La Direttiva NIS2 rappresenta una delle trasformazioni normative più significative nel panorama della cybersecurity europea degli ultimi anni. Recepita in Italia con il Decreto Legislativo 138/2024, questa normativa estende in modo considerevole la platea dei soggetti obbligati rispetto alla precedente NIS1, coinvolgendo per la prima volta in modo diretto migliaia di piccole e medie imprese italiane che operano in settori considerati critici per l'economia e la società. Per molti imprenditori italiani, l'impatto di questo cambiamento è ancora sottovalutato, nonostante le scadenze imposte dall'Agenzia per la Cybersicurezza Nazionale (ACN) siano ormai imminenti.

Il contesto in cui nasce NIS2 non è casuale: secondo i dati del Rapporto Clusit 2024, gli attacchi informatici in Italia sono cresciuti in modo significativo negli ultimi anni, con il settore manifatturiero, sanitario e dei servizi professionali tra i più colpiti. Le PMI, spesso prive di strutture IT dedicate e di budget adeguati per la sicurezza, rappresentano un anello debole nella catena della cybersecurity nazionale. La Direttiva NIS2 nasce proprio per colmare questo divario, imponendo standard minimi di sicurezza anche alle realtà aziendali di dimensioni più contenute che fanno parte di filiere critiche.

Per le aziende italiane, adeguarsi alla NIS2 non è soltanto un obbligo normativo da rispettare per evitare sanzioni: è un'opportunità concreta per rafforzare la propria resilienza digitale, proteggere il know-how aziendale, tutelare i clienti e i partner commerciali, e aumentare la propria competitività in un mercato sempre più attento alla sicurezza delle informazioni. In questo articolo troverai una guida pratica e completa per capire cosa cambia, chi è obbligato, quali misure adottare e come strutturare il percorso di adeguamento entro i termini stabiliti dall'ACN.

Chi sono i soggetti obbligati dalla NIS2: come capire se la tua PMI rientra nell'obbligo

Una delle prime domande che si pone ogni imprenditore è: la mia azienda è davvero obbligata? La risposta dipende da due variabili principali: il settore di attività e le dimensioni aziendali. La NIS2 distingue tra soggetti essenziali e soggetti importanti, con requisiti e regimi sanzionatori differenti.

I settori considerati ad alta criticità includono energia, trasporti, banche, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi ICT, pubblica amministrazione e spazio. I settori critici (ma non ad alta criticità) comprendono servizi postali, gestione dei rifiuti, produzione e distribuzione di sostanze chimiche, produzione e distribuzione di alimenti, manifattura (dispositivi medici, veicoli, elettronica), fornitori di servizi digitali e ricerca scientifica.

Dal punto di vista dimensionale, in linea generale rientrano nell'ambito NIS2 le imprese con almeno 50 dipendenti o un fatturato annuo superiore a 10 milioni di euro. Tuttavia, esistono eccezioni importanti: alcune tipologie di soggetti sono incluse indipendentemente dalle dimensioni, come i fornitori di reti pubbliche di comunicazione elettronica, i registri dei nomi di dominio e alcune infrastrutture critiche. Se la tua PMI opera come fornitore di una grande azienda in un settore critico, è fortemente consigliabile verificare la propria posizione con un esperto.

  • Soggetti essenziali: grandi aziende nei settori ad alta criticità (oltre 250 dipendenti o fatturato superiore a 50 milioni di euro)
  • Soggetti importanti: medie imprese nei settori critici (50-249 dipendenti o fatturato tra 10 e 50 milioni di euro)
  • Eccezioni dimensionali: alcune categorie rientrano sempre nell'obbligo, indipendentemente dalle dimensioni
  • Filiere produttive: anche i fornitori di soggetti obbligati potrebbero essere indirettamente coinvolti

Le scadenze ACN 2025: il calendario degli adempimenti da non perdere

L'Agenzia per la Cybersicurezza Nazionale ha definito un calendario preciso per l'attuazione degli obblighi NIS2 in Italia. La prima scadenza fondamentale riguarda la registrazione sulla piattaforma ACN: i soggetti che ritengono di rientrare nell'ambito di applicazione della normativa devono completare la propria registrazione entro i termini stabiliti. ACN ha aperto il portale di registrazione e i soggetti obbligati devono provvedere all'iscrizione, fornendo informazioni sulla propria organizzazione, sui servizi erogati e sulle misure di sicurezza adottate.

Dopo la registrazione, i soggetti riceveranno da ACN una conferma della propria inclusione nell'elenco dei soggetti NIS2 e delle eventuali categorie di appartenenza. A partire da quel momento, si aprono ulteriori obblighi operativi: l'adozione di misure di gestione del rischio, la definizione di procedure per la notifica degli incidenti (entro 24 ore per il pre-allarme e 72 ore per la notifica completa), e l'implementazione di controlli tecnici e organizzativi adeguati.

È importante sottolineare che il processo di adeguamento richiede tempo: non si tratta di compilare un modulo, ma di avviare un vero e proprio programma di trasformazione della sicurezza aziendale. Le PMI che non hanno ancora iniziato devono agire immediatamente per evitare di trovarsi impreparate di fronte alle scadenze e alle possibili verifiche da parte dell'autorità competente.

  • Registrazione ACN: prima scadenza operativa per l'iscrizione al registro nazionale dei soggetti NIS2
  • Designazione del responsabile: obbligo di identificare un referente aziendale per la cybersecurity
  • Adozione delle misure tecniche: implementazione dei controlli di sicurezza previsti dalla normativa
  • Procedure di notifica incidenti: attivazione del processo di segnalazione ad ACN entro i tempi previsti
  • Revisione periodica: aggiornamento continuo delle misure in funzione dell'evoluzione del rischio

Le misure di sicurezza obbligatorie NIS2: cosa deve fare concretamente una PMI italiana

Il cuore della Direttiva NIS2 è rappresentato dall'articolo 21, che elenca le misure minime di gestione del rischio di cybersicurezza che ogni soggetto obbligato deve adottare. Queste misure sono pensate per essere proporzionate alla dimensione e alla complessità dell'organizzazione, ma richiedono comunque un impegno strutturato da parte delle PMI.

In termini pratici, una PMI italiana deve innanzitutto condurre una valutazione del rischio (risk assessment) per identificare i propri asset critici, le vulnerabilità esistenti e le minacce più rilevanti per il proprio settore. Sulla base di questa analisi, deve definire e implementare un insieme di controlli tecnici e organizzativi. Tra i più importanti troviamo la gestione delle identità e degli accessi, la protezione delle reti e dei sistemi informativi, la crittografia dei dati sensibili, la gestione delle vulnerabilità e degli aggiornamenti software, e la pianificazione della continuità operativa.

Un aspetto spesso sottovalutato è quello della sicurezza della catena di fornitura: NIS2 impone di valutare i rischi derivanti dai propri fornitori e partner tecnologici, verificando che anch'essi adottino misure di sicurezza adeguate. Per una PMI che utilizza software in cloud, servizi di terze parti o fornitori di infrastrutture IT, questo significa rivedere i contratti e le clausole di sicurezza con tutti i propri vendor.

  • Politiche di analisi dei rischi e sicurezza dei sistemi informativi
  • Gestione degli incidenti e procedure di risposta
  • Continuità operativa e gestione dei backup e disaster recovery
  • Sicurezza della catena di approvvigionamento ICT
  • Sicurezza nell'acquisizione, sviluppo e manutenzione dei sistemi
  • Politiche e procedure per valutare l'efficacia delle misure di sicurezza
  • Pratiche di igiene informatica di base e formazione in materia di cybersecurity
  • Politiche sull'uso della crittografia e, se del caso, della cifratura
  • Sicurezza delle risorse umane, controllo degli accessi e gestione degli asset
  • Uso di soluzioni di autenticazione a più fattori (MFA)

Sanzioni NIS2 e responsabilità degli organi di gestione: i rischi per gli imprenditori italiani

Uno degli aspetti più rilevanti della NIS2 rispetto alla precedente normativa è il significativo inasprimento del regime sanzionatorio e l'introduzione della responsabilità personale degli organi di gestione. Questo significa che non è solo l'azienda a rischiare sanzioni, ma anche i singoli amministratori e dirigenti che non abbiano garantito il rispetto degli obblighi normativi.

Per i soggetti essenziali, le sanzioni amministrative possono arrivare fino a 10 milioni di euro o al 2% del fatturato mondiale annuo (se superiore). Per i soggetti importanti, il massimo è fissato a 7 milioni di euro o all'1,4% del fatturato mondiale annuo. Si tratta di cifre potenzialmente devastanti per una PMI, che rendono il costo dell'adeguamento decisamente più sostenibile rispetto al rischio di incorrere in sanzioni.

Oltre alle sanzioni economiche, ACN ha il potere di imporre misure temporanee come la sospensione di certificazioni o autorizzazioni, e nei casi più gravi può richiedere la divulgazione pubblica delle violazioni accertate, con conseguenze reputazionali potenzialmente devastanti. Per gli organi di gestione, il decreto prevede la possibilità di dichiarare temporaneamente l'inidoneità a ricoprire ruoli dirigenziali. La formazione e la sensibilizzazione del management aziendale sulla NIS2 diventano quindi un elemento imprescindibile di qualsiasi percorso di adeguamento.

Domande frequenti

Come faccio a sapere se la mia PMI è obbligata a registrarsi presso ACN per la NIS2?

Il primo passo è verificare se la tua azienda opera in uno dei settori elencati negli allegati I e II della Direttiva NIS2, recepiti nel Decreto Legislativo 138/2024. Se il settore è pertinente, devi poi verificare se superi le soglie dimensionali previste (generalmente 50 dipendenti o 10 milioni di euro di fatturato). ACN ha messo a disposizione sul proprio sito istituzionale strumenti di autovalutazione e documentazione di supporto. In caso di dubbio, specialmente se la tua azienda opera come fornitore di grandi aziende in settori critici o gestisce infrastrutture digitali, è fortemente consigliabile consultare un esperto di cybersecurity o un consulente legale specializzato prima di decidere di non registrarsi.

Quanto costa adeguarsi alla NIS2 per una PMI italiana?

Il costo dell'adeguamento varia enormemente in funzione della dimensione aziendale, del settore, del livello di maturità digitale già raggiunto e delle misure che devono ancora essere implementate. Per una PMI che parte da zero, si stima un investimento che può andare da pochi migliaia di euro per le realtà più piccole e già parzialmente strutturate, fino a decine di migliaia di euro per aziende di medie dimensioni che devono avviare un percorso completo di risk assessment, implementazione tecnologica e formazione del personale. È importante considerare che molte misure richieste dalla NIS2 — come i backup regolari, l'autenticazione a più fattori e gli aggiornamenti software — rappresentano buone pratiche informatiche di base che andrebbero adottate indipendentemente dagli obblighi normativi, e che il loro costo è ampiamente compensato dalla riduzione del rischio di incidenti informatici.

Cosa devo fare se subisco un attacco informatico dopo l'entrata in vigore della NIS2?

La NIS2 prevede obblighi precisi in materia di notifica degli incidenti. In caso di incidente significativo, i soggetti obbligati devono inviare ad ACN un pre-allarme entro 24 ore dalla scoperta dell'incidente, seguito da una notifica completa entro 72 ore e da un report finale entro un mese. La notifica deve includere una descrizione dell'incidente, la sua gravità, l'impatto stimato e le misure adottate per contenerlo. Per poter rispettare questi tempi, è fondamentale che le PMI predispongano in anticipo procedure interne di gestione degli incidenti e identifichino i referenti responsabili della comunicazione con ACN. Improvvisare la risposta durante un attacco è uno degli errori più costosi che un'azienda possa commettere.

La NIS2 si applica anche alle aziende che usano solo software in cloud e non hanno server propri?

Sì, l'uso di servizi cloud non esenta dagli obblighi NIS2. Anzi, la normativa dedica particolare attenzione alla sicurezza della catena di fornitura e alla gestione dei rischi derivanti dai fornitori di servizi ICT. Anche se i tuoi sistemi girano su infrastrutture di terze parti, rimani responsabile della sicurezza complessiva dei tuoi servizi e dei dati che gestisci. Dovrai quindi verificare che i tuoi fornitori cloud rispettino adeguati standard di sicurezza, inserire clausole contrattuali appropriate, e mantenere il controllo sugli accessi, sui backup e sulla continuità operativa. Il fatto di affidarsi al cloud non riduce la responsabilità dell'azienda: la trasferisce in parte al fornitore, ma non la elimina.

Conclusione

La Direttiva NIS2 non è solo un adempimento burocratico da gestire con il minimo sforzo possibile: è un'opportunità concreta per le PMI italiane di costruire una solida cultura della cybersecurity, proteggere il proprio business e posizionarsi come partner affidabili in filiere produttive sempre più attente alla sicurezza delle informazioni. Le scadenze ACN 2025 sono reali e i rischi — sia sanzionatori che reputazionali — sono significativi. Attendere non è una strategia.

Il percorso di adeguamento richiede competenze specifiche, una valutazione accurata della situazione di partenza e un piano d'azione strutturato. Affidarsi a professionisti esperti di cybersecurity e normativa NIS2 non è un costo, ma un investimento che protegge l'azienda su più fronti contemporaneamente. Non aspettare che sia troppo tardi: contatta oggi stesso un esperto IT qualificato per una valutazione iniziale della tua posizione rispetto agli obblighi NIS2 e per avviare il percorso di adeguamento con il tempo necessario per farlo bene.