La direttiva NIS2 (Network and Information Security 2) è entrata ufficialmente nell'ordinamento italiano con il Decreto Legislativo n. 138 del 4 settembre 2023, recependo la direttiva europea 2022/2555. Se fino a qualche anno fa la cybersecurity era considerata un problema esclusivo delle grandi aziende o delle infrastrutture critiche dello Stato, oggi il quadro è radicalmente cambiato. La NIS2 allarga in modo significativo il perimetro dei soggetti obbligati, coinvolgendo per la prima volta migliaia di piccole e medie imprese italiane che operano in settori ritenuti essenziali o importanti per l'economia e la società.

Il contesto in cui nasce questa normativa non è casuale. Secondo il Rapporto Clusit 2024, l'Italia è tra i Paesi europei più colpiti da attacchi informatici, con un incremento degli incidenti gravi registrati anche nei confronti di aziende manifatturiere, sanitarie e di servizi. Le PMI, spesso prive di strutture IT dedicate e con budget limitati per la sicurezza, rappresentano un bersaglio sempre più frequente per i criminali informatici, proprio perché costituiscono l'ossatura produttiva del nostro Paese: secondo i dati ISTAT, le imprese con meno di 250 dipendenti rappresentano oltre il 99% del tessuto imprenditoriale italiano.

In questo scenario, ignorare la NIS2 non è un'opzione. Le sanzioni previste per la mancata conformità sono severe, i termini per l'adeguamento si avvicinano rapidamente e le implicazioni pratiche riguardano processi, tecnologie e responsabilità delle figure apicali aziendali. Questa guida è pensata per aiutare imprenditori, responsabili IT e consulenti a capire cosa prevede concretamente la NIS2, chi è obbligato, entro quando bisogna agire e quanto si deve investire per essere in regola.

Chi sono i soggetti obbligati dalla NIS2: PMI italiane a rischio esclusione o inclusione

Uno degli aspetti più complessi della NIS2 riguarda l'individuazione dei soggetti obbligati. La direttiva distingue tra soggetti essenziali e soggetti importanti, e la classificazione dipende da settore di appartenenza, dimensioni aziendali e ruolo nella catena del valore. In Italia, l'autorità competente per la supervisione è l'ACN (Agenzia per la Cybersicurezza Nazionale), che ha il compito di tenere il registro nazionale dei soggetti NIS.

In termini generali, sono potenzialmente soggetti alla NIS2 le aziende che operano nei seguenti settori ad alta criticità:

  • Energia (elettricità, gas, petrolio, idrogeno)
  • Trasporti (aereo, ferroviario, marittimo, stradale)
  • Settore bancario e infrastrutture dei mercati finanziari
  • Sanità e produzione farmaceutica
  • Acqua potabile e acque reflue
  • Infrastrutture digitali e servizi ICT
  • Pubblica amministrazione
  • Spazio

Ai settori importanti appartengono invece: servizi postali, gestione rifiuti, produzione e distribuzione di prodotti chimici, produzione alimentare, fabbricazione di dispositivi medici, motori, veicoli e macchinari, fornitori di servizi digitali. La soglia dimensionale di riferimento è quella della media impresa: almeno 50 dipendenti oppure fatturato o bilancio annuo superiore a 10 milioni di euro. Tuttavia, il decreto italiano prevede alcune eccezioni che possono far rientrare anche imprese più piccole se svolgono funzioni critiche o se sono fornitori chiave di soggetti essenziali.

Un aspetto spesso sottovalutato riguarda la supply chain: anche le PMI che non rientrano direttamente nell'ambito NIS2 potrebbero essere indirettamente obbligate a rispettare determinati standard di sicurezza se lavorano come fornitori di aziende soggette alla direttiva. Questo significa che molte imprese italiane dovranno adeguarsi non per obbligo diretto, ma per non perdere contratti con clienti che devono dimostrare di avere una filiera sicura.

Obblighi concreti NIS2: cosa devono fare le aziende italiane in pratica

La NIS2 non si limita a richiedere generiche misure di sicurezza: definisce un insieme preciso di obblighi tecnici e organizzativi che le aziende devono implementare. L'articolo 24 del decreto legislativo italiano li descrive in dettaglio, richiedendo un approccio basato sulla gestione del rischio.

Le misure minime obbligatorie includono:

  • Politiche di sicurezza delle reti e dei sistemi informativi: ogni azienda deve dotarsi di policy documentate e aggiornate
  • Gestione degli incidenti: procedure formali per rilevare, rispondere e notificare gli incidenti di sicurezza
  • Continuità operativa e disaster recovery: piani di backup, ripristino e gestione delle crisi
  • Sicurezza della catena di approvvigionamento: valutazione dei rischi associati ai fornitori IT e non IT
  • Sicurezza nello sviluppo e acquisizione di sistemi: pratiche di sviluppo sicuro del software
  • Formazione del personale: programmi di sensibilizzazione e formazione sulla cybersecurity
  • Uso della crittografia: protezione dei dati in transito e a riposo
  • Autenticazione a più fattori (MFA): obbligatoria per l'accesso ai sistemi critici
  • Gestione delle vulnerabilità: processi di patching e monitoraggio continuo

Un elemento di grande novità è la responsabilità diretta degli organi di amministrazione. Il decreto italiano prevede che i vertici aziendali — amministratori delegati, consigli di amministrazione — debbano approvare le misure di sicurezza adottate e partecipare alla formazione sulla cybersecurity. Questo sposta la responsabilità dalla sola funzione IT all'intera governance aziendale. In caso di violazione grave, gli organi di gestione possono essere ritenuti personalmente responsabili.

Sul fronte della notifica degli incidenti, le aziende soggette NIS2 devono rispettare tempi molto precisi: entro 24 ore dalla rilevazione di un incidente significativo deve essere inviato un preallarme all'ACN; entro 72 ore una notifica completa; entro un mese una relazione finale dettagliata. Questi obblighi richiedono processi interni ben rodati e, spesso, l'ausilio di strumenti tecnologici specifici come SIEM (Security Information and Event Management) o SOC (Security Operations Center).

Scadenze NIS2 2025-2026: il calendario degli adempimenti per le PMI

La gestione delle scadenze è uno degli aspetti più critici per le PMI italiane, che spesso scoprono tardi le proprie obbligazioni normative. Il decreto legislativo 138/2023 ha stabilito un percorso a tappe che richiede attenzione.

Il primo passo fondamentale era la registrazione sulla piattaforma ACN, il cui processo di apertura alle aziende è iniziato nel corso del 2024. Le aziende che rientrano nel perimetro NIS2 devono registrarsi e fornire informazioni sulla propria organizzazione, sui sistemi informativi utilizzati e sui referenti per la sicurezza. La mancata registrazione è già di per sé sanzionabile.

Il calendario degli adempimenti principali prevede:

  • Entro il 31 marzo 2025: completamento della fase di registrazione e auto-censimento dei soggetti
  • Entro il 2025: prima valutazione del rischio e gap analysis rispetto ai requisiti NIS2
  • Entro il 2026: piena implementazione delle misure di sicurezza obbligatorie e conformità completa

È importante sottolineare che l'ACN sta adottando un approccio graduale, supportando le aziende nel percorso di adeguamento piuttosto che applicare immediatamente sanzioni. Tuttavia, questo non significa che si possa rimandare indefinitamente: le aziende che non avranno avviato un percorso credibile di adeguamento entro il 2026 rischieranno sanzioni fino al 2% del fatturato mondiale annuo per i soggetti essenziali, e fino all'1,4% per i soggetti importanti. Si tratta di importi potenzialmente molto rilevanti anche per le PMI.

Costi di adeguamento NIS2 per le PMI italiane: investimenti realistici

Una delle domande più frequenti che si pongono gli imprenditori italiani riguarda il costo concreto dell'adeguamento. Non esiste una risposta universale, poiché i costi variano enormemente in base alle dimensioni aziendali, al settore, al livello di maturità tecnologica di partenza e alla complessità dell'infrastruttura IT esistente. Tuttavia, è possibile fornire alcune indicazioni di massima basate sull'esperienza sul campo.

Per una PMI media italiana con 50-200 dipendenti, un percorso completo di adeguamento NIS2 può richiedere un investimento indicativo compreso tra 30.000 e 150.000 euro, distribuito su due o tre anni. Questa forbice ampia dipende da quanto l'azienda è già avanzata in termini di sicurezza: chi ha già implementato backup strutturati, MFA e policy di sicurezza partirà da una posizione molto più favorevole rispetto a chi parte quasi da zero.

Le voci di costo principali includono:

  • Gap analysis e consulenza iniziale: da 3.000 a 15.000 euro a seconda della complessità
  • Aggiornamento infrastruttura IT (firewall di nuova generazione, sistemi EDR, MFA): da 10.000 a 50.000 euro
  • Soluzioni di backup e disaster recovery: da 5.000 a 20.000 euro annui
  • Formazione del personale e del management: da 2.000 a 8.000 euro annui
  • Redazione di policy e procedure documentali: da 3.000 a 10.000 euro
  • Monitoraggio continuo e gestione incidenti (SOC o servizi MSSP): da 10.000 a 40.000 euro annui

Un'opzione sempre più percorsa dalle PMI italiane è quella di rivolgersi a MSSP (Managed Security Service Provider) che offrono servizi di sicurezza gestiti in abbonamento, diluendo i costi nel tempo e garantendo competenze specialistiche difficili da mantenere internamente. Questo modello è particolarmente adatto alle PMI che non possono permettersi un responsabile della sicurezza informatica (CISO) a tempo pieno. Va ricordato, infine, che esistono incentivi pubblici e bandi regionali o nazionali (come il Piano Transizione 4.0 o fondi PNRR dedicati alla digitalizzazione) che possono contribuire a cofinanziare parte degli investimenti in cybersecurity.

Domande frequenti

La mia PMI rientra nell'obbligo NIS2 se non opero in settori critici?

Non necessariamente, ma è fondamentale non dare nulla per scontato. Se la tua azienda supera le soglie dimensionali (50 dipendenti o 10 milioni di fatturato) e opera in uno dei settori indicati dall'allegato I o II del decreto, sei probabilmente soggetto alla normativa. Anche se non rientri direttamente, potresti essere indirettamente obbligato come fornitore di un soggetto NIS2. Il consiglio è di effettuare una verifica formale con un consulente specializzato prima di escludersi autonomamente dall'ambito di applicazione.

Cosa rischio concretamente se non mi adeguo alla NIS2?

Le sanzioni previste dal decreto legislativo 138/2023 sono significative: fino al 2% del fatturato mondiale annuo per i soggetti essenziali e fino all'1,4% per quelli importanti, con un minimo di 7 milioni di euro per i primi e 1,4 milioni per i secondi. Oltre alle sanzioni pecuniarie, l'ACN può disporre misure temporanee come la sospensione delle autorizzazioni operative. La responsabilità si estende anche agli organi di gestione, che possono essere dichiarati temporaneamente non idonei a ricoprire ruoli manageriali.

Qual è il primo passo pratico da fare per iniziare il percorso NIS2?

Il primo passo concreto è effettuare una gap analysis, ovvero un'analisi comparativa tra la situazione attuale della tua azienda e i requisiti previsti dalla NIS2. Questo assessment consente di identificare le aree critiche su cui intervenire, stimare i costi di adeguamento e pianificare le attività in modo prioritario. Parallelamente, è necessario completare la registrazione sulla piattaforma ACN. Entrambe le attività richiedono il coinvolgimento di professionisti IT con competenze specifiche in cybersecurity e normativa.

La NIS2 si sovrappone al GDPR? Devo gestirle separatamente?

NIS2 e GDPR sono normative distinte ma complementari. Il GDPR si concentra sulla protezione dei dati personali, mentre la NIS2 riguarda la sicurezza delle reti e dei sistemi informativi in senso più ampio. Tuttavia, molte misure tecniche richieste dalla NIS2 (come la crittografia, la gestione degli accessi e il monitoraggio degli incidenti) contribuiscono anche alla conformità GDPR. Un approccio integrato alla sicurezza e alla compliance, gestito da un unico consulente o team specializzato, è generalmente più efficiente e meno costoso rispetto a trattarle come percorsi separati.

Conclusione

La direttiva NIS2 rappresenta un cambiamento strutturale nel modo in cui le PMI italiane devono approcciarsi alla cybersecurity. Non si tratta di un adempimento burocratico da sbrigare con un click, ma di un percorso che richiede investimenti, pianificazione e un cambio culturale a partire dalla governance aziendale. Le aziende che inizieranno presto avranno il vantaggio di distribuire i costi nel tempo, di accedere eventualmente a incentivi pubblici e di costruire una postura di sicurezza che le proteggerà realmente dagli attacchi informatici, sempre più frequenti e sofisticati.

Il tempo per rimandare è finito: le scadenze del 2026 si avvicinano e l'ACN sta progressivamente attivando i meccanismi di verifica e sanzionamento. Agire oggi significa proteggere la tua azienda domani: proteggere i dati dei clienti, la continuità operativa, la reputazione e il valore del tuo business.

Se non sai da dove cominciare, o se hai bisogno di capire se la tua azienda rientra nell'ambito NIS2, contatta subito un esperto IT certificato in cybersecurity. Un professionista qualificato potrà guidarti nella gap analysis iniziale, aiutarti a definire un piano di adeguamento realistico e sostenibile, e supportarti in ogni fase del percorso verso la piena conformità. Non aspettare una sanzione o, peggio, un attacco informatico per prendere sul serio la sicurezza della tua impresa.