La direttiva NIS2 (Network and Information Security 2) è entrata in vigore in Italia con il Decreto Legislativo 138/2024, recependo la normativa europea che aggiorna e amplia significativamente il perimetro della sicurezza informatica obbligatoria. Se fino a qualche anno fa queste tematiche riguardavano esclusivamente le grandi infrastrutture critiche, oggi la situazione è radicalmente cambiata: migliaia di piccole e medie imprese italiane rientrano nell'ambito di applicazione e sono chiamate ad adeguarsi a requisiti precisi, con scadenze che si avvicinano rapidamente.

Il contesto in cui si colloca questa normativa è quello di un panorama di minacce informatiche in costante crescita. Secondo il Rapporto Clusit 2024, l'Italia è uno dei Paesi europei più colpiti da attacchi informatici, con un incremento degli incidenti gravi che ha interessato anche la filiera produttiva delle PMI. La direttiva NIS2 nasce proprio per rispondere a questa realtà, imponendo standard minimi di sicurezza non solo alle grandi organizzazioni, ma all'intero ecosistema economico, inclusi fornitori e subfornitori. Ignorare questi obblighi non è più una scelta neutrale: comporta sanzioni, responsabilità dei vertici aziendali e, sempre più spesso, l'esclusione dai contratti con clienti strutturati.

Per molti imprenditori italiani, il tema NIS2 appare ancora lontano o eccessivamente tecnico. In realtà, gli obblighi previsti sono concreti, misurabili e — con la giusta pianificazione — affrontabili anche da organizzazioni di dimensioni medio-piccole. In questo articolo analizziamo chi è obbligato, cosa bisogna fare, entro quando e quali sono le conseguenze pratiche per chi rimane indietro, con particolare attenzione al rischio di essere esclusi dalla supply chain digitale delle grandi aziende e della pubblica amministrazione.

Chi deve adeguarsi alla NIS2: soggetti essenziali e importanti nelle PMI italiane

La direttiva NIS2, recepita in Italia con il D.Lgs. 138/2024, distingue due categorie principali di soggetti: i soggetti essenziali e i soggetti importanti. I primi operano in settori ad alta criticità come energia, trasporti, sanità, acqua potabile, infrastrutture digitali e finanza. I secondi operano in settori cosiddetti ad alta criticità aggiuntiva, tra cui servizi postali, gestione dei rifiuti, fabbricazione di prodotti critici, industria chimica e fornitori di servizi digitali.

La novità più rilevante per le PMI riguarda proprio l'ampliamento del perimetro. Non si tratta più solo di grandi operatori: rientrano nell'ambito anche aziende di medie dimensioni (generalmente con più di 50 dipendenti o fatturato superiore a 10 milioni di euro) che operano in uno dei settori coperti. Tuttavia, il confine non è sempre netto, perché anche imprese più piccole possono essere incluse se rivestono un ruolo critico nella filiera o nelle infrastrutture nazionali.

È importante sottolineare che l'ACN (Agenzia per la Cybersicurezza Nazionale) sta costruendo il registro nazionale dei soggetti obbligati. Le aziende potenzialmente interessate devono:

  • Verificare se rientrano in uno dei settori coperti dall'allegato I o II del D.Lgs. 138/2024
  • Controllare la propria dimensione aziendale rispetto alle soglie previste
  • Registrarsi sulla piattaforma ACN entro le scadenze stabilite (la prima finestra si è aperta nel 2025)
  • Attendere la notifica formale da parte dell'ACN per conoscere la propria classificazione definitiva

Un esempio pratico: un'azienda manifatturiera italiana con 80 dipendenti che produce componenti per il settore energetico potrebbe rientrare come soggetto importante anche senza essere una grande impresa. Allo stesso modo, un provider di servizi IT locale che gestisce infrastrutture per enti pubblici è quasi certamente incluso nell'ambito di applicazione.

Obblighi concreti NIS2: cosa devono fare le PMI dal punto di vista tecnico e organizzativo

Comprendere cosa fare operativamente è il passaggio chiave per trasformare un obbligo normativo in un progetto aziendale gestibile. La NIS2 richiede l'adozione di misure di sicurezza proporzionate al rischio, organizzate secondo un approccio sistematico. Non si tratta di comprare un antivirus: si tratta di costruire un sistema di gestione della sicurezza delle informazioni (ISMS) adeguato alla propria realtà.

Gli obblighi principali previsti dall'articolo 24 del D.Lgs. 138/2024 includono:

  • Analisi del rischio: identificazione e valutazione dei rischi informatici che possono colpire reti, sistemi e dati aziendali
  • Politiche di sicurezza: adozione di policy documentate su accessi, gestione delle password, uso dei dispositivi e protezione dei dati
  • Gestione degli incidenti: procedure per rilevare, rispondere e notificare gli incidenti di sicurezza significativi all'ACN entro 24 ore dalla scoperta (notifica iniziale) e 72 ore per il rapporto dettagliato
  • Continuità operativa e disaster recovery: piani documentati per garantire la ripresa delle attività in caso di attacco o guasto grave
  • Sicurezza della supply chain: valutazione della sicurezza informatica dei propri fornitori e subfornitori
  • Formazione del personale: programmi di sensibilizzazione e formazione continuativa su cybersicurezza per tutti i dipendenti
  • Crittografia: utilizzo di tecnologie crittografiche appropriate per proteggere i dati sensibili in transito e a riposo
  • Autenticazione a più fattori (MFA): obbligatoria per gli accessi privilegiati e i sistemi critici

Un aspetto spesso sottovalutato dalle PMI è la responsabilità degli organi di amministrazione. La NIS2 prevede che i vertici aziendali — consiglio di amministrazione, amministratore unico, soci con poteri di gestione — debbano approvare le misure di sicurezza, supervisionarne l'attuazione e seguire una formazione specifica. In caso di violazioni gravi, gli amministratori possono essere ritenuti personalmente responsabili. Questo cambia radicalmente la prospettiva: la cybersicurezza non è più solo un problema del reparto IT, ma una questione di governance aziendale.

Scadenze ACN 2026: le date che ogni PMI italiana deve segnare in agenda

Il calendario degli adempimenti NIS2 in Italia è strutturato su più fasi, coordinate dall'ACN. Comprendere le scadenze è fondamentale per pianificare le attività senza trovarsi in ritardo.

Il processo di registrazione e classificazione è iniziato nel 2025, con l'apertura della piattaforma digitale ACN attraverso cui le aziende potenzialmente soggette devono auto-censirsi. Dopo la registrazione, l'ACN notifica ufficialmente a ciascun soggetto la propria classificazione (essenziale o importante) e da quel momento decorrono i termini per l'adeguamento. Secondo il quadro normativo vigente, i soggetti classificati hanno tempo fino al 31 dicembre 2026 per implementare le misure di sicurezza obbligatorie previste dalla normativa.

Le fasi principali del calendario da tenere a mente sono:

  • 2025 — Registrazione sulla piattaforma ACN: le aziende potenzialmente soggette devono completare la procedura di auto-registrazione sul portale dell'Agenzia
  • Entro fine 2025 — Classificazione da parte di ACN: l'Agenzia comunica la classificazione ufficiale a ciascun soggetto registrato
  • 2026 — Adeguamento alle misure di sicurezza: le organizzazioni classificate devono implementare i controlli tecnici e organizzativi richiesti entro il 31 dicembre 2026
  • Da gennaio 2026 — Obbligo di notifica degli incidenti: i soggetti classificati devono già rispettare i tempi di notifica degli incidenti significativi all'ACN

Considerando che un progetto di adeguamento NIS2 completo per una PMI richiede mediamente tra i 6 e i 12 mesi — tra analisi del rischio, gap analysis, implementazione tecnica, formazione del personale e documentazione — chi non ha ancora avviato il processo si trova già in una condizione di potenziale ritardo. Avviare il percorso di conformità entro il primo semestre 2025 è la scelta più prudente per rispettare le scadenze senza dover operare sotto pressione.

Rischio esclusione dalla supply chain: l'impatto NIS2 sui fornitori delle grandi aziende

Uno degli effetti più concreti e spesso sottostimati della NIS2 riguarda le catene di fornitura digitale. Le grandi aziende e le pubbliche amministrazioni italiane che rientrano nell'ambito NIS2 hanno l'obbligo di valutare la sicurezza informatica dei propri fornitori e di includere requisiti di sicurezza nei contratti. Questo significa che una PMI non direttamente soggetta alla direttiva potrebbe comunque essere costretta ad adeguarsi per continuare a lavorare con i propri clienti strategici.

Il meccanismo è semplice ma con implicazioni significative: se sei fornitore di un soggetto essenziale o importante NIS2, quel cliente è obbligato per legge a valutare il tuo livello di sicurezza. Se non soddisfi i requisiti minimi, il cliente ha due opzioni: aiutarti ad adeguarti (se ne ha la convenienza economica) oppure sostituirti con un fornitore conforme. In un mercato sempre più competitivo, la seconda opzione è spesso quella più rapida.

Questo fenomeno sta già accadendo in Italia in settori come:

  • Informatica e servizi IT: i provider che gestiscono infrastrutture o dati per enti pubblici o grandi aziende sono tra i primi ad essere valutati
  • Manifattura e componentistica: le filiere automotive, aerospaziale e dell'energia stanno introducendo clausole contrattuali legate alla cybersicurezza
  • Logistica e distribuzione: operatori logistici che gestiscono sistemi informativi condivisi con grandi player sono nel mirino
  • Servizi professionali: studi legali, contabili e di consulenza che hanno accesso a dati sensibili dei clienti NIS2

Il consiglio pratico per le PMI in questa situazione è di non aspettare che siano i clienti a fare le prime mosse. Avviare proattivamente un percorso di adeguamento e comunicarlo ai propri interlocutori commerciali è un vantaggio competitivo reale: dimostra maturità organizzativa e riduce il rischio di essere esclusi dalla filiera quando i contratti verranno rinnovati con le nuove clausole di sicurezza.

Sanzioni NIS2 in Italia: cosa rischia chi non si adegua

Il regime sanzionatorio introdotto dal D.Lgs. 138/2024 è uno degli elementi più impattanti per le PMI. Le sanzioni previste sono significative e differenziate in base alla classificazione del soggetto. Per i soggetti essenziali, le sanzioni amministrative pecuniarie possono arrivare fino a 10 milioni di euro o al 2% del fatturato mondiale annuo (si applica il maggiore dei due valori). Per i soggetti importanti, il limite è di 7 milioni di euro o l'1,4% del fatturato mondiale.

Oltre alle sanzioni pecuniarie, la normativa prevede misure più incisive in caso di violazioni gravi o reiterate, tra cui la possibilità per l'ACN di imporre la sospensione temporanea delle autorizzazioni o certificazioni necessarie all'esercizio dell'attività. Per i soggetti essenziali, l'autorità competente può arrivare a vietare temporaneamente l'esercizio delle funzioni dirigenziali da parte di specifici soggetti responsabili.

È importante comprendere che le sanzioni non scattano automaticamente il giorno dopo la scadenza, ma seguono un processo di supervisione e audit da parte dell'ACN. Tuttavia, in caso di incidente informatico grave con danni a terzi, la mancata adozione delle misure obbligatorie diventa un fattore aggravante con conseguenze sia amministrative che civilistiche. La prevenzione rimane sempre meno costosa della gestione delle conseguenze.

Domande frequenti

La mia PMI ha meno di 50 dipendenti: sono comunque soggetta alla NIS2?

In linea generale, le microimprese (meno di 10 dipendenti) e le piccole imprese (meno di 50 dipendenti) sono escluse dall'ambito di applicazione della NIS2, salvo eccezioni specifiche. Le eccezioni includono: aziende che sono l'unico fornitore di un servizio essenziale in Italia, organizzazioni il cui malfunzionamento potrebbe causare impatti sistemici rilevanti, e specifiche tipologie di soggetti nei settori delle infrastrutture digitali o dei servizi fiduciari. Se hai dubbi sulla tua situazione, la cosa più prudente è verificare direttamente sulla piattaforma ACN o consultare un esperto di cybersicurezza che possa effettuare una valutazione caso per caso. Ricorda anche che, come fornitore di un soggetto NIS2, potresti comunque essere tenuto ad adeguarti per requisiti contrattuali anche senza essere direttamente soggetto alla normativa.

Entro quando devo registrarmi sulla piattaforma ACN?

La piattaforma di registrazione ACN è operativa dal 2025. Le aziende potenzialmente soggette alla NIS2 devono completare la propria registrazione quanto prima per ricevere la classificazione ufficiale da parte dell'Agenzia. Non registrarsi non equivale a essere esclusi dalla normativa: se la tua azienda rientra nei criteri, l'obbligo sussiste indipendentemente dalla registrazione volontaria. L'ACN può procedere d'ufficio alla classificazione dei soggetti non registrati. È quindi nell'interesse dell'azienda registrarsi proattivamente, per avere piena consapevolezza della propria posizione e per iniziare il percorso di adeguamento con il tempo necessario. Consulta il sito ufficiale dell'ACN (acn.gov.it) per le istruzioni aggiornate sulla procedura di registrazione.

Qual è il costo indicativo per adeguarsi alla NIS2 per una PMI italiana?

Il costo di adeguamento alla NIS2 varia significativamente in base alla dimensione dell'azienda, al settore di appartenenza, al livello di maturità digitale di partenza e alla complessità dell'infrastruttura IT esistente. Non esistono dati ufficiali italiani specifici per le PMI, ma le stime degli operatori del settore indicano che un percorso di adeguamento completo per un'azienda di 50-100 dipendenti può richiedere investimenti compresi tra poche decine di migliaia di euro per realtà già parzialmente strutturate, fino a cifre più significative per aziende che partono da zero. È fondamentale considerare questi costi come un investimento strutturale e non come una spesa una tantum: la sicurezza informatica richiede manutenzione continuativa. Alcune misure, come la formazione del personale e l'introduzione dell'autenticazione a più fattori, hanno costi relativamente contenuti e impatto immediato sulla riduzione del rischio.

Cosa succede se subisco un attacco informatico prima di essermi adeguato alla NIS2?

In caso di incidente informatico significativo, i soggetti NIS2 classificati hanno l'obbligo di notificare l'evento all'ACN entro 24 ore dalla scoperta con una notifica iniziale, e entro 72 ore con un rapporto più dettagliato. Se al momento dell'incidente non avevi ancora adottato le misure obbligatorie, la mancanza di conformità viene considerata un fattore aggravante nella valutazione dell'ACN. Questo può tradursi in sanzioni più severe e in una maggiore esposizione a responsabilità civili nei confronti dei soggetti danneggiati dall'incidente. La normativa prevede un approccio basato sul rischio: non significa che un'azienda venga sanzionata per il fatto di aver subito un attacco, ma le misure preventive adottate (o non adottate) sono un elemento centrale nella valutazione della responsabilità.

Conclusione

La direttiva NIS2 rappresenta un cambiamento strutturale nel modo in cui le imprese italiane devono approcciarsi alla sicurezza informatica. Non si tratta più di una questione tecnica relegata al reparto IT, ma di una responsabilità di governance che coinvolge i vertici aziendali, i processi organizzativi e le relazioni commerciali con fornitori e clienti. Le scadenze del 2026 si avvicinano e, considerando i tempi necessari per un adeguamento serio, il momento di agire è adesso.

Le PMI italiane che affrontano proattivamente questo percorso non stanno solo rispettando un obbligo di legge: stanno costruendo una reputazione di affidabilità che diventerà un vantaggio competitivo concreto nella selezione dei fornitori da parte di grandi aziende e pubblica amministrazione. Al contrario, chi rimanda rischia di trovarsi escluso dalla supply chain digitale proprio nel momento in cui i contratti vengono rinnovati con le nuove clausole di sicurezza.

Non aspettare di ricevere una notifica di non conformità o di perdere un contratto importante. Contatta oggi stesso un esperto di cybersicurezza certificato per ricevere una gap analysis NIS2 personalizzata per la tua azienda: scoprirai qual è il tuo punto di partenza, cosa devi fare concretamente e come pianificare il percorso di adeguamento in modo sostenibile. Un consulente qualificato può aiutarti a trasformare un obbligo normativo complesso in un progetto strutturato, con priorità chiare e costi prevedibili.