Il tempo stringe. Il 30 giugno 2026 rappresenta una data cruciale per migliaia di aziende italiane: entro quella scadenza, le organizzazioni che rientrano nell'ambito della direttiva europea NIS2 (Network and Information Security 2) dovranno aver completato la propria registrazione e categorizzazione presso l'ACN, l'Agenzia per la Cybersicurezza Nazionale. Per molte PMI italiane, questo significa dover affrontare adempimenti tecnici, organizzativi e procedurali che spesso non fanno parte della loro operatività quotidiana.

La direttiva NIS2 — recepita in Italia con il Decreto Legislativo 138/2024, entrato in vigore il 16 ottobre 2024 — amplia significativamente la platea dei soggetti obbligati rispetto alla precedente NIS1. Non si parla più solo di grandi infrastrutture critiche: oggi rientrano nell'ambito di applicazione anche numerose medie imprese operanti in settori considerati essenziali o importanti, dalla manifattura alla sanità, dalla logistica ai servizi digitali. Secondo le stime dell'ACN stessa, si prevede che in Italia siano coinvolte diverse migliaia di organizzazioni, una parte consistente delle quali sono proprio PMI.

Per un imprenditore italiano abituato a fare i conti con burocrazia, carenza di risorse IT interne e budget limitati, la NIS2 può sembrare l'ennesimo adempimento normativo da gestire. In realtà, si tratta di un'opportunità concreta per strutturare la sicurezza informatica aziendale in modo serio e duraturo, riducendo il rischio di incidenti cyber che, secondo il Rapporto Clusit 2024, colpiscono con frequenza crescente anche le realtà più piccole. Questo articolo spiega in modo chiaro e pratico cosa devono fare le PMI italiane subito.

Cosa prevede la NIS2 e chi sono i soggetti obbligati in Italia

La direttiva NIS2 nasce dalla necessità di elevare il livello complessivo di cybersicurezza nell'Unione Europea, dopo che la precedente NIS1 aveva mostrato limiti evidenti nella copertura dei settori e nella omogeneità dei requisiti tra gli Stati membri. Il D.Lgs. 138/2024 ne ha definito il perimetro applicativo per l'Italia, introducendo due categorie di soggetti: i soggetti essenziali e i soggetti importanti.

I soggetti essenziali operano in settori ad alta criticità come energia, trasporti, banche, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, pubblica amministrazione e spazio. I soggetti importanti includono invece settori come servizi postali, gestione dei rifiuti, fabbricazione di prodotti chimici, produzione alimentare, fabbricazione di dispositivi medici, fornitori di servizi digitali e altro ancora. Per le PMI, è fondamentale capire in quale categoria ricade la propria attività.

I criteri dimensionali previsti dalla normativa stabiliscono che, in linea generale, rientrano nell'ambito le medie imprese (con almeno 50 dipendenti o fatturato annuo superiore a 10 milioni di euro) che operano nei settori sopracitati. Tuttavia, esistono eccezioni: alcune tipologie di soggetti sono incluse indipendentemente dalla dimensione, come i fornitori di reti pubbliche di comunicazione elettronica o i prestatori di servizi fiduciari qualificati. È quindi essenziale non dare nulla per scontato e verificare la propria posizione.

  • Settori ad alta criticità (Allegato I): energia, trasporti, bancario, infrastrutture mercati finanziari, sanitario, acqua potabile, acque reflue, infrastrutture digitali, gestione servizi ICT, PA, spazio
  • Altri settori critici (Allegato II): servizi postali, gestione rifiuti, produzione chimica, alimentare, manifattura dispositivi medici, elettronica, macchinari, autoveicoli, fornitori digitali, ricerca
  • Soglia dimensionale generale: medie e grandi imprese (50+ dipendenti o 10M€+ di fatturato)

La scadenza del 30 giugno 2026 e il processo di categorizzazione ACN: come funziona

Il processo di adeguamento alla NIS2 si articola in più fasi temporali definite dal D.Lgs. 138/2024 e dalle indicazioni operative dell'ACN. La prima e più urgente riguarda la registrazione sulla piattaforma ACN: le organizzazioni che ritengono di rientrare nell'ambito devono censirsi attraverso il portale ufficiale dell'Agenzia, fornendo informazioni sulla propria attività, dimensione, settore e infrastrutture gestite. Questa operazione di auto-registrazione è il punto di partenza obbligatorio.

Entro il 30 giugno 2026, le organizzazioni registrate devono completare il processo di categorizzazione, ovvero la classificazione formale da parte dell'ACN come soggetto essenziale o importante. Questa categorizzazione determina il livello di obblighi a cui l'organizzazione sarà soggetta in termini di misure di sicurezza, notifiche degli incidenti e supervisione da parte dell'autorità competente. Non registrarsi o registrarsi in ritardo non esonera dall'obbligo: al contrario, espone l'organizzazione a sanzioni amministrative che possono essere molto significative.

Le sanzioni previste dalla normativa italiana sono severe: per i soggetti essenziali si parla di sanzioni fino a 10 milioni di euro o il 2% del fatturato mondiale annuo (se superiore), mentre per i soggetti importanti le sanzioni possono arrivare fino a 7 milioni di euro o l'1,4% del fatturato mondiale. Per una PMI, queste cifre possono essere devastanti. È importante anche ricordare che la responsabilità ricade esplicitamente sugli organi di amministrazione e direzione, che devono approvare le misure di sicurezza e sovrintendere alla loro attuazione.

  • Fase 1 — Registrazione ACN: auto-censimento sulla piattaforma ACN (attiva dal 2025)
  • Fase 2 — Categorizzazione: classificazione formale come soggetto essenziale o importante entro il 30 giugno 2026
  • Fase 3 — Adeguamento misure di sicurezza: implementazione degli obblighi tecnici e organizzativi secondo le scadenze indicate dall'ACN
  • Fase 4 — Notifiche degli incidenti: obbligo di notifica entro 24 ore (pre-notifica) e 72 ore (notifica completa) per incidenti significativi

Le misure di sicurezza obbligatorie: cosa deve implementare concretamente una PMI

Al di là degli adempimenti burocratici, il cuore della NIS2 sono le misure di sicurezza tecnica e organizzativa che ogni soggetto obbligato deve adottare. L'articolo 24 del D.Lgs. 138/2024 definisce un insieme minimo di misure che devono essere proporzionate al rischio e alle dimensioni dell'organizzazione. Per una PMI, questo significa non dover replicare necessariamente le strutture di sicurezza di una grande corporation, ma dover dimostrare un approccio sistematico e documentato alla gestione del rischio cyber.

Le misure richieste coprono diverse aree fondamentali. La prima è la gestione del rischio: l'azienda deve condurre una valutazione dei rischi cyber in modo strutturato, identificare le proprie risorse critiche (sistemi informatici, dati, reti) e definire misure proporzionate per proteggerle. Non si tratta di un documento da compilare una volta sola, ma di un processo continuo che deve essere revisionato periodicamente e dopo ogni incidente significativo.

Un altro ambito critico riguarda la sicurezza della catena di approvvigionamento: le PMI devono valutare e gestire i rischi derivanti dai propri fornitori IT, dai software utilizzati e dai provider di servizi cloud. Questo è spesso il punto più trascurato dalle piccole imprese, che si affidano a decine di soluzioni SaaS senza mai valutarne la sicurezza. Ecco alcune delle principali misure da implementare:

  • Politiche di sicurezza delle informazioni documentate e approvate dalla direzione
  • Gestione degli incidenti: procedure di rilevamento, risposta e notifica degli incidenti cyber
  • Business continuity e disaster recovery: piani per garantire la continuità operativa in caso di attacco o guasto
  • Sicurezza della supply chain: valutazione dei fornitori ICT critici e clausole contrattuali adeguate
  • Sicurezza nello sviluppo e acquisizione di sistemi: verifica della sicurezza dei software acquistati o sviluppati
  • Formazione e consapevolezza: programmi di security awareness per tutto il personale
  • Crittografia: uso di crittografia per proteggere dati sensibili in transito e a riposo
  • Autenticazione a più fattori (MFA): obbligo per l'accesso a sistemi critici
  • Gestione degli accessi privilegiati: controllo rigoroso degli account amministrativi

Il piano d'azione pratico per le PMI italiane: da dove iniziare oggi

Di fronte a un insieme così articolato di obblighi, molte PMI si chiedono da dove cominciare. La risposta pratica è: iniziate dall'analisi della vostra posizione normativa. Prima di investire in tecnologie o consulenze, è fondamentale capire se e come la vostra azienda è soggetta alla NIS2. Questo richiede una lettura attenta degli allegati del D.Lgs. 138/2024, tenendo conto del settore di attività, delle dimensioni aziendali e dell'eventuale fornitura di servizi a soggetti pubblici o a infrastrutture critiche.

Una volta accertata la propria posizione, il secondo passo è nominare un referente NIS2 interno — che può essere il responsabile IT, il CTO o anche un consulente esterno — incaricato di coordinare le attività di adeguamento. È fondamentale che la direzione aziendale sia coinvolta sin dall'inizio: la NIS2 è esplicitamente una normativa che assegna responsabilità al vertice, non solo al reparto tecnico. Programmi di formazione specifica per il management sono dunque una priorità, non un optional.

Il terzo passaggio è condurre un gap analysis: un'analisi dello scarto tra la situazione attuale di sicurezza informatica dell'azienda e i requisiti della NIS2. Questo permette di capire quali misure sono già presenti, quali sono parziali e quali mancano del tutto, consentendo di pianificare gli interventi in modo prioritario e con un budget ragionato. Molte PMI italiane scoprono in questa fase di avere già alcune buone pratiche in atto — come i backup regolari o l'antivirus — ma di mancare di elementi fondamentali come la gestione documentata degli incidenti o la valutazione formale del rischio.

  • Step 1: Verificare se la propria azienda rientra nell'ambito NIS2 (settore + dimensioni)
  • Step 2: Registrarsi sulla piattaforma ACN entro i termini previsti
  • Step 3: Nominare un referente NIS2 e coinvolgere la direzione
  • Step 4: Condurre una gap analysis rispetto ai requisiti del D.Lgs. 138/2024
  • Step 5: Definire un piano di adeguamento con priorità, tempi e budget
  • Step 6: Implementare le misure mancanti, partendo da quelle ad alto impatto e basso costo (es. MFA, policy password, formazione)
  • Step 7: Documentare tutto: politiche, procedure, valutazioni del rischio, piani di risposta
  • Step 8: Pianificare revisioni periodiche e test delle procedure di risposta agli incidenti

Domande frequenti

La mia PMI ha meno di 50 dipendenti: sono esentata dalla NIS2?

In linea generale, le piccole imprese con meno di 50 dipendenti e fatturato inferiore a 10 milioni di euro non rientrano nell'ambito di applicazione della NIS2. Tuttavia, esistono eccezioni rilevanti: alcuni soggetti sono inclusi indipendentemente dalla dimensione, come i fornitori di reti o servizi di comunicazione elettronica accessibili al pubblico, le autorità di certificazione, i provider DNS, i registri dei nomi di dominio di primo livello e altri soggetti definiti critici per l'infrastruttura nazionale. È quindi prudente verificare caso per caso, anche consultando le linee guida dell'ACN o un consulente specializzato, prima di escludersi automaticamente dall'ambito di applicazione.

Cosa rischia concretamente un'azienda che non si registra o non si adegua entro le scadenze?

Le conseguenze del mancato adeguamento sono molteplici e potenzialmente molto gravi. Sul piano sanzionatorio, le autorità competenti possono irrogare sanzioni amministrative pecuniarie fino a 10 milioni di euro o il 2% del fatturato mondiale per i soggetti essenziali, e fino a 7 milioni di euro o l'1,4% del fatturato mondiale per i soggetti importanti. Ma oltre alle sanzioni economiche, la normativa prevede anche misure temporanee come la sospensione delle certificazioni o delle autorizzazioni, e in casi estremi la temporanea interdizione dall'esercizio delle funzioni dirigenziali. Sul piano reputazionale, un incidente cyber gestito senza adeguate misure di sicurezza può comportare danni significativi all'immagine aziendale e alla fiducia dei clienti.

La NIS2 si sovrappone al GDPR? Devo gestire due compliance separate?

NIS2 e GDPR sono normative distinte con finalità complementari: il GDPR si concentra sulla protezione dei dati personali, mentre la NIS2 si focalizza sulla sicurezza delle reti e dei sistemi informativi in senso più ampio. Tuttavia, le due normative condividono numerosi principi comuni, come la gestione del rischio, la notifica degli incidenti e l'adozione di misure tecniche e organizzative adeguate. Un approccio integrato alla compliance — che affronti entrambe le normative in modo coordinato — è non solo possibile, ma fortemente consigliato per evitare duplicazioni di sforzi e costi. Molte misure di sicurezza richieste dalla NIS2 sono già previste dal GDPR, il che significa che un'azienda già conforme al GDPR ha spesso una buona base di partenza per la NIS2.

Quanto costa adeguarsi alla NIS2 per una PMI italiana?

I costi di adeguamento variano enormemente in base alla situazione di partenza dell'azienda, al settore e alla complessità dell'infrastruttura IT. Non esiste una cifra standard, ma è possibile orientarsi considerando alcune voci principali: consulenza per la gap analysis e il piano di adeguamento, eventuale aggiornamento o acquisto di soluzioni tecnologiche (firewall, sistemi di monitoraggio, strumenti di backup, MFA), formazione del personale e dei dirigenti, e manutenzione continuativa della compliance. Per molte PMI con una buona base IT già presente, l'investimento principale riguarda la documentazione, i processi e la formazione più che la tecnologia. È importante considerare questi costi come un investimento nella resilienza aziendale, non come una spesa improduttiva: un singolo incidente ransomware non gestito può costare molto di più dell'intera attività di adeguamento.

Conclusione

La scadenza del 30 giugno 2026 per la categorizzazione ACN non è lontana come potrebbe sembrare. Considerando che il processo richiede prima la registrazione, poi una gap analysis, poi l'implementazione delle misure e infine la documentazione di tutto — il tempo utile si riduce rapidamente. Le PMI italiane che operano nei settori coinvolti dalla NIS2 devono iniziare ad agire adesso, non nei mesi prossimi alla scadenza.

Il messaggio più importante per gli imprenditori italiani è questo: la NIS2 non è solo un obbligo burocratico da assolvere il prima possibile per evitare sanzioni. È un framework che, se applicato con intelligenza e proporzionalità, può aiutare la vostra azienda a diventare più resiliente, più affidabile agli occhi dei clienti e dei partner, e più competitiva in un mercato dove la cybersicurezza è ormai un elemento differenziante. Non aspettate l'incidente per scoprire quanto vale la sicurezza informatica.

Se non siete sicuri di rientrare nell'ambito della NIS2, se avete già capito di essere soggetti obbligati ma non sapete da dove iniziare, o se volete semplicemente una valutazione professionale della vostra posizione attuale, contattate un esperto IT specializzato in cybersicurezza e compliance normativa. Un professionista qualificato può aiutarvi a percorrere questo percorso in modo efficiente, ottimizzando tempi e budget e garantendo che la vostra azienda arrivi alla scadenza del 2026 non solo conforme, ma realmente più sicura.