La direttiva NIS2 (Network and Information Security 2) rappresenta uno dei cambiamenti normativi più rilevanti in materia di cybersicurezza degli ultimi anni per le aziende europee. Recepita in Italia con il Decreto Legislativo 4 settembre 2024, n. 138, questa normativa estende in modo significativo la platea dei soggetti obbligati, coinvolgendo per la prima volta in modo esplicito anche molte piccole e medie imprese italiane operanti in settori considerati critici o importanti per l'economia e la sicurezza nazionale.

Per le PMI italiane, spesso abituate a considerare la cybersicurezza come una preoccupazione delle grandi aziende, NIS2 rappresenta un cambiamento di paradigma. Non si tratta più di una scelta strategica opzionale, ma di un obbligo di legge con scadenze precise, sanzioni amministrative significative e un sistema di vigilanza affidato all'ACN (Agenzia per la Cybersicurezza Nazionale). Ignorare questi adempimenti espone le aziende non solo a rischi finanziari, ma anche a responsabilità dirette degli organi di amministrazione.

In questo articolo analizziamo nel dettaglio cosa prevede NIS2 per le PMI italiane, quali sono le scadenze operative da rispettare entro il 2026, quali misure tecniche e organizzative vanno adottate e come strutturare un percorso di adeguamento concreto e sostenibile anche per realtà aziendali con risorse limitate. L'obiettivo è fornire una guida pratica, non un testo giuridico: parleremo il linguaggio dell'imprenditore, non dell'avvocato.

Chi sono i soggetti obbligati da NIS2: PMI italiane a rischio di esclusione o inclusione

Uno degli aspetti più critici della direttiva NIS2 riguarda l'identificazione dei soggetti obbligati. La normativa distingue tra soggetti essenziali e soggetti importanti, e la differenza non è solo terminologica: cambia il livello di vigilanza e l'entità delle sanzioni. I soggetti essenziali includono operatori di settori come energia, trasporti, bancario, infrastrutture digitali e sanità. I soggetti importanti comprendono settori come servizi postali, gestione rifiuti, produzione alimentare, chimica e manifatturiero avanzato.

La dimensione aziendale è un criterio fondamentale, ma non esclusivo. In linea generale, rientrano nell'ambito di applicazione le medie imprese (più di 50 dipendenti o fatturato superiore a 10 milioni di euro) operanti nei settori indicati. Tuttavia, esistono eccezioni rilevanti: alcune tipologie di aziende sono incluse indipendentemente dalle dimensioni, per esempio i fornitori di reti pubbliche di comunicazione elettronica o i prestatori di servizi fiduciari qualificati.

  • Settori ad alta priorità (allegato I): energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, settore sanitario, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi ICT, pubblica amministrazione, spazio.
  • Settori ad alta priorità (allegato II): servizi postali e di corriere, gestione dei rifiuti, fabbricazione, produzione e distribuzione di sostanze chimiche, produzione, trasformazione e distribuzione di alimenti, fabbricazione di dispositivi medici, computer, elettronica, macchinari, autoveicoli, fornitori di servizi digitali, ricerca.
  • Micro imprese (meno di 10 dipendenti e fatturato sotto 2 milioni): generalmente escluse, salvo eccezioni specifiche previste dal decreto italiano.

Il primo passo concreto per ogni PMI è dunque effettuare una verifica di applicabilità: in quale settore opera l'azienda? Qual è la sua dimensione? Svolge funzioni critiche per la catena di approvvigionamento di soggetti essenziali? ACN ha predisposto e continuerà ad aggiornare i registri dei soggetti obbligati, ma la responsabilità dell'auto-registrazione ricade sull'azienda stessa.

Scadenze NIS2 2025-2026: il calendario degli adempimenti ACN da non perdere

Il calendario degli adempimenti è uno degli aspetti più pratici e urgenti da conoscere. Il decreto legislativo italiano di recepimento ha stabilito una serie di scadenze progressive, con l'obiettivo di permettere alle aziende di adeguarsi gradualmente senza trovarsi a dover fare tutto in una volta. Tuttavia, i tempi sono stretti e alcune scadenze sono già operative o imminenti.

La fase di registrazione sulla piattaforma ACN è il primo adempimento formale. I soggetti che rientrano nell'ambito di applicazione devono registrarsi sul portale dedicato dell'Agenzia per la Cybersicurezza Nazionale. ACN ha comunicato che la piattaforma di registrazione è stata resa disponibile nel corso del 2024 e che i soggetti obbligati devono completare la registrazione secondo le indicazioni operative pubblicate sul sito ufficiale acn.gov.it. È fondamentale monitorare costantemente le comunicazioni ufficiali dell'Agenzia.

  • Entro fine 2024 / inizio 2025: apertura della piattaforma di registrazione ACN e avvio del processo di auto-identificazione dei soggetti.
  • 2025: completamento delle registrazioni, pubblicazione da parte di ACN delle linee guida tecniche e organizzative, avvio delle attività di gap analysis interna.
  • Ottobre 2026: scadenza indicativa per il pieno adeguamento alle misure di sicurezza previste dall'articolo 24 del D.Lgs. 138/2024, comprensiva di implementazione delle misure tecniche, adozione di politiche di sicurezza, formazione del personale e definizione delle procedure di notifica degli incidenti.
  • Ongoing: obbligo di notifica degli incidenti significativi entro 24 ore (notifica preliminare) e 72 ore (notifica dettagliata) dal momento in cui l'organizzazione ne viene a conoscenza.

È importante sottolineare che le scadenze possono essere aggiornate da ACN attraverso provvedimenti attuativi. Le PMI devono nominare un referente interno (o affidarsi a un consulente esterno) che monitorizzi costantemente il sito dell'Agenzia e le Gazzette Ufficiali per non perdere aggiornamenti normativi.

Misure tecniche e organizzative obbligatorie: cosa deve fare concretamente una PMI

L'articolo 24 del decreto di recepimento italiano dettaglia le misure minime di sicurezza che i soggetti obbligati devono adottare. Queste misure seguono un approccio risk-based, ovvero devono essere proporzionate al rischio effettivo dell'organizzazione, tenendo conto delle dimensioni, dell'esposizione al rischio e dell'impatto potenziale degli incidenti. Questo è un punto positivo per le PMI: non si richiede l'adozione di misure sproporzionate rispetto alla realtà aziendale.

In termini pratici, le misure richieste possono essere raggruppate in macro-aree. La prima riguarda la governance della sicurezza: l'organo di amministrazione (il CdA o l'amministratore unico nelle PMI) deve approvare le misure di sicurezza e risponde personalmente della loro attuazione. Questo significa che la sicurezza informatica non può più essere delegata completamente all'IT senza un coinvolgimento della direzione.

  • Politiche di sicurezza delle reti e dei sistemi informativi: documento formale che definisce regole, responsabilità e procedure.
  • Gestione del rischio: identificazione, analisi e trattamento dei rischi cyber con metodologia documentata.
  • Sicurezza della catena di approvvigionamento: valutazione dei fornitori IT e dei partner che hanno accesso ai sistemi aziendali.
  • Gestione degli incidenti: procedure documentate per rilevare, rispondere e notificare gli incidenti di sicurezza.
  • Continuità operativa e disaster recovery: backup verificati, piani di ripristino, gestione delle crisi.
  • Crittografia e controllo degli accessi: cifratura dei dati sensibili, autenticazione multifattore (MFA), principio del minimo privilegio.
  • Sicurezza delle risorse umane: formazione del personale, procedure di onboarding/offboarding sicure.
  • Vulnerability management: processi di aggiornamento sistematico dei software e gestione delle vulnerabilità note.

Un esempio pratico: una PMI con 60 dipendenti che opera nella distribuzione di prodotti alimentari e gestisce un sistema ERP in cloud non ha bisogno di un Security Operations Center (SOC) interno da milioni di euro. Ha però bisogno di un documento di politica di sicurezza, di backup giornalieri verificati, di MFA su tutti gli accessi remoti, di un contratto con un fornitore IT che garantisca supporto in caso di incidente e di un piano scritto su cosa fare se il sistema ERP va offline. Queste sono misure accessibili anche a realtà aziendali di dimensioni ridotte.

Sanzioni NIS2 e responsabilità degli amministratori: i rischi concreti per le PMI

Uno degli aspetti che più preoccupa gli imprenditori italiani — giustamente — riguarda le sanzioni previste in caso di mancata conformità. NIS2 introduce un regime sanzionatorio significativamente più severo rispetto alla precedente direttiva NIS, con multe che possono raggiungere importi molto elevati e con una novità importante: la responsabilità personale degli organi di gestione.

Per i soggetti essenziali, le sanzioni amministrative possono arrivare fino a 10 milioni di euro o al 2% del fatturato annuo mondiale (si applica il maggiore dei due valori). Per i soggetti importanti, il tetto scende a 7 milioni di euro o all'1,4% del fatturato annuo mondiale. Questi importi, pur essendo parametrati alla dimensione aziendale, rappresentano cifre concrete anche per una PMI con fatturato nell'ordine di qualche decina di milioni di euro.

Ma la vera novità riguarda la responsabilità degli amministratori. Il decreto italiano prevede che in caso di violazioni gravi o reiterate, ACN possa richiedere misure restrittive temporanee nei confronti dei responsabili della gestione, inclusa la sospensione dall'esercizio di funzioni manageriali. Questo significa che l'amministratore delegato di una PMI non può più considerarsi al riparo dal rischio personale in materia di cybersicurezza. La formazione degli organi di vertice in materia di cyber risk diventa quindi non solo consigliabile ma necessaria.

Domande frequenti

La mia PMI con 45 dipendenti è obbligata ad adeguarsi a NIS2?

Dipende dal settore in cui opera la sua azienda. Le soglie dimensionali previste dalla direttiva (in genere 50 dipendenti o 10 milioni di fatturato per le medie imprese) sono criteri orientativi, ma esistono eccezioni. Se la sua azienda opera in settori critici come energia, trasporti, sanità o infrastrutture digitali, potrebbe essere inclusa anche sotto queste soglie. Il consiglio è di effettuare una verifica formale consultando il testo del D.Lgs. 138/2024 e, se necessario, richiedere una valutazione a un consulente specializzato o verificare le istruzioni operative pubblicate da ACN sul portale ufficiale.

Cosa rischio se non mi registro sulla piattaforma ACN nei tempi previsti?

La mancata registrazione costituisce una violazione degli obblighi previsti dal decreto e può essere soggetta a sanzioni amministrative da parte di ACN. Oltre all'aspetto sanzionatorio diretto, la mancata registrazione impedisce all'azienda di ricevere comunicazioni ufficiali dall'Agenzia, informazioni sulle minacce e linee guida aggiornate, mettendola in una posizione di doppio svantaggio: non conforme e meno protetta. La registrazione è il primo passo e va completata non appena il soggetto si identifica come obbligato.

NIS2 si sovrappone al GDPR? Devo fare tutto da capo?

NIS2 e GDPR (Regolamento UE 2016/679) sono normative distinte con finalità parzialmente diverse: il GDPR tutela i dati personali, NIS2 tutela la sicurezza delle reti e dei sistemi informativi. Tuttavia, esistono sinergie significative: molte misure tecniche e organizzative richieste da NIS2 (gestione del rischio, notifica degli incidenti, politiche di sicurezza) si sovrappongono a quelle già previste dal GDPR. Un'azienda che ha già effettuato un percorso serio di adeguamento al GDPR ha già una base di partenza solida e non deve ricominciare da zero. Dovrà però integrare le misure esistenti con i requisiti specifici di NIS2, in particolare sulla gestione degli incidenti e sulla sicurezza della supply chain.

Posso affidarmi a un provider cloud estero e essere comunque conforme a NIS2?

Sì, l'utilizzo di servizi cloud di provider esteri non è incompatibile con NIS2, ma introduce obblighi specifici. La direttiva richiede che i soggetti obbligati valutino e gestiscano i rischi derivanti dalla catena di approvvigionamento, inclusi i fornitori di servizi digitali. Questo significa che l'azienda deve verificare le garanzie di sicurezza offerte dal provider (certificazioni, SLA di sicurezza, procedure di notifica degli incidenti), includere clausole contrattuali adeguate e mantenere visibilità e controllo sui propri dati anche quando sono gestiti da terzi. In caso di incidente che coinvolga dati o sistemi gestiti da un provider, l'obbligo di notifica ad ACN rimane in capo al soggetto obbligato, non al fornitore.

Conclusione

NIS2 non è l'ennesima burocrazia europea da sopportare: è un'opportunità concreta per le PMI italiane di rafforzare la propria resilienza digitale in un contesto in cui gli attacchi informatici sono sempre più frequenti e sofisticati. Secondo i dati del Rapporto Clusit, l'Italia è uno dei paesi europei più colpiti da attacchi cyber, e le PMI sono spesso bersagli privilegiati proprio perché percepite come meno protette delle grandi aziende.

Adeguarsi a NIS2 significa anche guadagnare un vantaggio competitivo: clienti grandi, pubblici e privati, chiederanno sempre più spesso garanzie di sicurezza ai propri fornitori. Un'azienda conforme a NIS2 potrà dimostrare il proprio livello di maturità cyber in modo documentato e credibile. Il percorso di adeguamento richiede investimenti in termini di tempo, risorse e competenze, ma esistono oggi sul mercato italiano consulenti specializzati, strumenti accessibili e incentivi pubblici che possono supportare le PMI in questo processo.

Se la tua azienda opera in uno dei settori coinvolti da NIS2 e non sai ancora da dove iniziare, il momento di agire è adesso. Contatta un esperto di cybersicurezza specializzato in NIS2 per effettuare una prima valutazione di applicabilità e un'analisi dei gap rispetto agli obblighi normativi. Non aspettare le scadenze finali: un percorso di adeguamento strutturato richiede mesi, e partire in anticipo significa affrontarlo con serenità e senza costi di emergenza.