La direttiva NIS2 (Network and Information Security 2) rappresenta una delle riforme più significative in materia di cybersicurezza mai introdotte dall'Unione Europea. Recepita in Italia con il Decreto Legislativo 138/2024, questa normativa amplia in modo considerevole la platea dei soggetti obbligati rispetto alla precedente NIS1, coinvolgendo migliaia di organizzazioni italiane — incluse molte PMI — che fino ad oggi non avevano mai dovuto confrontarsi con obblighi strutturati in materia di sicurezza informatica. Per molti imprenditori italiani si tratta di un territorio inesplorato, ma ignorarlo potrebbe costare caro: le sanzioni previste per la mancata conformità possono raggiungere cifre molto significative.

Il calendario degli adempimenti è già in corso e una delle scadenze più importanti è fissata al 30 giugno 2026: entro quella data, i soggetti che rientrano nel perimetro della direttiva devono completare la procedura di registrazione e categorizzazione sulla piattaforma dell'ACN (Agenzia per la Cybersicurezza Nazionale). Questo passaggio non è una formalità burocratica, ma il punto di partenza di un percorso di adeguamento che avrà impatti concreti su come le aziende gestiscono la propria infrastruttura digitale, i fornitori e i processi interni. Capire se la propria azienda rientra tra i soggetti obbligati è dunque il primo passo, urgente e improcrastinabile.

In questo articolo spieghiamo in modo chiaro e pratico cosa prevede la NIS2 per le PMI italiane, come funziona il processo di categorizzazione ACN, quali sono gli obblighi concreti da rispettare e come prepararsi per tempo senza farsi trovare impreparati alla scadenza. Se sei un imprenditore, un responsabile IT o un consulente che lavora con aziende italiane, questa guida è pensata per te.

Chi rientra nel perimetro NIS2: soggetti essenziali e importanti nelle PMI italiane

Una delle novità più rilevanti della direttiva NIS2 rispetto alla sua predecessora è la drastica espansione del perimetro applicativo. Mentre la NIS1 si concentrava principalmente su grandi operatori di servizi essenziali, la NIS2 introduce due categorie di soggetti obbligati: i soggetti essenziali (essential entities) e i soggetti importanti (important entities). La distinzione non riguarda solo la dimensione aziendale, ma soprattutto il settore di attività e il livello di criticità per la società e l'economia.

In base al Decreto Legislativo 138/2024, rientrano nel perimetro NIS2 le organizzazioni che operano in uno dei 18 settori individuati dalla direttiva (suddivisi in settori ad alta criticità e altri settori critici) e che superano determinate soglie dimensionali. In linea generale, sono escluse le microimprese (meno di 10 dipendenti e fatturato o bilancio annuo inferiore a 2 milioni di euro), ma esistono eccezioni importanti: alcune categorie di organizzazioni sono incluse indipendentemente dalla dimensione, per esempio i fornitori di reti pubbliche di comunicazione elettronica o i soggetti identificati come critici dalle autorità nazionali.

I settori ad alta criticità includono, tra gli altri:

  • Energia (elettricità, gas, idrogeno, reti di teleriscaldamento)
  • Trasporti (aereo, ferroviario, marittimo, stradale)
  • Settore bancario e infrastrutture dei mercati finanziari
  • Sanità (ospedali, laboratori, produttori di dispositivi medici critici)
  • Acqua potabile e acque reflue
  • Infrastrutture digitali (cloud provider, data center, registrar DNS)
  • Pubblica amministrazione
  • Spazio

Tra gli altri settori critici figurano invece la produzione, la trasformazione e la distribuzione di prodotti alimentari, la gestione dei rifiuti, la fabbricazione di prodotti chimici, i servizi postali e i fornitori di servizi digitali come marketplace online e motori di ricerca. Una PMI che lavora come subfornitorice per una grande azienda in questi settori dovrebbe valutare attentamente la propria posizione, anche perché la catena di fornitura è un tema centrale della NIS2.

La procedura di categorizzazione sulla piattaforma ACN: come funziona e cosa fare entro il 30 giugno 2026

L'ACN (Agenzia per la Cybersicurezza Nazionale) è l'autorità nazionale competente per l'attuazione della NIS2 in Italia. Ha predisposto una piattaforma digitale dedicata attraverso cui le organizzazioni soggette alla direttiva devono registrarsi e completare il processo di auto-categorizzazione. Questo processo serve all'Agenzia per costruire una mappa aggiornata dei soggetti obbligati, verificarne la corretta classificazione e definire le priorità di vigilanza e supporto.

La scadenza del 30 giugno 2026 è il termine entro cui i soggetti già identificati come potenzialmente obbligati devono completare la registrazione sulla piattaforma ACN e fornire le informazioni richieste per la categorizzazione. In pratica, la procedura prevede che l'azienda:

  1. Acceda alla piattaforma ACN tramite credenziali istituzionali (SPID/CIE)
  2. Inserisca i dati identificativi dell'organizzazione (codice fiscale, settore ATECO, dimensione, servizi erogati)
  3. Risponda a un questionario strutturato per determinare se ricade nella categoria di soggetto essenziale o importante
  4. Indichi il punto di contatto responsabile per la cybersicurezza all'interno dell'organizzazione
  5. Riceva la conferma di registrazione e la propria classificazione ufficiale

È fondamentale comprendere che la registrazione non esaurisce gli obblighi: è solo il primo passo. Una volta categorizzati, i soggetti dovranno rispettare una serie di misure tecniche e organizzative entro ulteriori scadenze progressive. Tuttavia, non essere registrati entro il 30 giugno 2026 significa partire già in ritardo rispetto a un percorso di adeguamento che richiede tempo e risorse.

Un esempio pratico: una PMI con 80 dipendenti che produce software gestionale per ospedali italiani rientra quasi certamente nel perimetro NIS2, anche se non è un colosso del settore IT. In questo caso, il responsabile aziendale — che potrebbe essere lo stesso titolare o un responsabile IT interno — deve attivarsi subito per verificare la propria posizione e avviare la registrazione sulla piattaforma ACN senza attendere ulteriormente.

Gli obblighi concreti di cybersicurezza che le PMI devono rispettare dopo la registrazione

Una volta completata la categorizzazione, i soggetti NIS2 sono tenuti ad adottare misure adeguate e proporzionate per gestire i rischi per la sicurezza delle reti e dei sistemi informativi. La direttiva non impone un elenco rigido di controlli tecnici identici per tutti, ma richiede un approccio basato sul rischio (risk-based approach) che tenga conto della dimensione, del settore e dell'esposizione specifica di ciascuna organizzazione.

Le principali aree di intervento previste dalla NIS2 includono:

  • Politiche di analisi e gestione del rischio informatico: ogni organizzazione deve dotarsi di procedure documentate per identificare, valutare e trattare i rischi cyber
  • Gestione degli incidenti: obbligo di notificare gli incidenti significativi all'ACN entro 24 ore dalla scoperta (notifica preliminare) e fornire un rapporto dettagliato entro 72 ore
  • Continuità operativa e disaster recovery: piani di backup, ripristino e gestione delle crisi devono essere documentati e testati regolarmente
  • Sicurezza della catena di approvvigionamento: le aziende devono valutare i rischi legati ai propri fornitori di tecnologia e servizi digitali
  • Sicurezza nello sviluppo e acquisizione di sistemi: includere la sicurezza fin dalla progettazione (security by design)
  • Formazione del personale: programmi di sensibilizzazione e training sulla cybersicurezza per tutti i dipendenti
  • Uso di crittografia per la protezione dei dati in transito e a riposo, dove appropriato
  • Autenticazione multi-fattore (MFA) per l'accesso ai sistemi critici

Per una PMI con risorse limitate, questo elenco può sembrare scoraggiante. Tuttavia, la chiave è la proporzionalità: non è necessario implementare soluzioni enterprise da milioni di euro. Ciò che conta è dimostrare un approccio sistematico e documentato alla gestione del rischio. Molte delle misure richieste, come l'adozione dell'MFA o la pianificazione del backup, sono già buone pratiche che molte aziende dovrebbero aver già implementato indipendentemente dalla NIS2.

Le sanzioni per la mancata conformità sono severe: per i soggetti essenziali possono arrivare fino a 10 milioni di euro o il 2% del fatturato mondiale annuo (si applica il maggiore dei due importi); per i soggetti importanti fino a 7 milioni di euro o l'1,4% del fatturato mondiale. Oltre alle sanzioni pecuniarie, sono previste misure accessorie come la sospensione temporanea di certificazioni o autorizzazioni. Non si tratta, quindi, di una normativa che si può ignorare.

Come le PMI italiane possono prepararsi: un piano d'azione in fasi concrete

La buona notizia è che, con la giusta organizzazione, anche una PMI con risorse limitate può affrontare il percorso di adeguamento NIS2 in modo strutturato. Il punto di partenza è smettere di considerare la cybersicurezza come un costo e iniziare a vederla come un investimento strategico per la resilienza del proprio business. Le violazioni informatiche costano mediamente molto di più dell'adeguamento preventivo, sia in termini economici diretti che di reputazione.

Ecco un piano d'azione pratico in fasi che ogni PMI potenzialmente soggetta alla NIS2 dovrebbe seguire:

  1. Verifica della propria posizione: analizzare il settore ATECO, le dimensioni aziendali e i servizi erogati per capire se si rientra nel perimetro. In caso di dubbio, consultare un esperto o verificare le FAQ pubblicate dall'ACN sul proprio sito istituzionale.
  2. Nomina di un responsabile interno: identificare un punto di contatto per la cybersicurezza, che può essere un dipendente interno con le competenze adeguate o un consulente esterno.
  3. Gap analysis: confrontare lo stato attuale della sicurezza aziendale con i requisiti NIS2, identificando le lacune da colmare.
  4. Registrazione sulla piattaforma ACN: completare la procedura di auto-categorizzazione entro il 30 giugno 2026.
  5. Piano di adeguamento: definire un piano con priorità, tempi e budget per implementare le misure richieste, partendo da quelle più urgenti come la gestione degli incidenti e il backup.
  6. Formazione del personale: avviare programmi di sensibilizzazione per tutti i dipendenti, non solo per l'IT.
  7. Monitoraggio continuo: la conformità NIS2 non è un progetto una tantum, ma un processo continuativo di miglioramento.

Un esempio concreto: un'azienda manifatturiera lombarda con 150 dipendenti che produce componenti per il settore energetico potrebbe iniziare con una gap analysis condotta da un consulente di cybersicurezza certificato (come un professionista con certificazione CISSP o ISO 27001 Lead Auditor), che in pochi giorni è in grado di fornire un quadro chiaro della situazione e un piano d'azione prioritizzato. Il costo di questo intervento iniziale è generalmente molto inferiore rispetto alle potenziali sanzioni o ai danni di un incidente informatico non gestito.

Domande frequenti

La mia PMI con 25 dipendenti nel settore manifatturiero è soggetta alla NIS2?

Dipende dal settore specifico e dai servizi che erogate. Le imprese con meno di 50 dipendenti e un fatturato annuo inferiore a 10 milioni di euro sono generalmente escluse dalla NIS2, ma esistono eccezioni importanti. Se la vostra azienda è un fornitore critico per settori essenziali (energia, trasporti, sanità) o se operate in settori specificamente indicati dalla direttiva indipendentemente dalla dimensione, potreste comunque rientrare nel perimetro. Il consiglio è di verificare attentamente il proprio codice ATECO e il tipo di servizi erogati, e in caso di dubbio consultare un esperto o le indicazioni dell'ACN.

Cosa succede se non mi registro entro il 30 giugno 2026?

La mancata registrazione entro la scadenza prevista è un inadempimento agli obblighi della NIS2 e può comportare l'avvio di procedimenti sanzionatori da parte dell'ACN. Le sanzioni, come indicato nel Decreto Legislativo 138/2024, possono essere molto significative sia per i soggetti essenziali che per quelli importanti. Oltre alle sanzioni economiche, la mancata conformità può avere impatti sulla reputazione aziendale e sui rapporti commerciali, soprattutto se si lavora come fornitori di grandi aziende o della pubblica amministrazione. È dunque fondamentale non procrastinare e iniziare il percorso di verifica e registrazione il prima possibile.

Ho già adottato misure di sicurezza informatica: devo comunque fare qualcosa di nuovo?

Molto probabilmente sì, anche se avete già investito in cybersicurezza. La NIS2 non richiede solo l'implementazione di tecnologie di protezione, ma un approccio documentato, sistematico e verificabile alla gestione del rischio. Questo significa avere policy scritte, procedure di gestione degli incidenti formalizzate, piani di continuità operativa testati e programmi di formazione del personale documentati. Se tutte queste componenti sono già presenti e aggiornate nella vostra organizzazione, il percorso di adeguamento sarà più semplice. In caso contrario, sarà necessario colmare le lacune. Una gap analysis iniziale è il modo migliore per capire quanto lavoro rimane da fare.

La NIS2 si applica anche ai fornitori IT e ai consulenti informatici che lavorano con le aziende obbligate?

La NIS2 introduce un focus molto forte sulla sicurezza della catena di approvvigionamento. Le aziende soggette alla direttiva sono tenute a valutare e gestire i rischi di sicurezza legati ai propri fornitori di tecnologia e servizi IT. Questo significa che, anche se un fornitore IT (come un consulente, un'azienda di hosting o un provider software) non è direttamente soggetto alla NIS2, potrebbe essere contrattualmente obbligato a dimostrare adeguati livelli di sicurezza dai propri clienti che invece lo sono. Per i consulenti e i fornitori IT italiani, questo rappresenta sia un obbligo indiretto che un'opportunità di differenziarsi sul mercato dimostrando competenze e certificazioni in materia di cybersicurezza.

Conclusione

La scadenza del 30 giugno 2026 per la categorizzazione sulla piattaforma ACN non è lontana come potrebbe sembrare: considerando i tempi necessari per verificare la propria posizione, nominare un responsabile, condurre una gap analysis e implementare le prime misure, il tempo a disposizione è già ora. La direttiva NIS2 non va vissuta come un ostacolo burocratico, ma come un'opportunità per costruire un'azienda più resiliente, più affidabile agli occhi di clienti e partner, e meglio attrezzata per affrontare le minacce informatiche in costante evoluzione.

Le PMI italiane che affrontano questo percorso con anticipo e con il supporto giusto non solo eviteranno sanzioni, ma acquisiranno un vantaggio competitivo reale: la capacità di dimostrare ai propri clienti, soprattutto se operano in settori regolamentati o con la pubblica amministrazione, che la sicurezza è un valore integrato nel proprio modo di fare impresa. In un contesto in cui gli attacchi informatici sono in crescita costante — come documentato ogni anno dal Rapporto Clusit, la principale fonte italiana sull'andamento della cybersicurezza — investire nella conformità NIS2 significa investire nella continuità del proprio business.

Non aspettare l'ultimo momento. Se vuoi capire se la tua azienda rientra nel perimetro NIS2, come avviare il processo di registrazione sulla piattaforma ACN o come costruire un piano di adeguamento realistico e proporzionato alle tue risorse, contatta oggi stesso un esperto IT specializzato in cybersicurezza e conformità normativa. Un professionista qualificato può guidarti passo dopo passo, aiutandoti a trasformare un obbligo di legge in un punto di forza per la tua impresa.