La Direttiva NIS2 (Network and Information Security 2) rappresenta oggi uno degli aggiornamenti normativi più significativi nel panorama della cybersecurity europea. Recepita in Italia con il Decreto Legislativo 4 settembre 2024, n. 138, questa normativa amplia radicalmente il perimetro dei soggetti obbligati rispetto alla precedente direttiva NIS, coinvolgendo per la prima volta in modo massiccio anche le piccole e medie imprese italiane. Se fino a qualche anno fa la sicurezza informatica era percepita come una questione riservata alle grandi corporation o alle infrastrutture critiche statali, oggi la realtà è profondamente cambiata.

Il contesto in cui si inserisce la NIS2 è quello di una minaccia cyber in costante crescita. Secondo il Rapporto Clusit 2024, l'Italia è tra i Paesi europei più colpiti da attacchi informatici, con un incremento significativo degli incidenti gravi registrati negli ultimi anni, in particolare verso il settore manifatturiero, sanitario e dei servizi professionali — settori in cui le PMI italiane sono protagoniste assolute. La direttiva nasce proprio per rispondere a questa vulnerabilità sistemica, imponendo standard minimi di sicurezza condivisi in tutta l'Unione Europea.

Per molti imprenditori italiani, tuttavia, NIS2 è ancora un acronimo nebuloso, percepito come un adempimento burocratico lontano dalla realtà quotidiana. Questo è un errore che potrebbe costare caro: le sanzioni previste arrivano fino al 2% del fatturato annuo globale per i soggetti essenziali, e le scadenze operative fissate dall'Agenzia per la Cybersicurezza Nazionale (ACN) sono già in corso. In questo articolo analizziamo nel dettaglio cosa devono fare concretamente le PMI italiane, entro quando, e quali sono i rischi reali — anche per chi fornisce o acquista servizi da altre aziende.

Chi è obbligato dalla NIS2: PMI italiane nei settori essenziali e importanti

La distinzione fondamentale introdotta dalla NIS2 è quella tra soggetti essenziali e soggetti importanti. I soggetti essenziali operano in settori ad altissima criticità come energia, trasporti, banche, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, pubblica amministrazione e settore spaziale. I soggetti importanti includono invece settori come i servizi postali, la gestione dei rifiuti, la produzione e distribuzione di prodotti chimici, alimentari, manifattura di dispositivi medicali, elettronica, macchinari e veicoli, nonché i fornitori di servizi digitali.

La novità cruciale per le PMI è la soglia dimensionale: rientrano nell'obbligo le aziende con almeno 50 dipendenti oppure un fatturato annuo superiore ai 10 milioni di euro, a condizione che operino nei settori sopra citati. Questo significa che migliaia di imprese italiane che fino ad oggi non avevano mai sentito parlare di NIS sono ora direttamente interessate. Va sottolineato che anche aziende più piccole possono essere incluse se forniscono servizi critici o se l'ACN le identifica come rilevanti per il perimetro nazionale.

Un esempio pratico: un'azienda manifatturiera lombarda con 60 dipendenti che produce componenti per il settore automotive, con un fatturato di 12 milioni di euro, rientra nella categoria dei soggetti importanti e deve adempiere a tutti gli obblighi previsti. Allo stesso modo, un fornitore IT con 55 dipendenti che gestisce infrastrutture cloud per clienti nel settore sanitario è quasi certamente soggetto essenziale.

  • Soggetti essenziali: energia, trasporti, banche, sanità, acqua, infrastrutture digitali, PA, spazio
  • Soggetti importanti: servizi postali, rifiuti, chimica, alimentare, manifattura avanzata, servizi digitali
  • Soglia dimensionale: almeno 50 dipendenti o fatturato superiore a 10 milioni di euro
  • Eccezioni: aziende più piccole possono essere incluse su decisione dell'ACN o per la criticità del servizio erogato

Scadenze operative ACN 2025-2026: cosa deve fare una PMI e entro quando

L'Agenzia per la Cybersicurezza Nazionale ha definito un calendario preciso per l'attuazione degli obblighi NIS2 in Italia. La prima fase, già avviata, prevedeva la registrazione sulla piattaforma ACN entro il 28 febbraio 2025 per i soggetti che si ritenevano già obbligati. Successivamente, l'ACN notificherà ufficialmente alle aziende la loro inclusione nell'elenco dei soggetti NIS2, avviando formalmente il periodo di adeguamento.

Per il 2026 sono previsti gli obblighi operativi più rilevanti. Le aziende incluse nell'elenco ACN dovranno aver implementato le misure di sicurezza tecnica e organizzativa previste dall'articolo 24 del Decreto 138/2024. Questo include la gestione del rischio cyber, la business continuity, la sicurezza della supply chain, la gestione degli incidenti e la formazione del personale. Il termine per la piena conformità operativa è fissato indicativamente per il secondo semestre 2026, sebbene alcune scadenze intermedie siano già operative.

Tra gli adempimenti concreti che una PMI deve mettere in agenda troviamo:

  • Registrazione e autovalutazione: accedere alla piattaforma ACN e compilare il questionario di autovalutazione del rischio
  • Nomina del responsabile della sicurezza: designare formalmente un referente interno o esterno per la gestione della cybersecurity
  • Analisi del rischio: condurre una valutazione formale dei rischi informatici legati ai processi aziendali critici
  • Misure tecniche minime: implementare autenticazione a più fattori, cifratura dei dati, backup verificati, gestione delle patch e segmentazione di rete
  • Piano di risposta agli incidenti: definire procedure documentate per la rilevazione, notifica e gestione degli incidenti cyber
  • Notifica degli incidenti all'ACN: entro 24 ore per la segnalazione iniziale, 72 ore per la notifica completa, 30 giorni per il rapporto finale
  • Formazione del personale: garantire consapevolezza e competenze di base sulla sicurezza informatica a tutti i dipendenti

Rischi concreti per la supply chain digitale: quando il problema del fornitore diventa il tuo problema

Uno degli aspetti più sottovalutati — e più pericolosi — della NIS2 riguarda la sicurezza della catena di fornitura, definita in inglese supply chain security. L'articolo 21 della direttiva impone esplicitamente ai soggetti obbligati di gestire i rischi derivanti dai propri fornitori di servizi IT, software, hardware e cloud. In termini pratici, questo significa che una PMI manifatturiera non può limitarsi a proteggere i propri sistemi interni: deve anche verificare e garantire che i suoi fornitori tecnologici rispettino adeguati standard di sicurezza.

Il ragionamento è semplice ma spesso ignorato: molti degli attacchi informatici più devastanti degli ultimi anni — come il caso SolarWinds o gli attacchi ransomware tramite software gestionali compromessi — hanno colpito le vittime finali proprio attraverso la compromissione di un fornitore terzo. Se il tuo gestionale ERP è fornito da una software house con scarsa igiene informatica, il tuo rischio aziendale è direttamente influenzato dalla loro vulnerabilità. La NIS2 formalizza questa responsabilità condivisa, rendendo il soggetto obbligato responsabile anche della valutazione dei propri fornitori critici.

Cosa deve fare concretamente una PMI italiana per gestire il rischio supply chain in conformità NIS2?

  • Mappatura dei fornitori critici: identificare tutti i fornitori IT, cloud, software e servizi gestiti che hanno accesso ai sistemi aziendali o che supportano processi critici
  • Questionari di sicurezza: richiedere ai fornitori documentazione sulle loro pratiche di sicurezza, certificazioni (es. ISO 27001) e politiche di gestione degli incidenti
  • Clausole contrattuali: inserire nei contratti con i fornitori requisiti minimi di sicurezza, obblighi di notifica degli incidenti e diritti di audit
  • Monitoraggio continuo: non limitarsi a una valutazione iniziale, ma prevedere revisioni periodiche del livello di sicurezza dei fornitori principali
  • Piano di continuità alternativo: avere un piano B per i fornitori critici in caso di loro indisponibilità o compromissione

Un caso concreto: una PMI italiana del settore alimentare che utilizza un software gestionale in cloud deve verificare che il fornitore di quel software abbia implementato cifratura dei dati, backup ridondanti e un piano di risposta agli incidenti. Se il fornitore non è in grado di fornire questa documentazione, la PMI è esposta sia a un rischio operativo reale sia a una potenziale violazione degli obblighi NIS2.

Sanzioni NIS2 e responsabilità degli organi di gestione: cosa rischiano gli amministratori

Le sanzioni previste dalla NIS2 sono significativamente più severe rispetto alla precedente normativa e sono strutturate su due livelli. Per i soggetti essenziali, le sanzioni amministrative possono arrivare fino a 10 milioni di euro o al 2% del fatturato annuo globale, a seconda di quale importo sia maggiore. Per i soggetti importanti, il tetto è di 7 milioni di euro o l'1,4% del fatturato annuo globale. Queste non sono cifre teoriche: la direttiva impone alle autorità nazionali di applicarle in modo effettivo e proporzionato.

Un elemento di assoluta novità e importanza riguarda la responsabilità personale degli organi di gestione. L'articolo 20 del Decreto 138/2024 stabilisce che i vertici aziendali — amministratori delegati, consigli di amministrazione, soci con poteri gestori — devono approvare le misure di gestione del rischio cyber e sovrintendere alla loro attuazione. Non è più sufficiente delegare tutto al responsabile IT o a un consulente esterno: la cybersecurity diventa una responsabilità del management al pari della gestione finanziaria o della conformità fiscale. In caso di violazioni gravi, le autorità possono vietare temporaneamente a un manager di svolgere funzioni dirigenziali.

Questo cambio di paradigma ha implicazioni concrete per gli imprenditori italiani:

  • La cybersecurity deve entrare nell'agenda del consiglio di amministrazione, non restare confinata nel reparto IT
  • È necessario documentare formalmente le decisioni prese in materia di sicurezza informatica
  • I budget per la sicurezza informatica devono essere approvati e tracciati a livello di governance aziendale
  • La formazione sulla cybersecurity deve coinvolgere anche il top management, non solo i tecnici
  • In caso di incidente grave, la capacità di dimostrare di aver adottato misure adeguate può fare la differenza tra una sanzione ridotta e una sanzione piena

Domande frequenti

La mia PMI deve adeguarsi alla NIS2 anche se non opero in settori critici come energia o sanità?

Non necessariamente, ma la risposta dipende dal settore specifico e dalla dimensione aziendale. La NIS2 copre un numero molto più ampio di settori rispetto alla precedente direttiva, includendo anche la manifattura avanzata, i servizi digitali, la logistica e altri ambiti tipicamente PMI. Se la tua azienda supera i 50 dipendenti o i 10 milioni di euro di fatturato e opera in uno dei settori elencati negli allegati del Decreto 138/2024, è probabile che tu sia soggetto obbligato. Il modo più corretto per verificarlo è consultare direttamente la piattaforma ACN o affidarsi a un consulente specializzato in conformità NIS2.

Quali sono le prime azioni concrete da intraprendere se non so da dove iniziare?

Il punto di partenza è sempre una gap analysis, ovvero una valutazione dello stato attuale della sicurezza informatica aziendale rispetto ai requisiti NIS2. Questa analisi permette di identificare le lacune prioritarie e pianificare gli interventi con un budget realistico. In parallelo, è fondamentale verificare se la propria azienda rientra tra i soggetti obbligati accedendo alla piattaforma ACN e completando la registrazione se necessario. Non aspettare di ricevere una notifica ufficiale: agire proattivamente riduce sia i rischi operativi sia la possibilità di incorrere in sanzioni per tardivo adeguamento.

Quanto costa adeguarsi alla NIS2 per una PMI italiana?

I costi variano in modo significativo in base alla dimensione aziendale, al settore e soprattutto al livello di maturità informatica già raggiunto. Un'azienda che ha già implementato buone pratiche di sicurezza — backup verificati, antivirus aggiornati, autenticazione a più fattori, formazione del personale — dovrà affrontare investimenti più contenuti, prevalentemente di natura documentale e procedurale. Un'azienda che parte da zero avrà invece necessità di investimenti più significativi in tecnologia, consulenza e formazione. Non esistono dati ufficiali omogenei sui costi medi per le PMI italiane, ma è ragionevole considerare che il costo dell'adeguamento è in ogni caso inferiore al rischio economico di un incidente cyber non gestito o di una sanzione NIS2.

Se sono un piccolo fornitore IT non soggetto direttamente alla NIS2, devo comunque preoccuparmi?

Assolutamente sì, e per un motivo molto pratico: i tuoi clienti che sono soggetti NIS2 sono obbligati a valutare e gestire i rischi dei propri fornitori critici, inclusi i fornitori IT. Questo significa che ti potranno richiedere documentazione sulla tua postura di sicurezza, clausole contrattuali specifiche e potenzialmente audit. Le aziende che non saranno in grado di dimostrare un adeguato livello di sicurezza rischiano di perdere contratti con clienti soggetti alla NIS2. Investire ora nella propria sicurezza informatica e nella relativa documentazione non è solo una questione di conformità, ma anche un vantaggio competitivo concreto nel mercato B2B italiano.

Conclusione

La NIS2 non è una formalità burocratica da rimandare: è un cambiamento strutturale nel modo in cui le imprese italiane — anche le più piccole tra quelle obbligate — devono approcciare la sicurezza informatica. Le scadenze ACN sono reali, le sanzioni sono significative e, soprattutto, i rischi operativi legati a un incidente cyber non gestito possono compromettere la continuità aziendale in modo molto più devastante di qualsiasi multa. La buona notizia è che iniziare il percorso di adeguamento non richiede necessariamente investimenti enormi: richiede metodo, priorità chiare e il supporto di professionisti competenti.

Se non sai ancora se la tua azienda è soggetta alla NIS2, o se hai già ricevuto una notifica dall'ACN ma non sai come procedere, il momento migliore per agire è adesso. Contatta un esperto IT specializzato in conformità NIS2 e cybersecurity per le PMI italiane: una consulenza iniziale ti permetterà di capire esattamente dove ti trovi, cosa devi fare e come farlo in modo sostenibile per il tuo business. Non aspettare che sia un incidente — o una sanzione — a farti capire l'importanza di questo adeguamento.