La Direttiva NIS2 (Network and Information Security 2) rappresenta oggi una delle sfide normative più significative per il tessuto imprenditoriale italiano. Recepita in Italia con il Decreto Legislativo 138/2024, entrato in vigore il 16 ottobre 2024, questa normativa europea amplia enormemente la platea dei soggetti obbligati rispetto alla precedente direttiva NIS, coinvolgendo per la prima volta in modo sistematico anche molte piccole e medie imprese che operano in settori considerati critici per l'economia e la società nazionale.

Per molti imprenditori italiani, il 2025 è stato l'anno della scoperta: migliaia di aziende hanno ricevuto o riceveranno comunicazioni dall'ACN (Agenzia per la Cybersicurezza Nazionale) riguardo alla loro inclusione nell'elenco dei soggetti essenziali o importanti. Questo significa che il 2026 è l'anno degli adempimenti concreti, con scadenze precise e conseguenze legali reali per chi non si adegua. Non si tratta di burocrazia da rimandare: si tratta di responsabilità personale degli amministratori e di rischi economici tangibili.

Secondo i dati del Rapporto Clusit 2024, gli attacchi informatici in Italia sono cresciuti in modo significativo negli ultimi anni, con il settore manifatturiero e i servizi professionali tra i più colpiti. Le PMI, spesso prive di strutture IT dedicate, sono bersagli particolarmente vulnerabili. La NIS2 non è quindi solo un obbligo normativo: è un'opportunità per costruire una resilienza informatica reale che protegge il business, i clienti e i dipendenti. Questo articolo guida gli imprenditori e i responsabili aziendali attraverso gli adempimenti concreti da affrontare nel 2026.

Chi è obbligato dalla NIS2: i settori coinvolti e i criteri dimensionali per le PMI

Il primo passo fondamentale è capire se la propria azienda rientra nell'ambito di applicazione della normativa. La NIS2 distingue tra soggetti essenziali e soggetti importanti, con obblighi sostanzialmente simili ma con regimi di vigilanza e sanzioni differenti. La classificazione dipende dal settore di attività e dalla dimensione dell'impresa.

I settori ad alta criticità (allegato I del decreto) includono energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, settore sanitario, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi ICT, pubblica amministrazione e spazio. I settori critici (allegato II) comprendono invece servizi postali, gestione dei rifiuti, fabbricazione e distribuzione di prodotti chimici, produzione e distribuzione alimentare, fabbricazione di dispositivi medici, prodotti informatici ed elettronici, macchinari, autoveicoli e altri mezzi di trasporto, fornitori digitali e ricerca.

  • Grandi imprese (oltre 250 dipendenti o fatturato superiore a 50 milioni di euro): sempre incluse se operano nei settori elencati
  • Medie imprese (50-249 dipendenti, fatturato tra 10 e 50 milioni): incluse nei settori degli allegati I e II
  • Piccole imprese (sotto i 50 dipendenti): generalmente escluse, salvo eccezioni specifiche legate alla criticità del servizio erogato
  • Microimprese (sotto i 10 dipendenti): quasi sempre escluse, con rare eccezioni per infrastrutture critiche uniche

È importante sottolineare che l'obbligo di registrazione presso la piattaforma ACN è uno dei primi adempimenti concreti. Le aziende che ritengono di rientrare nell'ambito applicativo devono registrarsi e fornire informazioni sulla propria organizzazione. L'ACN stila successivamente l'elenco ufficiale dei soggetti obbligati. Non aspettare di essere contattati: l'obbligo di auto-identificazione è responsabilità dell'azienda stessa.

Gli adempimenti concreti NIS2 da completare entro le scadenze del 2026

Una volta chiarita l'applicabilità, la domanda pratica è: cosa bisogna fare concretamente? Il decreto attuativo italiano e le linee guida ACN delineano un percorso strutturato che le aziende devono seguire. Gli obblighi non sono astratti: richiedono investimenti, processi documentati e strutture organizzative reali.

Il cuore della conformità NIS2 ruota attorno all'adozione di misure di gestione del rischio informatico. Questo significa che ogni soggetto obbligato deve implementare un approccio sistematico alla sicurezza, documentato e proporzionato alla propria dimensione e al livello di rischio del settore in cui opera. Non si tratta di installare un antivirus migliore: si tratta di costruire un sistema di gestione della sicurezza informatica strutturato.

  • Analisi e valutazione del rischio: mappatura degli asset informatici critici, identificazione delle minacce e valutazione dell'impatto potenziale
  • Politiche di sicurezza informatica: redazione e approvazione formale di policy aziendali sulla sicurezza, approvate dai vertici
  • Gestione degli incidenti: procedure documentate per rilevare, rispondere e notificare gli incidenti di sicurezza
  • Continuità operativa e disaster recovery: piani di backup, ripristino dei sistemi e gestione delle crisi
  • Sicurezza della supply chain: valutazione dei fornitori IT e dei partner che accedono ai sistemi aziendali
  • Sicurezza nello sviluppo e acquisizione di sistemi: criteri di sicurezza nelle scelte tecnologiche
  • Gestione delle vulnerabilità: processi di aggiornamento e patching sistematici
  • Autenticazione e controllo degli accessi: implementazione di autenticazione a più fattori (MFA) per accessi critici
  • Crittografia: protezione dei dati sensibili in transito e a riposo
  • Formazione del personale: programmi di sensibilizzazione e addestramento sulla cybersicurezza

Sul fronte delle notifiche degli incidenti, la NIS2 introduce obblighi precisi e tempi stretti: entro 24 ore dall'individuazione di un incidente significativo va inviata una pre-notifica all'ACN; entro 72 ore una notifica completa con le prime valutazioni; entro un mese una relazione finale dettagliata. Rispettare questi tempi richiede che le procedure siano già pronte e testate prima che si verifichi un incidente reale.

Responsabilità dei vertici aziendali: cosa rischiano personalmente CEO e CDA

Uno degli aspetti più innovativi e impattanti della NIS2 rispetto alla precedente normativa è la responsabilità diretta e personale degli organi di vertice. Non basta che l'azienda si conformi: la direttiva richiede che gli amministratori siano personalmente coinvolti, formati e responsabili della supervisione delle misure di cybersicurezza adottate.

Il Decreto Legislativo 138/2024 recepisce questo principio stabilendo che gli organi di amministrazione e direttivi dei soggetti essenziali e importanti devono approvare le misure di gestione del rischio implementate dall'organizzazione, supervisionarne l'attuazione e rispondere delle violazioni. Non è più sufficiente delegare tutto al responsabile IT o a un consulente esterno: il CEO, il CDA o l'organo equivalente devono essere direttamente coinvolti.

  • Formazione obbligatoria dei vertici: gli organi di amministrazione devono seguire percorsi formativi specifici sulla cybersicurezza
  • Approvazione formale delle policy: le politiche di sicurezza devono essere deliberate dagli organi competenti, non solo redatte dall'IT
  • Sanzioni personali: in caso di violazioni gravi, i responsabili possono essere soggetti a interdizione temporanea dall'esercizio di funzioni dirigenziali
  • Sanzioni amministrative pecuniarie: per i soggetti essenziali fino a 10 milioni di euro o il 2% del fatturato mondiale annuo; per i soggetti importanti fino a 7 milioni di euro o l'1,4% del fatturato

Per un imprenditore di una PMI manifatturiera da 80 dipendenti, questo significa concretamente che deve partecipare attivamente alle riunioni in cui si discute di sicurezza informatica, firmare le politiche aziendali di sicurezza, assicurarsi che il personale riceva formazione adeguata e garantire che esistano budget e risorse per implementare le misure richieste. La cybersicurezza sale definitivamente nell'agenda del consiglio di amministrazione.

Come strutturare un piano di conformità NIS2 pratico per una PMI italiana

Affrontare la NIS2 in modo efficace richiede un approccio metodico, non caotico. Le PMI che vogliono essere conformi entro le scadenze del 2026 devono iniziare oggi con un piano strutturato che tenga conto delle risorse disponibili e delle priorità di rischio. Non è necessario fare tutto in una volta, ma è necessario avere una roadmap chiara e documentata.

Il punto di partenza è sempre una gap analysis, ovvero una valutazione dello stato attuale della sicurezza informatica aziendale rispetto ai requisiti NIS2. Questo assessment permette di capire cosa già si fa bene, cosa manca completamente e cosa va migliorato. Da questa analisi si costruisce il piano di azione con priorità, responsabilità e tempi definiti. Molte PMI scoprono di avere già alcune misure in atto (backup, antivirus, firewall) ma prive di documentazione formale o di governance adeguata.

  • Fase 1 - Valutazione (entro Q1 2026): gap analysis, inventario degli asset, identificazione dei rischi principali
  • Fase 2 - Pianificazione (entro Q1 2026): definizione delle politiche di sicurezza, approvazione da parte dei vertici, assegnazione di ruoli e responsabilità
  • Fase 3 - Implementazione (Q2-Q3 2026): adozione delle misure tecniche e organizzative prioritarie, formazione del personale
  • Fase 4 - Test e verifica (Q3-Q4 2026): test dei piani di incident response, verifica dell'efficacia delle misure adottate
  • Fase 5 - Mantenimento (continuo): monitoraggio continuativo, aggiornamento delle misure, revisione periodica delle politiche

Un aspetto spesso sottovalutato è la sicurezza della supply chain. Una PMI manifatturiera potrebbe essere in ordine internamente ma avere fornitori di software gestionale o partner logistici con scarsa sicurezza informatica. La NIS2 richiede di valutare e contrattualizzare anche queste relazioni: i contratti con i fornitori IT devono includere clausole specifiche sulla sicurezza informatica. Questo è un lavoro che richiede tempo e supporto legale oltre che tecnico.

Domande frequenti

Come faccio a sapere se la mia PMI è soggetta alla NIS2?

Il criterio principale è la combinazione di settore di attività e dimensione aziendale. Se la tua azienda opera in uno dei settori elencati negli allegati I o II del Decreto Legislativo 138/2024 (energia, trasporti, manifattura di dispositivi medici, produzione alimentare, servizi digitali, ecc.) e ha almeno 50 dipendenti o un fatturato superiore a 10 milioni di euro, è molto probabile che rientri nell'ambito applicativo. Il modo più sicuro è verificare direttamente sulla piattaforma ACN (acn.gov.it) e, in caso di dubbio, consultare un esperto di cybersicurezza o un consulente legale specializzato. Ricorda che l'obbligo di auto-identificazione ricade sull'azienda stessa: non aspettare di essere contattato dall'ACN.

Quali sono le sanzioni concrete per chi non si adegua alla NIS2?

Le sanzioni variano in base alla categoria del soggetto. Per i soggetti essenziali, le sanzioni amministrative possono arrivare fino a 10 milioni di euro o al 2% del fatturato mondiale annuo (si applica il maggiore tra i due importi). Per i soggetti importanti, il massimo è di 7 milioni di euro o l'1,4% del fatturato mondiale. Oltre alle sanzioni pecuniarie, il decreto prevede misure come l'obbligo di comunicazione pubblica della violazione, la sospensione temporanea di certificazioni e, nei casi più gravi, l'interdizione dei responsabili dall'esercizio di funzioni dirigenziali. Le sanzioni non sono automatiche ma seguono un processo di vigilanza e accertamento da parte dell'ACN.

Quanto costa adeguarsi alla NIS2 per una PMI tipica?

Non esiste una cifra unica valida per tutte le aziende: il costo dipende dalla dimensione, dal settore, dallo stato attuale della sicurezza informatica e dalla complessità dell'infrastruttura IT. Una PMI che parte da zero può stimare investimenti che comprendono la gap analysis iniziale (da alcune migliaia di euro), l'implementazione delle misure tecniche mancanti (variabile in base alle lacune), i costi di formazione del personale e dei vertici, e i costi di consulenza per la redazione delle politiche. Il punto chiave è che non adeguarsi costa di più: le sanzioni possono essere enormemente superiori all'investimento in conformità, per non parlare dei danni economici e reputazionali di un incidente informatico non gestito. Alcune misure, come l'attivazione dell'autenticazione a più fattori o la revisione delle policy di backup, hanno costi relativamente contenuti e impatto significativo.

La NIS2 si sovrappone al GDPR? Devo gestire tutto separatamente?

La NIS2 e il GDPR (Regolamento Generale sulla Protezione dei Dati) hanno obiettivi parzialmente sovrapposti ma distinti. Il GDPR si concentra sulla protezione dei dati personali; la NIS2 riguarda la sicurezza dei sistemi informatici e la continuità dei servizi in senso più ampio. Tuttavia, molte delle misure tecniche e organizzative richieste dalla NIS2 coincidono con quelle già previste dal GDPR: politiche di sicurezza, gestione delle vulnerabilità, cifratura dei dati, gestione degli incidenti. Un'azienda già ben strutturata sul GDPR ha quindi una base solida da cui partire. La raccomandazione è di gestire i due framework in modo integrato, non separato, evitando duplicazioni di sforzi e costi. Un approccio unificato alla governance della sicurezza e dei dati è più efficiente e più efficace.

Conclusione

La NIS2 non è un'opzione: è una realtà normativa con scadenze concrete, obblighi misurabili e responsabilità personali per chi guida le aziende italiane. Il 2026 è l'anno in cui gli adempimenti diventano operativi e in cui l'ACN inizierà le attività di vigilanza sui soggetti obbligati. Le PMI che hanno già avviato il percorso di conformità saranno in una posizione di vantaggio competitivo: più sicure, più affidabili per clienti e partner, e protette dalle sanzioni.

Il messaggio chiave per ogni imprenditore italiano è questo: inizia ora, con metodo. Non è necessario avere tutto perfetto dal primo giorno, ma è necessario avere un piano documentato, l'approvazione dei vertici e un percorso credibile verso la conformità. Le aziende che dimostrano di aver avviato seriamente il processo di adeguamento sono trattate diversamente da quelle che non hanno fatto nulla.

Se non sai da dove partire, o se hai dubbi sull'applicabilità della normativa alla tua azienda, contatta oggi stesso un esperto di cybersicurezza certificato o uno studio di consulenza specializzato in compliance normativa IT. Una prima valutazione professionale ti darà un quadro chiaro della tua situazione, delle priorità d'azione e dei costi realistici per metterti in regola. Non aspettare che sia troppo tardi: la cybersicurezza e la conformità normativa sono investimenti nel futuro della tua azienda.