La direttiva NIS2 (Network and Information Security 2) rappresenta oggi uno dei cambiamenti normativi più rilevanti per il tessuto imprenditoriale italiano. Recepita in Italia con il Decreto Legislativo 4 settembre 2024, n. 138, ha ampliato drasticamente la platea dei soggetti obbligati rispetto alla precedente NIS1, coinvolgendo per la prima volta in modo diretto migliaia di piccole e medie imprese che operano in settori considerati critici per l'economia e la sicurezza nazionale. Se fino a ieri la cybersecurity poteva sembrare un tema da grandi corporation o banche, oggi non è più così.

Il contesto è tutt'altro che teorico. Secondo il Rapporto Clusit 2024, l'Italia è tra i Paesi europei più colpiti da attacchi informatici, con una crescita degli incidenti gravi registrata anche nei confronti di aziende manifatturiere, logistiche e di servizi professionali — categorie che rientrano pienamente nel perimetro NIS2. Le PMI italiane, che secondo i dati ISTAT rappresentano oltre il 99% del totale delle imprese e generano circa il 70% dell'occupazione privata, si trovano quindi al centro di una trasformazione normativa che richiede azioni concrete entro scadenze precise.

Questo articolo è una guida pratica pensata per imprenditori e responsabili IT di PMI italiane che vogliono capire cosa fare concretamente, entro quando farlo, e come gestire gli obblighi NIS2 anche lungo la propria catena di fornitura. Non troverete tecnicismi fini a sé stessi, ma indicazioni operative, esempi reali e risposte alle domande più frequenti.

Chi sono i soggetti obbligati dalla NIS2 in Italia: capire se la tua PMI è coinvolta

Il primo passo per qualsiasi imprenditore è capire se la propria azienda rientra nell'ambito applicativo della direttiva. La NIS2 distingue due categorie principali: i soggetti essenziali e i soggetti importanti. I primi operano in settori ad alta criticità come energia, trasporti, sanità, infrastrutture digitali e acqua potabile. I secondi coprono settori a criticità elevata, tra cui servizi postali, gestione dei rifiuti, produzione e distribuzione di prodotti chimici, industria alimentare, produzione di dispositivi medici e, aspetto spesso sottovalutato, i fornitori di servizi digitali come marketplace online e motori di ricerca.

In base al D.Lgs. 138/2024, le soglie dimensionali per rientrare nella NIS2 come soggetto importante includono generalmente le medie imprese (tra 50 e 249 dipendenti e un fatturato annuo superiore a 10 milioni di euro) operanti nei settori citati. Tuttavia, esistono eccezioni significative: alcune tipologie di soggetti sono incluse a prescindere dalle dimensioni, come i fornitori di reti pubbliche di comunicazione elettronica, i prestatori di servizi fiduciari e alcuni operatori di infrastrutture critiche. Questo significa che anche una piccola azienda con meno di 50 dipendenti potrebbe essere soggetta agli obblighi NIS2 se opera in determinati ambiti.

Un esempio pratico: un'azienda italiana di 60 dipendenti che produce componenti per impianti elettrici industriali e fornisce anche servizi di manutenzione remota tramite piattaforma digitale potrebbe rientrare nella categoria dei soggetti importanti. Allo stesso modo, una società di logistica e trasporti con 80 dipendenti che gestisce spedizioni per conto di operatori sanitari deve verificare attentamente la propria posizione. Il consiglio operativo è effettuare subito una verifica di perimetro con un consulente specializzato o utilizzare le linee guida pubblicate dall'ACN (Agenzia per la Cybersicurezza Nazionale).

Obblighi concreti NIS2 per le PMI: misure di sicurezza, governance e notifica degli incidenti

Una volta verificata l'applicabilità, occorre comprendere cosa la NIS2 richiede in termini operativi. Gli obblighi si articolano in tre aree principali: misure tecniche e organizzative di sicurezza, governance e responsabilità del management e notifica degli incidenti all'autorità competente.

Sul fronte delle misure di sicurezza, l'articolo 24 del D.Lgs. 138/2024 elenca una serie di controlli minimi che i soggetti obbligati devono implementare. Tra questi:

  • Analisi del rischio e definizione di politiche di sicurezza delle informazioni documentate
  • Gestione degli incidenti: procedure per rilevare, rispondere e ripristinare dopo un attacco
    • Continuità operativa: backup, disaster recovery e gestione delle crisi
  • Sicurezza della supply chain: valutazione dei rischi legati a fornitori e partner tecnologici
  • Sicurezza nello sviluppo e acquisizione di sistemi: gestione delle vulnerabilità e aggiornamenti
  • Formazione e consapevolezza del personale in materia di cybersicurezza
  • Autenticazione a più fattori (MFA) e comunicazioni sicure
  • Crittografia dei dati sensibili in transito e a riposo

Quanto alla governance, la NIS2 introduce una novità molto importante per le PMI: i vertici aziendali (CDA, CEO, amministratori) sono direttamente responsabili del rispetto degli obblighi e possono essere sanzionati personalmente in caso di inadempienza. Non è più sufficiente delegare tutto all'IT interno o a un fornitore esterno: serve un presidio di governance formale, con un responsabile della sicurezza identificato e un piano di sicurezza approvato dalla direzione.

Per la notifica degli incidenti significativi, la NIS2 introduce una procedura a tre stadi: una pre-notifica entro 24 ore dalla scoperta dell'incidente, una notifica completa entro 72 ore e un rapporto finale entro un mese. Questo richiede che le PMI si dotino di procedure interne di incident response già operative, non da costruire nel momento dell'emergenza.

Scadenze ACN 2026: il calendario degli adempimenti per le PMI italiane

L'ACN (Agenzia per la Cybersicurezza Nazionale) è l'autorità nazionale competente per l'attuazione della NIS2 in Italia. Ha pubblicato le prime istruzioni operative e gestisce la piattaforma di registrazione obbligatoria per i soggetti NIS2. Il rispetto delle scadenze è fondamentale per evitare sanzioni che, per i soggetti importanti, possono arrivare fino al 1,4% del fatturato annuo globale.

Le scadenze principali da tenere a mente sono:

  • Entro il 28 febbraio 2025: i soggetti che si ritengono rientrare nell'ambito NIS2 devono completare la registrazione sulla piattaforma ACN (portale dedicato su acn.gov.it). Questo è il primo adempimento formale e obbligatorio.
  • Aprile 2025: l'ACN comunica ufficialmente ai soggetti registrati se sono classificati come essenziali o importanti.
  • Dal 1° gennaio 2026: entrano in vigore gli obblighi di notifica degli incidenti e le misure di sicurezza devono essere operative. Da questa data, le autorità possono avviare verifiche e irrogare sanzioni.
  • Entro il 31 marzo 2026: i soggetti devono presentare all'ACN il piano di adeguamento alle misure di sicurezza previste dalla normativa.

È importante sottolineare che la registrazione sulla piattaforma ACN non è automatica: deve essere effettuata dall'azienda stessa, attraverso il proprio legale rappresentante o un delegato. Molte PMI italiane, secondo le prime rilevazioni del settore, non sono ancora consapevoli di questo obbligo. Agire con anticipo permette di pianificare gli investimenti necessari in modo ragionato, invece di affrettarsi sotto la pressione delle scadenze.

Un consiglio pratico: iniziate subito con una gap analysis delle misure di sicurezza attuali rispetto ai requisiti NIS2. Questo vi darà un quadro chiaro di quanto lavoro resta da fare e vi permetterà di definire un piano di adeguamento realistico, con priorità e budget, da presentare anche all'ACN come dimostrazione di buona fede e impegno verso la compliance.

NIS2 e sicurezza della supply chain: gli obblighi verso fornitori e clienti

Uno degli aspetti più impattanti per le PMI italiane — e spesso il meno discusso — riguarda la sicurezza della catena di fornitura. La NIS2 non obbliga solo le aziende direttamente coinvolte, ma impone anche che queste valutino e gestiscano i rischi di sicurezza informatica dei propri fornitori di tecnologia, servizi IT e qualsiasi partner con accesso ai sistemi aziendali.

In pratica, questo significa che se la vostra azienda è un soggetto NIS2 e utilizza un software gestionale fornito da un piccolo vendor italiano, siete responsabili di verificare che quel vendor rispetti standard di sicurezza adeguati. Allo stesso modo, se siete fornitori di un'azienda che rientra nella NIS2 (ad esempio, siete un'azienda di outsourcing IT per un operatore energetico), il vostro cliente vi richiederà probabilmente evidenze documentali della vostra postura di sicurezza: certificazioni, questionari di sicurezza, clausole contrattuali specifiche.

Le azioni concrete da intraprendere nella gestione della supply chain includono:

  • Censire tutti i fornitori con accesso fisico o logico ai sistemi informativi aziendali
  • Classificare i fornitori per livello di rischio (critico, importante, standard)
  • Inserire clausole contrattuali NIS2-compliant nei nuovi contratti e rinegoziare quelli esistenti
  • Richiedere ai fornitori critici la compilazione di questionari di sicurezza o la presentazione di certificazioni come ISO/IEC 27001
  • Definire procedure di verifica periodica del rispetto dei requisiti di sicurezza da parte dei fornitori
  • Prevedere nel contratto obblighi di notifica in caso di incidenti che possano impattare la vostra azienda

Un esempio concreto: un'azienda manifatturiera italiana di medie dimensioni che produce componenti per il settore energetico si trova in una posizione duplice. Da un lato, deve adeguarsi agli obblighi NIS2 come soggetto importante. Dall'altro, i suoi clienti (operatori energetici, soggetti essenziali) le chiederanno di dimostrare che i propri sistemi IT e OT sono sicuri, che esiste un piano di incident response e che eventuali violazioni vengono notificate tempestivamente. Questo crea una pressione a cascata lungo tutta la filiera che coinvolge anche aziende che formalmente non rientrano nel perimetro NIS2.

Domande frequenti

Le PMI con meno di 50 dipendenti sono escluse dagli obblighi NIS2?

Non necessariamente. Il D.Lgs. 138/2024 prevede soglie dimensionali come criterio generale, ma esistono numerose eccezioni. Aziende di qualsiasi dimensione che operano in determinati settori critici (come reti di comunicazione pubblica, servizi fiduciari qualificati, alcune infrastrutture digitali) possono essere soggette agli obblighi NIS2 indipendentemente dal numero di dipendenti. Inoltre, anche le micro e piccole imprese che non rientrano direttamente nel perimetro subiscono effetti indiretti: i loro clienti NIS2 richiederanno loro garanzie di sicurezza a livello contrattuale. Il consiglio è effettuare una verifica specifica con un consulente o attraverso le indicazioni dell'ACN.

Cosa rischia un'azienda che non si registra sulla piattaforma ACN entro i termini?

La mancata registrazione sulla piattaforma ACN entro le scadenze previste costituisce una violazione degli obblighi NIS2 e può comportare sanzioni amministrative. Per i soggetti importanti, le sanzioni possono arrivare fino a 7 milioni di euro o all'1,4% del fatturato annuo globale (si applica l'importo più alto). Per i soggetti essenziali, i massimali sono ancora più elevati: fino a 10 milioni di euro o il 2% del fatturato globale. Oltre alle sanzioni pecuniarie, l'ACN può disporre misure correttive obbligatorie e, nei casi più gravi, la sospensione temporanea dell'attività. La registrazione è quindi il primo passo obbligatorio e urgente.

Come si svolge concretamente la notifica di un incidente all'ACN?

La notifica degli incidenti significativi avviene attraverso la piattaforma digitale messa a disposizione dall'ACN. Il processo si articola in tre fasi: una pre-notifica entro 24 ore dalla scoperta dell'incidente, con informazioni essenziali su natura e impatto stimato; una notifica completa entro 72 ore, con dettagli tecnici, misure adottate e valutazione dell'impatto transfrontaliero; infine un rapporto finale entro 30 giorni, con analisi completa, cause, misure correttive adottate e lezioni apprese. Per rispettare questi tempi stretti, è fondamentale dotarsi in anticipo di procedure interne di incident response testate e di un team (interno o esterno) pronto a intervenire.

Quali sono i costi tipici per adeguarsi alla NIS2 per una PMI italiana?

I costi di adeguamento variano significativamente in base alla dimensione aziendale, al settore e alla maturità della sicurezza informatica già presente. In linea di massima, per una PMI con 50-150 dipendenti che parte da una postura di sicurezza base, si stima un investimento iniziale che può oscillare tra i 15.000 e i 60.000 euro, comprensivo di gap analysis, implementazione delle misure tecniche, formazione del personale e supporto legale per la contrattualistica con i fornitori. A questi si aggiungono costi ricorrenti annuali per il mantenimento della compliance, la formazione continua e il monitoraggio della sicurezza. È importante considerare che molti di questi investimenti (come sistemi di backup, MFA, firewall avanzati) hanno un valore intrinseco per la sicurezza aziendale indipendentemente dagli obblighi normativi, riducendo il rischio di incidenti costosi. Alcune misure sono agevolabili fiscalmente tramite il credito d'imposta per investimenti in tecnologie digitali.

Conclusione

La direttiva NIS2 non è un ostacolo burocratico da superare a fatica: è un'opportunità concreta per le PMI italiane di costruire una postura di sicurezza informatica solida e strutturata, che protegge il business, rafforza la fiducia dei clienti e apre le porte a mercati e filiere dove la cybersecurity è un requisito d'accesso. Le scadenze ACN del 2025-2026 sono ravvicinate e richiedono azioni immediate, a partire dalla registrazione sulla piattaforma ACN e dalla gap analysis dei sistemi attuali.

Non aspettare che sia troppo tardi: ogni mese di ritardo riduce il tempo disponibile per implementare le misure richieste in modo ragionato e sostenibile. Contatta oggi stesso un esperto IT specializzato in cybersecurity e compliance NIS2 per ricevere una valutazione personalizzata della tua situazione, capire esattamente quali obblighi si applicano alla tua azienda e costruire un piano di adeguamento pratico, con priorità chiare e costi controllati. Investire nella sicurezza informatica oggi significa proteggere il tuo business, la tua reputazione e il tuo futuro domani.