La Direttiva NIS2 (Network and Information Security 2) rappresenta oggi una delle sfide normative più rilevanti per le imprese italiane. Recepita in Italia con il Decreto Legislativo n. 138 del 4 settembre 2023, questa normativa europea amplia significativamente il perimetro dei soggetti obbligati alla conformità in materia di cybersicurezza, coinvolgendo per la prima volta migliaia di piccole e medie imprese che in precedenza non erano soggette ad alcun obbligo specifico in questo ambito. Per molti imprenditori italiani, il termine NIS2 suona ancora come qualcosa di lontano e astratto, ma i fatti dicono il contrario: le scadenze si avvicinano e le sanzioni previste sono tutt'altro che simboliche.

Il contesto in cui si inserisce questa normativa è quello di una crescente minaccia cibernetica a livello europeo. Secondo il Rapporto Clusit 2024, l'Italia è uno dei Paesi europei più colpiti da attacchi informatici, con un incremento degli incidenti gravi che ha riguardato in modo particolare le infrastrutture critiche e le aziende della filiera produttiva. Le PMI, spesso prive di strutture IT dedicate e di budget adeguati per la sicurezza, rappresentano un anello debole nelle catene di fornitura di aziende più grandi, e proprio per questo sono diventate bersagli privilegiati dei criminali informatici. La NIS2 nasce proprio per colmare questa lacuna, elevando il livello minimo di protezione sull'intero tessuto produttivo europeo.

In questo articolo ti guidiamo attraverso gli adempimenti pratici richiesti alle PMI italiane, le scadenze stabilite dall'ACN (Agenzia per la Cybersicurezza Nazionale) per il 2026 e una checklist operativa che puoi iniziare a utilizzare da subito. L'obiettivo non è spaventarti con termini tecnici o burocrazia, ma aiutarti a capire cosa devi fare, entro quando e come organizzarti per farlo in modo efficiente e sostenibile per la tua azienda.

Chi è soggetto alla NIS2: capire se la tua PMI rientra nel perimetro obbligatorio

La prima domanda che ogni imprenditore dovrebbe porsi è: la mia azienda rientra nel campo di applicazione della NIS2? La direttiva distingue due categorie di soggetti: i soggetti essenziali e i soggetti importanti. Entrambe le categorie sono soggette a obblighi, ma con livelli di vigilanza e sanzioni differenti. I settori coinvolti sono stati notevolmente ampliati rispetto alla precedente direttiva NIS del 2016 e ora includono energia, trasporti, bancario, infrastrutture dei mercati finanziari, sanitario, acqua potabile, acque reflue, infrastrutture digitali, pubblica amministrazione, spazio, servizi postali, gestione rifiuti, produzione e distribuzione di prodotti chimici, alimentare, manifatturiero e fornitori di servizi digitali.

Per quanto riguarda le dimensioni aziendali, la NIS2 si applica in linea generale alle medie imprese (con almeno 50 dipendenti o un fatturato annuo superiore a 10 milioni di euro) operanti nei settori indicati. Tuttavia, esistono eccezioni importanti: alcune tipologie di soggetti sono incluse indipendentemente dalle dimensioni, come i fornitori di reti pubbliche di comunicazione elettronica, le autorità di certificazione e i registri dei nomi a dominio. In Italia, l'ACN ha il compito di definire e aggiornare l'elenco dei soggetti obbligati.

Un aspetto spesso sottovalutato riguarda l'effetto a cascata sulla filiera: anche una PMI che formalmente non rientra nel perimetro NIS2 potrebbe essere obbligata contrattualmente dai propri clienti — aziende soggette alla normativa — ad adottare misure di sicurezza equivalenti. È quindi opportuno verificare i propri contratti e rapporti commerciali con attenzione, indipendentemente dalla propria dimensione o settore.

Le scadenze ACN 2026: il calendario degli adempimenti da non perdere

L'ACN ha stabilito un percorso di implementazione progressiva che prevede tappe precise. La fase più critica per le PMI riguarda la registrazione sulla piattaforma digitale ACN, che i soggetti obbligati devono completare entro i termini previsti dal decreto attuativo. Secondo quanto comunicato dall'Agenzia, il processo di registrazione e notifica è stato avviato nel corso del 2024, con la piattaforma ufficiale resa disponibile per consentire alle aziende di auto-classificarsi e comunicare i propri dati.

Le scadenze principali da tenere a mente per il 2025-2026 sono le seguenti:

  • Entro il 31 dicembre 2024: primo ciclo di registrazione sulla piattaforma ACN per i soggetti già identificati come essenziali o importanti.
  • Primo semestre 2025: comunicazione da parte di ACN ai soggetti registrati della loro classificazione definitiva e degli obblighi specifici applicabili.
  • Dal 2025: applicazione progressiva degli obblighi di sicurezza, con priorità per i soggetti essenziali.
  • 2026: piena operatività del regime sanzionatorio e completamento dell'implementazione delle misure di sicurezza per i soggetti importanti, incluse molte PMI dei settori produttivi e dei servizi digitali.

Le sanzioni previste per i soggetti che non rispettano gli obblighi NIS2 sono significative: per i soggetti essenziali si arriva fino a 10 milioni di euro o il 2% del fatturato mondiale annuo (si applica il valore più alto); per i soggetti importanti fino a 7 milioni di euro o l'1,4% del fatturato mondiale annuo. È importante sottolineare che la responsabilità ricade anche sugli organi di amministrazione e direzione, che possono essere ritenuti personalmente responsabili in caso di violazioni gravi.

Gli obblighi tecnici e organizzativi: cosa deve fare concretamente la tua azienda

La NIS2 non si limita a richiedere l'adozione di tecnologie specifiche, ma impone un approccio sistemico alla gestione del rischio cibernetico. Gli obblighi si articolano in due macro-aree: misure di sicurezza tecnico-organizzative e obblighi di notifica degli incidenti. Sul fronte tecnico-organizzativo, l'articolo 24 del D.Lgs. 138/2023 elenca le misure minime che i soggetti obbligati devono adottare.

Le principali misure richieste includono:

  • Politiche di analisi del rischio e sicurezza dei sistemi informativi: ogni azienda deve documentare il proprio approccio alla valutazione e gestione del rischio cyber.
  • Gestione degli incidenti: procedure chiare per rilevare, rispondere e recuperare da incidenti di sicurezza informatica.
  • Continuità operativa (Business Continuity) e gestione delle crisi: piani di backup, disaster recovery e ripristino dei sistemi.
  • Sicurezza della catena di approvvigionamento: valutazione e gestione dei rischi legati ai fornitori di tecnologie e servizi IT.
  • Sicurezza nello sviluppo e acquisizione di sistemi: applicazione di principi di security-by-design.
  • Politiche e procedure per la gestione delle vulnerabilità: processi strutturati per identificare, valutare e correggere le vulnerabilità dei sistemi.
  • Igiene informatica di base e formazione del personale in materia di cybersicurezza.
  • Crittografia e cifratura dei dati sensibili, sia in transito che a riposo.
  • Sicurezza delle risorse umane, controllo degli accessi e gestione delle identità.
  • Autenticazione a più fattori (MFA - Multi-Factor Authentication) per l'accesso ai sistemi critici.

Per quanto riguarda la notifica degli incidenti, i soggetti obbligati devono comunicare all'ACN (tramite il CSIRT Italia) gli incidenti significativi entro 24 ore dalla loro rilevazione per una prima segnalazione, e fornire una notifica completa entro 72 ore. Questo obbligo richiede che le aziende abbiano già predisposto procedure interne di incident detection e risposta, altrimenti sarà impossibile rispettare questi termini strettissimi.

Checklist operativa NIS2 per PMI: da dove iniziare subito

Affrontare la NIS2 senza un piano strutturato può sembrare impossibile, specialmente per chi non dispone di un reparto IT interno. La buona notizia è che molte delle misure richieste possono essere implementate in modo progressivo, partendo dalle azioni più urgenti e a maggiore impatto. Di seguito trovi una checklist pratica pensata specificamente per le PMI italiane, organizzata in tre livelli di priorità.

Fase 1 — Priorità immediata (entro 30-60 giorni):

  1. Verificare se la propria azienda rientra nel perimetro NIS2 (settore, dimensioni, tipologia di servizi).
  2. Registrarsi sulla piattaforma ACN e completare la procedura di auto-classificazione.
  3. Nominare un referente interno per la cybersicurezza (anche non necessariamente un tecnico, ma con responsabilità formale).
  4. Effettuare un inventario di tutti i sistemi informatici, applicazioni e dati gestiti dall'azienda.
  5. Attivare l'autenticazione a più fattori su tutti i sistemi critici (email aziendale, gestionale, VPN).

Fase 2 — Medio termine (entro 3-6 mesi):

  1. Condurre una gap analysis formale rispetto ai requisiti NIS2, idealmente con il supporto di un consulente specializzato.
  2. Implementare una politica di backup testata e documentata, con copie off-site o su cloud sicuro.
  3. Avviare un processo di gestione delle patch e degli aggiornamenti software su tutti i dispositivi aziendali.
  4. Definire e documentare le procedure di risposta agli incidenti.
  5. Avviare un programma di formazione base sulla cybersicurezza per tutti i dipendenti.

Fase 3 — Completamento (entro fine 2025/inizio 2026):

  1. Implementare un sistema di monitoraggio degli eventi di sicurezza (SIEM o servizio MDR gestito).
  2. Completare la valutazione dei rischi della catena di fornitura IT.
  3. Redigere e approvare formalmente il piano di continuità operativa.
  4. Effettuare un test di simulazione di incidente per verificare l'efficacia delle procedure.
  5. Verificare la conformità delle misure implementate con l'ausilio di una terza parte.

Domande frequenti

La mia piccola impresa con 20 dipendenti è soggetta alla NIS2?

In linea generale, la NIS2 si applica alle aziende con almeno 50 dipendenti o 10 milioni di euro di fatturato operanti nei settori indicati dalla normativa. Un'impresa con 20 dipendenti potrebbe quindi essere esclusa dal perimetro diretto della direttiva. Tuttavia, esistono eccezioni legate al tipo di servizio erogato: alcune categorie di soggetti sono incluse indipendentemente dalle dimensioni, come i fornitori di infrastrutture digitali critiche. Inoltre, anche se non direttamente obbligata, la tua azienda potrebbe ricevere richieste di conformità dai propri clienti maggiori. È consigliabile effettuare una verifica specifica della propria situazione, possibilmente con il supporto di un consulente o verificando le indicazioni sul portale ufficiale ACN.

Quali sono le sanzioni concrete previste per chi non si adegua alla NIS2?

Le sanzioni previste dal D.Lgs. 138/2023 sono significative e si differenziano in base alla categoria del soggetto. I soggetti essenziali rischiano sanzioni fino a 10 milioni di euro o il 2% del fatturato mondiale totale annuo (si applica il valore più alto tra i due). I soggetti importanti rischiano sanzioni fino a 7 milioni di euro o l'1,4% del fatturato mondiale totale annuo. Oltre alle sanzioni pecuniarie, la normativa prevede la possibilità di misure inibitorie temporanee, obblighi di comunicazione pubblica degli incidenti e, nei casi più gravi, limitazioni operative. Da sottolineare che la responsabilità può estendersi agli organi di gestione dell'azienda.

È possibile gestire la conformità NIS2 internamente senza ricorrere a consulenti esterni?

Dipende dalle risorse interne disponibili. Se la tua azienda dispone di personale IT competente e del tempo necessario per dedicarsi al progetto, è teoricamente possibile gestire parte del percorso di conformità internamente. Tuttavia, data la complessità tecnica e giuridica della normativa, nella pratica la maggior parte delle PMI italiane si affida almeno parzialmente a consulenti specializzati in cybersicurezza e compliance normativa. Un approccio ibrido è spesso il più efficiente: gestire internamente le attività operative quotidiane (formazione del personale, aggiornamenti software, backup) e affidarsi a esperti esterni per la gap analysis iniziale, la redazione dei documenti normativi e le verifiche periodiche.

La NIS2 si sovrappone al GDPR? Devo gestire due conformità separate?

NIS2 e GDPR (Regolamento Generale sulla Protezione dei Dati) sono normative distinte ma complementari. Il GDPR si concentra sulla protezione dei dati personali, mentre la NIS2 riguarda la sicurezza delle reti e dei sistemi informativi in senso più ampio. In pratica, molte delle misure di sicurezza richieste dalla NIS2 — come la gestione degli accessi, la crittografia, i backup e la risposta agli incidenti — sono le stesse che un'azienda ben organizzata dovrebbe già aver implementato per il GDPR. Questo significa che, se hai già lavorato seriamente sulla conformità GDPR, hai probabilmente già una base su cui costruire. Le due conformità non si escludono a vicenda e possono essere gestite in modo integrato, ottimizzando gli sforzi e riducendo i costi complessivi.

Conclusione

La NIS2 non è una minaccia da ignorare né un ostacolo insormontabile: è un'opportunità concreta per rafforzare la sicurezza della tua azienda, proteggere il tuo business dai rischi informatici crescenti e mantenere la fiducia dei tuoi clienti e partner commerciali. Il percorso verso la conformità richiede pianificazione, risorse e competenze specifiche, ma con il giusto approccio è assolutamente alla portata anche di una PMI italiana.

Il tempo per iniziare è adesso: le scadenze ACN del 2026 potrebbero sembrare lontane, ma l'implementazione di tutte le misure richieste richiede mesi di lavoro, formazione e verifiche. Aspettare l'ultimo momento significa correre il rischio di non farcela in tempo, esponendosi a sanzioni e, soprattutto, lasciando la propria azienda vulnerabile ad attacchi che potrebbero causare danni ben maggiori di qualsiasi sanzione amministrativa.

Se vuoi sapere esattamente dove si trova la tua azienda rispetto agli obblighi NIS2 e come costruire un piano di adeguamento concreto e sostenibile per le tue risorse, contatta oggi stesso un esperto IT specializzato in cybersicurezza e conformità normativa. Un primo assessment della situazione attuale è il passo più importante che puoi fare per proteggere il futuro della tua impresa.