La direttiva europea NIS2 (Network and Information Security 2) non è più una questione riservata ai grandi gruppi industriali o alle multinazionali. Dal momento del suo recepimento in Italia con il Decreto Legislativo 138/2024, entrato in vigore il 16 ottobre 2024, anche migliaia di piccole e medie imprese italiane si trovano oggi a dover fare i conti con obblighi concreti in materia di cybersicurezza. Il tema è urgente: l'Agenzia per la Cybersicurezza Nazionale (ACN) ha avviato il processo di registrazione e le prime scadenze operative si avvicinano rapidamente nel corso del 2025 e del 2026.

Il contesto in cui si inserisce questa normativa è tutt'altro che tranquillizzante. Secondo il Rapporto Clusit 2024, l'Italia è tra i Paesi europei più colpiti da attacchi informatici, con un incremento degli incidenti gravi che coinvolge sempre più spesso fornitori e subappaltatori di aziende strutturate. Le PMI, che rappresentano la spina dorsale dell'economia italiana e costituiscono oltre il 99% del tessuto produttivo nazionale secondo i dati ISTAT, sono diventate il bersaglio preferito dei cybercriminali proprio perché spesso meno protette rispetto alle grandi organizzazioni.

Il rischio, però, non è solo quello di subire un attacco informatico. Per le PMI italiane che lavorano come fornitori di aziende medio-grandi o di enti pubblici, la mancata conformità alla NIS2 si traduce in un pericolo ancora più immediato e tangibile: l'esclusione dalla supply chain. Le aziende obbligate dalla direttiva, infatti, devono garantire standard di sicurezza lungo tutta la catena di fornitura, e questo significa che i loro fornitori — anche piccoli — dovranno dimostrare requisiti minimi di cybersicurezza per continuare a lavorare con loro. Capire cosa fare e quando farlo è diventato, oggi, una priorità strategica.

Chi sono i soggetti obbligati dalla NIS2 in Italia: le categorie e le soglie dimensionali

La direttiva NIS2 amplia significativamente il perimetro dei soggetti obbligati rispetto alla precedente NIS1. Il decreto italiano distingue tra soggetti essenziali e soggetti importanti, ciascuno con livelli di obbligo e sanzioni differenti. I settori coinvolti spaziano dall'energia ai trasporti, dalla sanità all'infrastruttura digitale, dai servizi bancari alla gestione dei rifiuti, fino al settore alimentare e manifatturiero per le componenti critiche.

Per quanto riguarda le dimensioni aziendali, la norma si applica in via principale a medie imprese (con almeno 50 dipendenti e fatturato o bilancio annuo superiore a 10 milioni di euro) e a grandi imprese. Tuttavia, esistono eccezioni rilevanti: alcune tipologie di organizzazioni sono obbligate indipendentemente dalle dimensioni, come i fornitori di reti pubbliche di comunicazione, i registrar di nomi a dominio e le pubbliche amministrazioni. Questo significa che anche una PMI con meno di 50 dipendenti potrebbe rientrare nell'ambito di applicazione se opera in determinati settori critici.

Per verificare la propria posizione, è fondamentale che ogni impresa effettui un'analisi interna basata su questi criteri:

  • Settore di appartenenza: verificare se l'attività rientra negli allegati I o II del D.Lgs. 138/2024
  • Dimensione aziendale: contare dipendenti, fatturato e totale di bilancio secondo le definizioni europee
  • Ruolo nella supply chain: anche un'azienda non direttamente obbligata potrebbe essere soggetta a requisiti contrattuali imposti dai clienti
  • Presenza di infrastrutture critiche: data center, cloud, servizi DNS, piattaforme digitali B2B

Le scadenze ACN 2026: il calendario degli obblighi che ogni PMI deve conoscere

L'ACN ha definito un percorso strutturato per l'adeguamento. La prima fase cruciale è stata la registrazione sulla piattaforma ACN, che i soggetti obbligati hanno dovuto completare entro il 28 febbraio 2025. Questa registrazione non è una semplice formalità burocratica: è il punto di ingresso nel sistema di vigilanza italiano sulla cybersicurezza e determina la classificazione del soggetto come essenziale o importante.

Successivamente, nel corso del 2025 e con completamento previsto entro il 31 dicembre 2026, i soggetti registrati dovranno implementare le misure tecniche e organizzative previste dalla normativa. Il calendario indicativo prevede che entro la prima metà del 2026 vengano adottate le misure minime di sicurezza, mentre entro fine anno dovrà essere operativo l'intero sistema di gestione della sicurezza delle informazioni. Le sanzioni per i soggetti essenziali non conformi possono arrivare fino a 10 milioni di euro o al 2% del fatturato annuo globale, mentre per i soggetti importanti fino a 7 milioni di euro o all'1,4% del fatturato.

Le principali scadenze da tenere a mente sono:

  • 28 febbraio 2025: termine per la registrazione sulla piattaforma ACN
  • Primo semestre 2026: adozione delle misure minime di sicurezza obbligatorie
  • 31 dicembre 2026: piena operatività del sistema di gestione della cybersicurezza
  • Entro 24 ore: notifica all'ACN in caso di incidente significativo (obbligo già attivo)

Gli obblighi concreti di sicurezza: cosa deve fare una PMI per essere conforme

Al di là delle scadenze burocratiche, il cuore della NIS2 sta negli obblighi tecnici e organizzativi che le aziende devono implementare. L'articolo 24 del D.Lgs. 138/2024 elenca le misure che i soggetti obbligati devono adottare, basandosi su un approccio risk-based, ovvero proporzionato al rischio effettivo dell'organizzazione. Per una PMI, questo si traduce in azioni concrete e non in astratti principi teorici.

Sul piano organizzativo, la norma richiede che il management aziendale — non solo il reparto IT — sia direttamente responsabile e formato sulle tematiche di cybersicurezza. Gli amministratori e i dirigenti devono approvare le politiche di sicurezza e possono essere ritenuti personalmente responsabili in caso di inadempienza. Questo è un cambiamento culturale profondo per molte PMI italiane, dove la sicurezza informatica è stata spesso delegata a un singolo tecnico o a un fornitore esterno senza un reale coinvolgimento della direzione.

Le misure tecniche minime richieste comprendono:

  • Gestione del rischio: analisi periodica dei rischi informatici e adozione di contromisure adeguate
  • Sicurezza nella supply chain: valutazione dei fornitori IT e contratti che includano requisiti di sicurezza
  • Gestione degli incidenti: procedure documentate per rilevare, rispondere e notificare gli incidenti
  • Continuità operativa: piani di backup, disaster recovery e business continuity testati e aggiornati
  • Sicurezza delle reti: segmentazione della rete, controllo degli accessi, autenticazione a più fattori (MFA)
  • Crittografia: protezione dei dati sensibili in transito e a riposo
  • Formazione del personale: programmi continuativi di sensibilizzazione sulla cybersicurezza

Un esempio pratico: un'azienda metalmeccanica di 60 dipendenti che fornisce componenti a un grande gruppo automotive dovrà, come minimo, implementare un sistema di backup offsite testato regolarmente, adottare l'autenticazione a due fattori su tutti i sistemi aziendali, documentare le procedure di risposta agli incidenti e formare il personale almeno una volta all'anno sui rischi informatici. Non si tratta di investimenti impossibili, ma richiedono pianificazione e, nella maggior parte dei casi, il supporto di un professionista esterno qualificato.

Il rischio esclusione dalla supply chain: perché la NIS2 riguarda anche chi non è obbligato direttamente

Forse il rischio più sottovalutato per le PMI italiane non è la sanzione diretta dell'ACN, ma la perdita di contratti e opportunità commerciali. Le grandi aziende obbligate dalla NIS2 devono verificare e garantire che i propri fornitori rispettino standard minimi di sicurezza. Questo obbligo si trasferisce lungo tutta la catena di fornitura attraverso clausole contrattuali, questionari di assessment e audit periodici.

In pratica, uno studio di ingegneria con 30 dipendenti che lavora come subappaltatore per un'azienda di costruzioni impegnata in infrastrutture pubbliche, oppure una software house che fornisce gestionali a ospedali o enti pubblici, potrebbero trovarsi a dover rispondere a richieste precise di conformità NIS2 semplicemente perché i loro clienti sono soggetti obbligati. Chi non sarà in grado di dimostrare requisiti adeguati rischierà di essere sostituito da fornitori più conformi, spesso individuati proprio grazie a piattaforme di vendor management che includono criteri di cybersicurezza.

Questo fenomeno è già visibile in altri Paesi europei dove la NIS2 è stata recepita prima: in Germania e nei Paesi Bassi, le grandi aziende manifatturiere hanno già iniziato a inviare questionari di sicurezza ai propri fornitori italiani, richiedendo prove documentali di conformità. Le PMI che si trovano impreparate di fronte a queste richieste rischiano di perdere contratti significativi nel breve termine. La conformità NIS2, quindi, non è solo un obbligo legale: è sempre più un requisito di accesso al mercato.

Domande frequenti

Come faccio a sapere se la mia PMI è obbligata dalla NIS2?

Il primo passo è verificare se il settore in cui opera la tua azienda rientra negli allegati I o II del D.Lgs. 138/2024. I settori principali includono energia, trasporti, banche, infrastrutture digitali, sanità, acqua, infrastrutture dei mercati finanziari, produzione di dispositivi critici e parte del manifatturiero. Se operi in uno di questi settori con almeno 50 dipendenti e 10 milioni di euro di fatturato, sei quasi certamente un soggetto obbligato. In caso di dubbio, l'ACN mette a disposizione una piattaforma di registrazione e autovalutazione sul portale ufficiale acn.gov.it. È fortemente consigliato confrontarsi con un consulente di cybersicurezza o un legale specializzato prima di procedere alla registrazione, per evitare errori di classificazione che potrebbero avere conseguenze legali.

Quali sono le sanzioni previste per chi non si adegua alla NIS2?

Le sanzioni variano in base alla classificazione dell'azienda. Per i soggetti essenziali, le multe possono arrivare fino a 10 milioni di euro oppure al 2% del fatturato annuo mondiale totale, applicando il valore più elevato tra i due. Per i soggetti importanti, il tetto è di 7 milioni di euro o dell'1,4% del fatturato. Oltre alle sanzioni pecuniarie, la normativa prevede la possibilità di misure accessorie come la sospensione temporanea delle certificazioni e, in casi gravi, la responsabilità personale dei dirigenti. È importante sottolineare che le autorità di vigilanza applicheranno le sanzioni in modo proporzionale, tenendo conto della gravità della violazione, della dimensione aziendale e del grado di cooperazione mostrato dall'impresa.

Quanto costa adeguarsi alla NIS2 per una piccola azienda?

Non esiste un costo standard, perché dipende molto dal punto di partenza dell'azienda e dal settore in cui opera. Una PMI che ha già implementato buone pratiche di sicurezza informatica — come backup regolari, antivirus aggiornato, autenticazione a due fattori e formazione del personale — potrebbe dover investire principalmente nella documentazione e nella formalizzazione dei processi, con costi relativamente contenuti. Al contrario, un'azienda che parte da zero potrebbe dover affrontare investimenti più significativi in tecnologia, consulenza e formazione. In termini generali, molti esperti del settore stimano che per una PMI di medie dimensioni i costi di un primo adeguamento si collochino in una fascia compresa tra pochi migliaia e alcune decine di migliaia di euro, a seconda della complessità dell'infrastruttura IT. Esistono inoltre alcune agevolazioni fiscali per gli investimenti in cybersicurezza che è opportuno verificare con il proprio commercialista.

Cosa succede se la mia azienda non è obbligata ma i miei clienti mi chiedono conformità NIS2?

Questa è una situazione sempre più comune e destinata a diventare la norma nei prossimi anni. Se i tuoi clienti — che sono soggetti obbligati dalla NIS2 — ti chiedono di dimostrare requisiti di sicurezza, hai essenzialmente due opzioni: adeguarti oppure rischiare di perdere quei contratti. La buona notizia è che le misure richieste solitamente nella supply chain non sono necessariamente le stesse applicate ai soggetti direttamente obbligati, ma sono proporzionate al ruolo e all'accesso che il fornitore ha ai sistemi del cliente. Un punto di partenza efficace è richiedere al cliente un questionario di autovalutazione, capire esattamente cosa viene richiesto e pianificare gli interventi prioritari. Certificazioni come la ISO/IEC 27001 o standard come il Cyber Essentials possono essere utili per dimostrare la conformità in modo strutturato e riconoscibile.

Conclusione

La NIS2 rappresenta una svolta epocale nella gestione della cybersicurezza per le imprese italiane. Non si tratta di un adempimento burocratico da gestire all'ultimo momento, ma di un cambiamento strutturale che richiede pianificazione, investimento e, soprattutto, consapevolezza da parte di tutta la direzione aziendale. Le scadenze ACN del 2026 si avvicinano rapidamente e il rischio — sia sanzionatorio che commerciale — è reale e concreto per chi rimane indietro.

La buona notizia è che adeguarsi non significa necessariamente affrontare investimenti proibitivi. Molte delle misure richieste corrispondono a buone pratiche IT che migliorano concretamente la resilienza aziendale, riducono il rischio di incidenti costosi e aumentano la fiducia di clienti e partner. Visto in quest'ottica, la conformità NIS2 non è un costo ma un investimento nella continuità e nella competitività della tua impresa.

Non aspettare che sia troppo tardi. Se non hai ancora avviato una valutazione della tua posizione rispetto alla NIS2, il momento di farlo è adesso. Contatta un esperto di cybersicurezza qualificato per un'analisi del gap, scopri dove si trovano le vulnerabilità della tua infrastruttura IT e pianifica un percorso di adeguamento sostenibile. Un professionista specializzato potrà guidarti attraverso il processo di registrazione ACN, la valutazione del rischio e l'implementazione delle misure tecniche e organizzative richieste, evitandoti errori costosi e assicurandoti di essere pronto per le scadenze del 2026.