La direttiva NIS2 (Network and Information Security 2) è ormai una realtà concreta per migliaia di imprese italiane. Recepita in Italia con il Decreto Legislativo 4 settembre 2024, n. 138, questa normativa europea sulla cybersicurezza ha ampliato in modo significativo il perimetro dei soggetti obbligati, coinvolgendo per la prima volta in maniera diretta anche molte piccole e medie imprese che operano in settori considerati critici o che fanno parte di catene di fornitura strategiche. Se fino a qualche anno fa la cybersecurity era percepita come un problema delle grandi aziende o delle banche, oggi non è più così.

L'Agenzia per la Cybersicurezza Nazionale (ACN), l'autorità italiana competente in materia, ha definito un calendario preciso di adempimenti che le imprese devono rispettare nel corso del 2025 e del 2026. Molte PMI italiane, tuttavia, non sono ancora consapevoli di rientrare nel perimetro NIS2 o non hanno ancora avviato alcun processo di adeguamento. Secondo il rapporto Clusit 2024, l'Italia è tra i Paesi europei più colpiti da attacchi informatici, con una crescita degli incidenti gravi che supera la media globale. Ignorare questi obblighi non è un'opzione: le sanzioni previste possono arrivare fino a 10 milioni di euro o al 2% del fatturato annuo globale per i soggetti essenziali.

In questo articolo analizziamo in modo chiaro e pratico cosa prevede la NIS2 per le PMI italiane, quali sono le scadenze da rispettare con l'ACN, e soprattutto quali rischi concreti corrono le piccole imprese che fanno parte di una supply chain digitale. L'obiettivo è fornire una guida operativa che aiuti imprenditori e responsabili IT a capire dove si trovano oggi e cosa devono fare domani.

Chi deve adeguarsi alla NIS2: come capire se la tua PMI è coinvolta

Uno degli aspetti più delicati della direttiva NIS2 è proprio la definizione dei soggetti obbligati. La normativa distingue tra soggetti essenziali e soggetti importanti, classificati in base al settore di attività e alle dimensioni aziendali. I settori ad alta criticità includono energia, trasporti, banche, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, pubblica amministrazione e spazio. I settori a criticità elevata comprendono, tra gli altri, servizi postali, gestione dei rifiuti, fabbricazione di prodotti chimici, produzione alimentare, manifattura di dispositivi medici, elettronica, macchinari e veicoli.

Per quanto riguarda le dimensioni, rientrano nell'ambito di applicazione le imprese con almeno 50 dipendenti o un fatturato annuo superiore a 10 milioni di euro che operano nei settori elencati. Tuttavia, il decreto italiano prevede che l'ACN possa includere nel perimetro anche imprese più piccole qualora la loro interruzione potrebbe avere un impatto significativo sulla sicurezza pubblica, sull'incolumità pubblica o sulla salute pubblica, oppure qualora siano fornitori critici di soggetti già inclusi nel perimetro.

In pratica, una piccola azienda IT che fornisce software gestionale a un ospedale, una società di logistica che serve un'infrastruttura energetica, o un provider di servizi cloud che supporta una banca, potrebbe essere coinvolta anche se non supera le soglie dimensionali standard. Ecco perché è fondamentale che ogni PMI verifichi attentamente la propria posizione nella catena del valore.

  • Settori ad alta criticità: energia, trasporti, sanità, acqua, infrastrutture digitali, banche, PA
  • Settori a criticità elevata: alimentare, chimica, manifattura, servizi postali, gestione rifiuti
  • Soglie dimensionali: medie imprese (50-249 dipendenti, fatturato 10-50M€) e grandi imprese (>250 dipendenti o >50M€)
  • Eccezioni al ribasso: piccole imprese critiche per la supply chain possono essere incluse su decisione ACN

Scadenze ACN 2025-2026: il calendario degli adempimenti obbligatori

Il decreto di recepimento italiano ha stabilito un percorso a tappe per l'adeguamento alla NIS2. La prima scadenza fondamentale è stata la registrazione sulla piattaforma ACN, che per molti soggetti era prevista entro il 28 febbraio 2025. Le imprese che rientrano nel perimetro dovevano censire la propria organizzazione, indicare i settori di appartenenza e i servizi erogati. Questo passaggio è il punto di partenza: senza la registrazione, non è possibile proseguire nel percorso di adeguamento.

Una volta completata la fase di registrazione, l'ACN notifica ufficialmente alle imprese la loro inclusione nell'elenco dei soggetti NIS2. Da quel momento decorrono i termini per l'implementazione delle misure di sicurezza obbligatorie. Secondo quanto previsto dal decreto, i soggetti inclusi devono adottare le misure minime di sicurezza entro 18 mesi dalla notifica. Per la maggior parte delle imprese notificate nel 2025, questo significa avere tutto in regola entro la prima metà del 2026.

Le principali scadenze operative da tenere a mente sono le seguenti:

  • Entro 28 febbraio 2025: registrazione sulla piattaforma ACN (per i soggetti già identificati)
  • Entro aprile 2025: notifica ACN dell'elenco definitivo dei soggetti inclusi
  • Entro 18 mesi dalla notifica: implementazione delle misure tecniche e organizzative di sicurezza
  • Obblighi continuativi: notifica degli incidenti significativi entro 24 ore (pre-notifica) e 72 ore (notifica completa)
  • Entro 1 mese dall'incidente: relazione finale dettagliata all'ACN

È importante sottolineare che la notifica degli incidenti è uno degli obblighi più immediati e operativamente impegnativi. Un attacco ransomware, una violazione dei dati o un'interruzione significativa del servizio devono essere comunicati all'ACN in tempi molto stretti. Questo richiede processi interni ben definiti e un sistema di monitoraggio attivo, elementi che molte PMI italiane non hanno ancora implementato.

Gli obblighi operativi concreti: cosa deve fare la tua azienda in pratica

Al di là delle scadenze burocratiche, la NIS2 impone una serie di misure tecniche e organizzative che le imprese devono implementare concretamente. Il decreto italiano recepisce l'articolo 21 della direttiva, che elenca le misure minime obbligatorie. Non si tratta di adempimenti formali da sbrigare con qualche documento: richiedono investimenti reali in tecnologia, processi e formazione del personale.

Le misure obbligatorie riguardano, tra l'altro, la gestione del rischio informatico, la sicurezza della catena di approvvigionamento, le politiche di controllo degli accessi, la crittografia, la sicurezza delle risorse umane e la gestione della continuità operativa. In termini pratici, per una PMI italiana questo si traduce in una serie di attività concrete che vanno pianificate e documentate:

  • Analisi del rischio: mappatura degli asset informatici critici e valutazione delle vulnerabilità
  • Politiche di sicurezza: redazione e adozione di policy formali su accessi, password, uso dei dispositivi
  • Gestione degli incidenti: definizione di procedure per la rilevazione, risposta e notifica degli incidenti
  • Backup e continuità: implementazione di sistemi di backup verificati e piani di disaster recovery
  • Sicurezza degli accessi: adozione dell'autenticazione a più fattori (MFA) per tutti i sistemi critici
  • Formazione del personale: programmi regolari di sensibilizzazione sulla cybersecurity per tutti i dipendenti
  • Sicurezza della supply chain: valutazione dei fornitori tecnologici e inclusione di clausole di sicurezza nei contratti
  • Vulnerability management: procedure per l'aggiornamento sistematico di software e sistemi operativi

Un aspetto spesso sottovalutato riguarda la responsabilità degli organi di amministrazione. La NIS2 stabilisce esplicitamente che i vertici aziendali — CDA, amministratori delegati, titolari — devono approvare le misure di gestione del rischio e sono personalmente responsabili in caso di violazioni. Questo significa che la cybersecurity non può più essere delegata esclusivamente all'IT: è una questione di governance aziendale a tutti gli effetti.

Il rischio supply chain: perché anche i fornitori non obbligati devono preoccuparsi

Uno degli impatti più rilevanti della NIS2 per l'ecosistema delle PMI italiane riguarda la sicurezza della catena di fornitura. Le aziende soggette alla direttiva hanno l'obbligo di valutare e gestire i rischi provenienti dai propri fornitori, compresi quelli di tecnologie informatiche e servizi digitali. In pratica, se sei un fornitore IT di un'azienda soggetta a NIS2, anche tu sei indirettamente coinvolto, perché il tuo cliente è obbligato a verificare il tuo livello di sicurezza.

Questo crea una pressione a cascata lungo tutta la filiera. Un'azienda manifatturiera di medie dimensioni che utilizza un ERP gestito da una piccola software house locale dovrà chiedere a quel fornitore garanzie sulla sicurezza del sistema, clausole contrattuali specifiche, e probabilmente la compilazione di questionari di valutazione del rischio. Se il fornitore non è in grado di dimostrare un adeguato livello di sicurezza, rischia concretamente di perdere il contratto.

Secondo le analisi di ENISA (l'Agenzia dell'Unione Europea per la Cybersicurezza), gli attacchi alla supply chain sono in forte crescita e rappresentano uno dei vettori più pericolosi per compromettere infrastrutture critiche. Un singolo fornitore vulnerabile può diventare il punto di ingresso per attacchi che si propagano a decine o centinaia di organizzazioni clienti. La storia recente ci offre esempi eloquenti: il caso SolarWinds nel 2020 ha dimostrato come un software di gestione IT compromesso possa colpire migliaia di organizzazioni in tutto il mondo, incluse agenzie governative.

Per le PMI italiane che operano come fornitori di servizi digitali, la situazione è quindi duplice: da un lato potrebbero essere direttamente obbligate dalla NIS2 se rientrano nei settori e nelle soglie previste; dall'altro, anche se non direttamente obbligate, subiscono una pressione indiretta sempre più forte dai propri clienti. Adeguarsi non è solo un obbligo legale: è sempre di più un requisito commerciale per rimanere competitivi sul mercato.

Sanzioni e conseguenze per la mancata conformità NIS2

Le sanzioni previste dalla NIS2 sono significative e progettate per essere dissuasive. Per i soggetti essenziali, le sanzioni amministrative possono raggiungere 10 milioni di euro o il 2% del fatturato annuo mondiale totale, se superiore. Per i soggetti importanti, il massimo è 7 milioni di euro o l'1,4% del fatturato annuo mondiale totale. Queste cifre, contestualizzate per una PMI italiana con fatturato di 15 milioni di euro, si traducono in sanzioni potenziali fino a 300.000 euro per un soggetto importante.

Ma le sanzioni economiche non sono l'unico rischio. Il decreto italiano prevede anche la possibilità di misure temporanee molto invasive per i soggetti che non si adeguano, tra cui la sospensione temporanea delle certificazioni o autorizzazioni relative ai servizi erogati, e persino la sospensione temporanea dell'esercizio delle funzioni dirigenziali. Quest'ultima misura, rivolta ai responsabili delle organizzazioni inadempienti, rappresenta un elemento di pressione personale molto forte per i manager e gli imprenditori.

È importante ricordare che le sanzioni non si applicano automaticamente al primo incidente: l'ACN segue un approccio graduale che prevede prima ispezioni, ordini di conformità e avvertimenti. Tuttavia, in caso di violazioni gravi o reiterata inosservanza delle misure, le sanzioni possono essere applicate con tutta la loro forza. Agire per tempo è quindi la strategia più saggia, sia dal punto di vista economico che reputazionale.

Domande frequenti

Come posso sapere con certezza se la mia PMI rientra nel perimetro NIS2?

Il modo più sicuro è verificare il settore di attività della tua azienda rispetto agli allegati del Decreto Legislativo n. 138/2024 e le dimensioni aziendali (dipendenti e fatturato). L'ACN ha messo a disposizione una piattaforma di registrazione e strumenti di autovalutazione sul proprio sito ufficiale (acn.gov.it). Se hai dubbi, è consigliabile consultare un consulente specializzato in cybersecurity e compliance normativa, che può effettuare una valutazione formale della tua situazione. Ricorda che anche le piccole imprese considerate critiche per la supply chain possono essere incluse su decisione dell'ACN, indipendentemente dalle soglie dimensionali standard.

Quanto costa adeguarsi alla NIS2 per una PMI italiana?

Non esiste un costo standard, perché dipende fortemente dal livello di maturità di sicurezza già raggiunto dall'azienda, dal settore, dalle dimensioni e dai sistemi informatici in uso. In generale, le voci di costo principali riguardano la consulenza per l'analisi del rischio e la redazione delle policy, l'implementazione di strumenti tecnici (MFA, sistemi di monitoraggio, backup avanzati), la formazione del personale e l'eventuale supporto per la gestione degli incidenti. Una PMI che parte da zero può aspettarsi un investimento iniziale che varia dalle poche decine di migliaia di euro per le realtà più piccole, fino a cifre più significative per aziende più strutturate. Tuttavia, questo costo va confrontato con le sanzioni potenziali e con il danno economico di un incidente informatico grave non gestito adeguatamente.

Cosa succede se subisco un attacco informatico e non lo notifico all'ACN nei tempi previsti?

La mancata notifica di un incidente significativo nei tempi previsti (pre-notifica entro 24 ore, notifica completa entro 72 ore) è una violazione autonoma degli obblighi NIS2 ed è soggetta a sanzioni specifiche. Oltre all'aspetto sanzionatorio, la mancata notifica può aggravare la posizione dell'azienda in caso di ispezioni successive. È fondamentale quindi che ogni soggetto obbligato predisponga un processo interno di gestione degli incidenti che includa procedure chiare per valutare la significatività dell'evento e attivare tempestivamente le notifiche all'ACN. Affidarsi a un Security Operations Center (SOC) esterno o a un consulente di incident response può essere una soluzione pratica per le PMI che non hanno risorse interne dedicate.

I fornitori IT non direttamente obbligati dalla NIS2 devono fare qualcosa?

Pur non essendo formalmente soggetti agli obblighi NIS2 se non rientrano nei criteri previsti, i fornitori IT che servono aziende obbligate si trovano in una posizione di forte pressione indiretta. I loro clienti sono tenuti a valutare la sicurezza della supply chain e possono richiedere questionari di valutazione, audit, certificazioni o clausole contrattuali specifiche. Non adeguarsi significa rischiare di perdere clienti e contratti. Molte PMI fornitrici di servizi IT stanno quindi scegliendo di allinearsi volontariamente agli standard NIS2 o a framework riconosciuti come ISO 27001 o CIS Controls, anche per differenziarsi commercialmente dalla concorrenza meno preparata.

Conclusione

La NIS2 non è una scadenza burocratica da affrontare all'ultimo momento: è un cambiamento strutturale nel modo in cui le imprese devono gestire la sicurezza informatica. Per le PMI italiane, il 2026 rappresenta un punto di non ritorno: entro quella data, chi è nel perimetro deve aver implementato misure concrete e documentate. Ma come abbiamo visto, l'impatto si estende anche a chi fornitore e non è direttamente obbligato, rendendo la cybersecurity una priorità per l'intero tessuto produttivo italiano.

Il rischio di non agire è duplice: da un lato le sanzioni legali, dall'altro la crescente esposizione a cyberattacchi in un contesto in cui gli incidenti informatici stanno aumentando per frequenza e gravità. Investire ora in un percorso strutturato di adeguamento significa proteggere il business, la reputazione e i rapporti commerciali della tua azienda nel lungo periodo.

Non aspettare che sia troppo tardi. Se non sei sicuro di dove si trova la tua azienda rispetto agli obblighi NIS2, o se vuoi avviare un percorso di adeguamento strutturato, contatta oggi stesso un esperto di cybersecurity e compliance normativa. Un professionista qualificato può effettuare una gap analysis della tua situazione attuale, aiutarti a pianificare le azioni prioritarie e supportarti in ogni fase del percorso verso la conformità. La sicurezza della tua azienda è un investimento, non un costo.