e altri strumenti agevolativi.

Come posso dimostrare la conformità NIS2 ai miei clienti e committenti?

La NIS2 non prevede una certificazione obbligatoria unica, ma le autorità europee stanno lavorando a schemi di certificazione specifici. Nel frattempo, il modo più efficace per dimostrare la conformità è attraverso documentazione strutturata: politiche di sicurezza approvate dal management, report di valutazione del rischio, prove di formazione del personale, log di monitoraggio e procedure di risposta agli incidenti. Molte PMI scelgono di adottare framework riconosciuti come la ISO/IEC 27001, la cui certificazione fornisce una prova terza e indipendente del livello di maturità in cybersicurezza, ed è sempre più richiesta nei tender pubblici e privati.

Conclusione

La direttiva NIS2 non è una minaccia da rimandare a domani: è una realtà normativa e commerciale che sta già ridisegnando le regole del mercato per le PMI italiane. Le scadenze ACN sono in corso di definizione, i grandi committenti stanno già inserendo clausole di sicurezza nei contratti e le sanzioni per la mancata conformità sono tutt'altro che simboliche. Adeguarsi non significa solo evitare una multa: significa proteggere la propria azienda da attacchi informatici reali, mantenere la competitività sul mercato e garantire la continuità delle relazioni commerciali con i clienti più importanti.

Il percorso verso la conformità NIS2 richiede competenze specifiche che spaziano dal diritto alla tecnologia, dall'analisi del rischio alla formazione del personale. Non è un lavoro che si può fare da soli, soprattutto per le PMI che non dispongono di un reparto IT strutturato. La buona notizia è che esistono professionisti e aziende specializzate pronte ad accompagnare le organizzazioni in questo percorso, con approcci graduali e costi calibrati sulle reali necessità.

Non aspettare che sia troppo tardi. Contatta oggi stesso un esperto di cybersicurezza certificato per ottenere una valutazione gratuita del tuo stato di conformità alla NIS2, identificare le lacune prioritarie e costruire un piano di adeguamento sostenibile per la tua PMI. Il tempo è una risorsa preziosa: ogni mese di ritardo è un mese di rischio in più per la tua azienda e per i tuoi clienti.