Il recepimento della Direttiva NIS2 in Italia ha segnato un punto di svolta per migliaia di aziende che fino a poco tempo fa si consideravano al di fuori del perimetro della cybersecurity regolamentata. Con il Decreto Legislativo 138/2024, entrato in vigore il 16 ottobre 2024, l'Italia ha trasposto nel proprio ordinamento la direttiva europea, ampliando in modo significativo il numero di soggetti obbligati e introducendo requisiti concreti in materia di sicurezza informatica. Per le piccole e medie imprese italiane, questo significa fare i conti con obblighi che prima erano riservati solo ai grandi operatori di infrastrutture critiche.

Secondo i dati del Rapporto Clusit 2024, gli attacchi informatici in Italia sono cresciuti in modo costante negli ultimi anni, con il settore manifatturiero, i servizi professionali e la pubblica amministrazione tra i più colpiti. Le PMI rappresentano oltre il 99% del tessuto imprenditoriale italiano e sono spesso il bersaglio preferito dai cybercriminali proprio perché storicamente meno protette rispetto alle grandi aziende. La NIS2 nasce anche per colmare questo gap strutturale e imporre un livello minimo di maturità digitale in tutti i settori considerati essenziali o importanti per l'economia europea.

In questo contesto, l'Agenzia per la Cybersicurezza Nazionale (ACN) svolge un ruolo centrale: è l'autorità competente in Italia per l'attuazione della NIS2, gestisce il registro dei soggetti obbligati, riceve le notifiche degli incidenti e conduce le ispezioni di conformità. Per gli imprenditori e i responsabili IT delle PMI italiane, capire come funzionano questi meccanismi non è più una scelta, ma una necessità operativa con implicazioni legali e sanzionatorie concrete.

Chi sono i soggetti obbligati dalla NIS2: le PMI coinvolte nei settori essenziali e importanti

La NIS2 distingue tra soggetti essenziali e soggetti importanti, una classificazione che determina il livello di vigilanza e le sanzioni applicabili. I soggetti essenziali operano in settori ad alta criticità come energia, trasporti, banche, infrastrutture digitali e sanità. I soggetti importanti includono invece settori come la gestione dei rifiuti, i servizi postali, la produzione e distribuzione di prodotti chimici, l'industria manifatturiera in specifici comparti e i fornitori di servizi digitali.

La novità più rilevante per le PMI italiane è che la soglia dimensionale è stata abbassata rispetto alla precedente direttiva NIS. In generale, rientrano nell'ambito di applicazione le imprese con almeno 50 dipendenti e un fatturato o bilancio annuo superiore a 10 milioni di euro, purché operino nei settori indicati dagli allegati del decreto. Tuttavia, esistono eccezioni: alcune tipologie di soggetti sono incluse indipendentemente dalle dimensioni, come i fornitori di reti pubbliche di comunicazione elettronica, i prestatori di servizi fiduciari e i registrar di nomi a dominio.

Il primo passo obbligatorio per le PMI potenzialmente soggette è la registrazione sulla piattaforma ACN, il cui termine per i soggetti che già operavano al momento dell'entrata in vigore è fissato per il 28 febbraio 2025. Le aziende che si registrano ricevono dall'ACN una classificazione definitiva come soggetto essenziale o importante, che determina l'intero percorso di conformità successivo.

  • Settori ad alta criticità (Allegato I): energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, settore sanitario, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi ICT, pubblica amministrazione, spazio
  • Altri settori critici (Allegato II): servizi postali e di corriere, gestione dei rifiuti, fabbricazione di prodotti chimici, produzione e distribuzione di alimenti, fabbricazione in specifici comparti industriali, fornitori di servizi digitali, ricerca
  • Soggetti inclusi a prescindere dalle dimensioni: fornitori di reti e servizi di comunicazione elettronica pubblica, PA centrali, operatori già identificati come infrastrutture critiche

Notifica degli incidenti di sicurezza: tempistiche e procedure operative per le PMI

Uno degli obblighi più operativi e immediati introdotti dalla NIS2 riguarda la notifica degli incidenti significativi all'ACN. Questo processo è strutturato in più fasi con scadenze precise che le PMI devono rispettare pena l'esposizione a sanzioni. Un incidente è considerato significativo quando ha un impatto rilevante sulla continuità dei servizi erogati, causa perdite finanziarie sostanziali, oppure interessa altre organizzazioni o persone fisiche.

Le fasi della notifica sono tre. La prima è la pre-notifica, che deve avvenire entro 24 ore dalla conoscenza dell'incidente: è una comunicazione sintetica che segnala l'accaduto all'ACN, indicando se si sospetta un'origine dolosa. La seconda fase è la notifica completa, che deve essere trasmessa entro 72 ore e include una valutazione iniziale dell'incidente, la sua gravità e il suo impatto. La terza fase è la relazione finale, da inviare entro un mese, che descrive in dettaglio le cause, le misure adottate e le lezioni apprese.

Per una PMI manifatturiera italiana con 80 dipendenti, ad esempio, un attacco ransomware che blocca i sistemi ERP rappresenta quasi certamente un incidente significativo soggetto a notifica. In questo scenario concreto, l'azienda deve avere già predisposto un processo interno documentato che preveda: l'identificazione dell'incidente, la valutazione della sua significatività, l'attivazione del referente NIS2 interno (o del consulente esterno), e la comunicazione formale all'ACN tramite il portale dedicato. Improvvisare in queste situazioni non è possibile: i 24 ore scorrono velocemente.

  • Entro 24 ore: pre-notifica all'ACN con informazioni essenziali sull'incidente
  • Entro 72 ore: notifica completa con valutazione dell'impatto e classificazione dell'incidente
  • Entro 1 mese: relazione finale con analisi delle cause radice e misure correttive adottate
  • Comunicazione agli utenti: se l'incidente può impattare i destinatari dei servizi, anche loro devono essere informati tempestivamente

Misure minime di sicurezza NIS2: cosa deve implementare concretamente una PMI italiana

Il cuore degli obblighi tecnico-organizzativi della NIS2 è contenuto nell'articolo 24 del decreto italiano, che recepisce l'articolo 21 della direttiva europea. Le misure minime di sicurezza non sono lasciate alla discrezionalità dell'azienda: il legislatore ha identificato categorie precise di controlli che ogni soggetto obbligato deve implementare, proporzionalmente al proprio profilo di rischio, alle dimensioni e all'esposizione alle minacce.

Le misure richieste coprono un ampio spettro di ambiti. Sul fronte della governance, gli organi amministrativi e direttivi devono approvare le misure di sicurezza e seguire una formazione specifica: questo significa che l'amministratore delegato o il titolare di una PMI non può più delegare completamente la cybersecurity al reparto IT senza assumersene la responsabilità formale. Sul fronte tecnico, sono richieste la gestione delle vulnerabilità, politiche di controllo degli accessi basate sul principio del minimo privilegio, autenticazione a più fattori, crittografia dei dati sensibili e sicurezza della supply chain.

Un elemento spesso sottovalutato dalle PMI è proprio la sicurezza della catena di fornitura: la NIS2 richiede che i soggetti obbligati valutino i rischi derivanti dai propri fornitori di ICT e di servizi digitali. Questo vuol dire che una piccola impresa che usa un gestionale in cloud, un sistema di backup esterno o un fornitore di connettività deve verificare che anche questi soggetti adottino standard di sicurezza adeguati, inserendo clausole contrattuali specifiche. Per molte PMI italiane, questa è una delle aree di maggiore impatto pratico.

  • Gestione del rischio: analisi e valutazione periodica dei rischi cyber, con documentazione formale
  • Continuità operativa: piani di backup, disaster recovery e gestione delle crisi testati e aggiornati
  • Sicurezza degli accessi: MFA, gestione delle identità privilegiate, policy sulle password
  • Formazione del personale: programmi di awareness per tutti i dipendenti, formazione specifica per i responsabili
  • Crittografia: protezione dei dati in transito e a riposo nei sistemi critici
  • Sicurezza della supply chain: valutazione dei fornitori ICT e clausole contrattuali di sicurezza
  • Gestione degli incidenti: procedure documentate per rilevazione, risposta e notifica degli incidenti
  • Vulnerability management: processi di aggiornamento e patching sistematico dei sistemi

Ispezioni ACN e sanzioni NIS2: cosa rischia una PMI italiana non conforme

L'Agenzia per la Cybersicurezza Nazionale dispone di poteri ispettivi significativi per verificare la conformità dei soggetti obbligati. Le ispezioni possono essere di tipo documentale, con richiesta di evidenze e report, oppure on-site, con verifiche dirette presso la sede dell'azienda. L'ACN può anche avvalersi di audit indipendenti e richiedere scansioni di sicurezza sui sistemi esposti. Per i soggetti essenziali è prevista una vigilanza ex ante, ovvero proattiva e periodica; per i soggetti importanti, come la maggior parte delle PMI rientranti nel perimetro, la vigilanza è ex post, attivata in seguito a segnalazioni, incidenti o campioni casuali.

Le sanzioni previste dal decreto italiano sono proporzionate alla gravità delle violazioni e alla categoria del soggetto. Per i soggetti essenziali, le sanzioni amministrative pecuniarie possono arrivare fino a 10 milioni di euro o al 2% del fatturato annuo mondiale, se superiore. Per i soggetti importanti, il massimale è di 7 milioni di euro o dell'1,4% del fatturato annuo mondiale. Oltre alle sanzioni pecuniarie, il decreto prevede misure non monetarie come diffide, obblighi di conformità con scadenze fissate e, nei casi più gravi per i soggetti essenziali, la sospensione temporanea delle attività o della certificazione.

È importante sottolineare che le sanzioni più severe non sono automatiche per ogni mancanza: l'ACN segue un approccio graduale, privilegiando inizialmente la messa in conformità rispetto alla punizione. Tuttavia, la mancata registrazione entro i termini, la mancata notifica di un incidente significativo o l'assenza totale di misure di sicurezza documentate sono situazioni che espongono concretamente le PMI a procedimenti formali. La responsabilità personale degli organi di gestione è un ulteriore elemento di novità: in caso di violazioni gravi, è prevista la possibilità di sanzionare direttamente i dirigenti responsabili.

Domande frequenti

La mia PMI con 60 dipendenti nel settore manifatturiero è obbligata dalla NIS2?

Dipende dal comparto specifico in cui opera la tua azienda. La NIS2, tramite il D.Lgs. 138/2024, include nel proprio ambito alcune tipologie di attività manifatturiere specificamente elencate nell'Allegato II, come la produzione di dispositivi medici, computer e prodotti elettronici, macchinari, autoveicoli e altri mezzi di trasporto. Se la tua azienda rientra in uno di questi comparti e supera le soglie dimensionali di 50 dipendenti e 10 milioni di euro di fatturato, è probabile che sia soggetta agli obblighi NIS2. Il modo corretto per ottenere certezza è verificare i codici ATECO della propria attività rispetto agli elenchi forniti dall'ACN e, se necessario, procedere con la registrazione sulla piattaforma dell'agenzia entro le scadenze previste.

Cosa succede se non mi registro sulla piattaforma ACN entro il termine?

La mancata registrazione nei termini stabiliti costituisce una violazione degli obblighi previsti dal decreto e può portare all'avvio di un procedimento da parte dell'ACN. L'agenzia può emettere una diffida con obbligo di regolarizzazione entro un termine fissato, cui possono seguire sanzioni amministrative in caso di persistente inadempimento. Oltre all'aspetto sanzionatorio, la mancata registrazione impedisce di ricevere comunicazioni ufficiali, avvisi di minacce e supporto operativo dall'ACN in caso di incidente. È quindi nell'interesse diretto della PMI procedere con la registrazione tempestivamente, anche per beneficiare degli strumenti di supporto messi a disposizione dell'agenzia.

Dobbiamo nominare un responsabile interno per la NIS2 o possiamo affidarci a un consulente esterno?

Il decreto non impone esplicitamente la nomina di una figura interna dedicata esclusivamente alla NIS2, ma richiede che l'organo di amministrazione approvi le misure di sicurezza e ne monitori l'attuazione. Nella pratica, molte PMI italiane scelgono di affidare il ruolo operativo di gestione della conformità a un consulente esterno o a un Managed Security Service Provider (MSSP), mantenendo internamente un referente che funge da punto di contatto con l'ACN. Questa soluzione è perfettamente accettabile e spesso più economica rispetto all'assunzione di una risorsa dedicata. L'importante è che la delega sia formalizzata, che il consulente abbia le competenze adeguate e che la responsabilità finale rimanga in capo alla direzione aziendale.

Quanto costa mediamente per una PMI adeguarsi alla NIS2?

Non esistono dati ufficiali italiani consolidati sui costi di adeguamento specifici per le PMI, pertanto è prudente non citare cifre precise che potrebbero essere fuorvianti. I costi variano significativamente in base allo stato di maturità attuale della sicurezza informatica aziendale, al settore di appartenenza e alla complessità dell'infrastruttura tecnologica. In linea generale, le voci di costo principali riguardano: la valutazione del rischio iniziale e il gap analysis, l'implementazione di strumenti tecnici (come sistemi di monitoraggio, soluzioni di backup avanzate, MFA), la formazione del personale, la redazione di policy e procedure documentate, e l'eventuale supporto consulenziale continuativo. Le PMI che hanno già investito in sicurezza informatica negli anni precedenti affronteranno costi di adeguamento inferiori rispetto a quelle che partono da zero.

Conclusione

La NIS2 rappresenta un cambiamento strutturale nel modo in cui le PMI italiane devono approcciarsi alla sicurezza informatica. Non si tratta più di una scelta volontaria o di una buona pratica da adottare quando le risorse lo consentono: è un obbligo di legge con scadenze precise, requisiti verificabili e sanzioni concrete. La registrazione all'ACN, la predisposizione di procedure di notifica degli incidenti, l'implementazione delle misure minime di sicurezza e la preparazione alle ispezioni sono attività che richiedono competenze specialistiche e una pianificazione strutturata.

Il 2025 è l'anno in cui questi obblighi diventano operativi e in cui l'ACN inizierà a costruire il registro definitivo dei soggetti obbligati. Le aziende che iniziano oggi il percorso di conformità avranno il tempo necessario per farlo in modo ordinato, senza affrontare pressioni dell'ultimo momento o, peggio, il rischio di incorrere in sanzioni evitabili. La cybersecurity non è solo un costo di compliance: è un investimento nella resilienza operativa e nella reputazione della propria impresa.

Hai bisogno di capire se la tua azienda rientra nel perimetro NIS2 o da dove iniziare il percorso di adeguamento? Contatta oggi stesso un esperto IT specializzato in cybersecurity e conformità normativa. Un professionista qualificato può condurre un'analisi iniziale del tuo stato di conformità, identificare le priorità di intervento e supportarti in ogni fase del percorso verso la NIS2, dalla registrazione ACN fino alla predisposizione delle procedure operative. Non aspettare che sia l'ACN a contattare te.