La Direttiva NIS2 (Network and Information Security 2) è entrata in vigore a livello europeo nell'ottobre 2022 e l'Italia l'ha recepita con il Decreto Legislativo n. 138 del 4 settembre 2023, pubblicato in Gazzetta Ufficiale. Da quel momento, migliaia di aziende italiane — molte delle quali non se ne sono ancora rese conto — sono diventate soggetti obbligati a rispettare requisiti stringenti in materia di cybersecurity. Non si tratta di una questione riservata alle grandi corporation: la NIS2 coinvolge direttamente anche le piccole e medie imprese che operano in settori considerati critici per l'economia e la società.

Per molti imprenditori italiani, la parola "compliance" evoca pratiche burocratiche lontane dalla realtà operativa quotidiana. La NIS2 è invece una normativa con conseguenze molto concrete: prevede sanzioni amministrative fino a 10 milioni di euro o il 2% del fatturato mondiale annuo, e — aspetto spesso sottovalutato — introduce una responsabilità personale diretta degli organi di amministrazione. In pratica, l'amministratore delegato di una PMI può essere ritenuto personalmente responsabile in caso di inadempienza. Questo cambia radicalmente il modo in cui il tema della sicurezza informatica deve essere affrontato all'interno delle aziende.

Secondo il Rapporto Clusit 2024, l'Italia si conferma tra i Paesi europei più colpiti da attacchi informatici, con un aumento significativo degli incidenti gravi negli ultimi anni. Le PMI, spesso prive di strutture IT dedicate, rappresentano un bersaglio privilegiato per i cybercriminali proprio perché storicamente hanno investito meno in sicurezza rispetto alle grandi imprese. L'obiettivo di questo articolo è fornire una guida pratica e aggiornata per capire cosa fare, entro quando farlo e come organizzarsi concretamente per essere conformi alla NIS2 nel 2026.

Chi sono i soggetti obbligati dalla NIS2: PMI incluse nei settori critici italiani

Uno degli aspetti più importanti — e spesso fraintesi — della NIS2 riguarda il suo ambito di applicazione. La direttiva distingue tra soggetti essenziali e soggetti importanti, e la soglia dimensionale non è l'unico criterio. Mentre in linea generale la normativa si applica a medie e grandi imprese (con più di 50 dipendenti o fatturato superiore a 10 milioni di euro), esistono eccezioni rilevanti che possono coinvolgere anche realtà più piccole.

I settori coperti dalla NIS2 si dividono in due gruppi. Il primo, ad alta criticità, include: energia, trasporti, settore bancario e finanziario, sanità, acqua potabile e acque reflue, infrastrutture digitali, gestione dei servizi ICT, pubblica amministrazione e settore spaziale. Il secondo gruppo, definito altri settori critici, comprende: servizi postali, gestione dei rifiuti, produzione e distribuzione di sostanze chimiche, produzione e distribuzione alimentare, industria manifatturiera (con particolare attenzione a dispositivi medici, elettronica, macchinari), fornitori di servizi digitali e ricerca.

  • Medie imprese (50-249 dipendenti, fatturato tra 10 e 50 milioni): rientrano come soggetti importanti se operano nei settori elencati
  • Grandi imprese (oltre 250 dipendenti o fatturato superiore a 50 milioni): classificate come soggetti essenziali nei settori ad alta criticità
  • Micro e piccole imprese: generalmente escluse, salvo eccezioni per criticità specifiche definite dallo Stato membro
  • Fornitori della pubblica amministrazione: possono essere coinvolti attraverso obblighi contrattuali a cascata

Un esempio pratico: un'azienda manifatturiera italiana con 80 dipendenti che produce dispositivi medici o componenti elettronici per la difesa è quasi certamente un soggetto obbligato. Allo stesso modo, uno studio di consulenza IT con 60 dipendenti che gestisce infrastrutture per conto di clienti nel settore energetico rientra nell'ambito della normativa. Il primo passo concreto è quindi verificare se la propria azienda è soggetto obbligato, possibilmente con il supporto di un consulente specializzato.

Obblighi concreti di sicurezza informatica previsti dalla NIS2 per le imprese italiane

La NIS2 non si limita a richiedere generici miglioramenti della sicurezza: indica misure tecniche e organizzative specifiche che le aziende devono adottare. L'articolo 21 del decreto di recepimento italiano elenca in modo preciso gli ambiti in cui ogni soggetto obbligato deve intervenire. Non si tratta di acquistare un antivirus aggiornato: l'approccio richiesto è sistemico e deve essere documentato, monitorato e aggiornato periodicamente.

Le misure minime richieste comprendono:

  • Politiche di analisi del rischio: ogni azienda deve mappare i propri asset digitali, identificare le vulnerabilità e valutare l'impatto di potenziali incidenti
  • Gestione degli incidenti: procedure documentate per rilevare, contenere, notificare e gestire gli incidenti di sicurezza
  • Continuità operativa e disaster recovery: piani di backup, ripristino dei sistemi e gestione delle crisi
  • Sicurezza della supply chain: valutazione dei rischi legati a fornitori e partner tecnologici
  • Sicurezza nello sviluppo e acquisizione di sistemi: gestione delle vulnerabilità nel ciclo di vita del software
  • Formazione e consapevolezza: programmi di training obbligatori per dipendenti e management
  • Uso di crittografia e autenticazione multifattore (MFA): protezione degli accessi a sistemi e dati sensibili
  • Sicurezza delle risorse umane: procedure per onboarding, offboarding e gestione dei privilegi di accesso

Un aspetto particolarmente rilevante per le PMI italiane è la sicurezza della catena di fornitura. Se la vostra azienda è fornitore di un soggetto essenziale — per esempio, gestite i server di un ospedale o sviluppate software per un'utility energetica — potreste essere soggetti a obblighi contrattuali che replicano i requisiti NIS2, anche se formalmente non rientrate nell'ambito diretto della direttiva. Questo fenomeno, noto come trickle-down compliance, sta già interessando molte PMI italiane nei loro rapporti commerciali con grandi clienti.

Sul fronte della notifica degli incidenti, la NIS2 introduce termini molto stringenti: le aziende hanno 24 ore per inviare un primo preallarme all'ACN (Agenzia per la Cybersicurezza Nazionale) in caso di incidente significativo, seguite da una notifica completa entro 72 ore e da un rapporto finale entro un mese. Rispettare questi tempi richiede che le procedure siano già in atto prima che si verifichi un incidente, non dopo.

Scadenze NIS2 2025-2026: il calendario degli adempimenti per le PMI italiane

La gestione delle scadenze è forse l'aspetto più urgente per le PMI italiane che ancora non hanno avviato il percorso di adeguamento. Il decreto legislativo 138/2023 ha fissato un calendario progressivo di obblighi, e alcune scadenze sono già passate mentre altre si stanno avvicinando rapidamente. Non attendere l'ultimo momento è il consiglio più importante che si possa dare a un imprenditore in questa fase.

Il primo obbligo formale è stata la registrazione sulla piattaforma ACN: i soggetti obbligati avrebbero dovuto completare la propria registrazione entro il 28 febbraio 2025. Attraverso questo portale, le aziende comunicano all'Agenzia per la Cybersicurezza Nazionale i propri dati, il settore di appartenenza e le informazioni sui referenti per la sicurezza. Se la vostra azienda non ha ancora completato questa registrazione, è necessario farlo immediatamente.

  • Entro 28 febbraio 2025: registrazione obbligatoria sulla piattaforma ACN (già scaduta)
  • Entro 31 marzo 2025: l'ACN comunica alle aziende l'elenco dei soggetti essenziali e importanti riconosciuti
  • Dal 1° gennaio 2026: entrano in vigore gli obblighi di sicurezza e notifica degli incidenti per i soggetti essenziali
  • Dal 1° gennaio 2027: estensione degli obblighi ai soggetti importanti (salvo modifiche normative)

Sebbene la scadenza formale per l'implementazione delle misure di sicurezza sia fissata a inizio 2026 per i soggetti essenziali, è fondamentale capire che un adeguamento serio non si realizza in poche settimane. La gap analysis, ovvero la valutazione della distanza tra la situazione attuale e quella richiesta, la redazione delle policy, l'implementazione degli strumenti tecnologici, la formazione del personale e i test delle procedure richiedono mediamente da 6 a 12 mesi di lavoro strutturato. Chi inizia oggi è già in ritardo, ma può ancora farcela. Chi aspetta la fine del 2025 rischia seriamente di non essere conforme in tempo.

Responsabilità degli amministratori e sanzioni NIS2: cosa rischia chi non si adegua

L'elemento che più distingue la NIS2 dalle normative di cybersecurity precedenti è la responsabilizzazione diretta degli organi di vertice aziendale. L'articolo 23 del decreto 138/2023 stabilisce esplicitamente che gli organi di amministrazione e gli organi direttivi dei soggetti obbligati devono approvare le misure di gestione del rischio, supervisionarne l'attuazione e seguire specifici programmi di formazione in materia di sicurezza informatica. Non è più possibile delegare tutto alla funzione IT e considerarsi al riparo da responsabilità.

In caso di violazione degli obblighi NIS2, le sanzioni previste sono significative. Per i soggetti essenziali, le sanzioni amministrative possono arrivare fino a 10 milioni di euro o al 2% del fatturato mondiale annuo (si applica l'importo maggiore). Per i soggetti importanti, il massimo scende a 7 milioni di euro o all'1,4% del fatturato mondiale. Oltre alle sanzioni pecuniarie, l'ACN ha il potere di disporre misure di esecuzione, sospensioni temporanee delle certificazioni e, nei casi più gravi, l'inibizione temporanea allo svolgimento di funzioni dirigenziali.

Un aspetto particolarmente delicato riguarda la responsabilità penale e civile degli amministratori. Se un incidente informatico causa danni a terzi — clienti, partner, dipendenti — e si dimostra che l'azienda non aveva adottato le misure di sicurezza richieste dalla NIS2, l'amministratore può essere esposto ad azioni legali per negligenza. Questo vale anche in ambito assicurativo: molte polizze cyber insurance stanno già aggiornando le proprie clausole per escludere la copertura in caso di mancata conformità alle normative applicabili. In sintesi: non adeguarsi alla NIS2 non è solo un rischio sanzionatorio, è un rischio per la continuità stessa dell'azienda.

Domande frequenti

Come faccio a sapere se la mia PMI è soggetta agli obblighi NIS2?

Il primo passo è verificare se la vostra azienda supera le soglie dimensionali (più di 50 dipendenti o fatturato superiore a 10 milioni di euro) e opera in uno dei settori elencati negli allegati al Decreto Legislativo 138/2023. In caso di dubbio, è consigliabile consultare un professionista legale o un consulente di cybersecurity specializzato in NIS2. È anche possibile fare riferimento alle FAQ pubblicate dall'ACN sul portale ufficiale. Ricordate che anche le micro e piccole imprese possono essere coinvolte se forniscono servizi critici o se sono state espressamente identificate dallo Stato come soggetti rilevanti.

Quanto costa adeguarsi alla NIS2 per una PMI italiana?

I costi variano significativamente in base alle dimensioni aziendali, al settore e soprattutto al livello di maturità di sicurezza già presente. Una PMI che ha già implementato policy di sicurezza, backup strutturati e controlli degli accessi avrà costi di adeguamento inferiori rispetto a una che parte da zero. In termini generali, per una PMI con 50-100 dipendenti si stima un investimento iniziale che può variare da 15.000 a 60.000 euro per la fase di assessment, implementazione e formazione, a cui si aggiungono costi ricorrenti per il mantenimento della conformità. È importante considerare questi costi come un investimento nella resilienza aziendale, non come una spesa burocratica.

Cosa succede se non mi registro entro le scadenze previste dall'ACN?

La mancata registrazione sulla piattaforma ACN costituisce una violazione degli obblighi NIS2 e può comportare sanzioni amministrative. Inoltre, non essere registrati significa non ricevere le comunicazioni ufficiali dall'Agenzia, inclusa la conferma del proprio status come soggetto essenziale o importante. Se avete saltato la scadenza del 28 febbraio 2025, è importante procedere alla registrazione il prima possibile e, se necessario, consultare un legale per valutare la propria posizione. L'ACN ha la possibilità di avviare procedimenti di verifica e ispezione nei confronti dei soggetti che avrebbero dovuto registrarsi e non lo hanno fatto.

Il GDPR che già rispettiamo copre anche i requisiti NIS2?

No, il GDPR e la NIS2 sono normative distinte con obiettivi diversi, sebbene si sovrappongano su alcuni aspetti come la protezione dei dati e la gestione degli incidenti. Il GDPR si concentra sulla protezione dei dati personali, mentre la NIS2 ha un ambito più ampio che include la sicurezza delle reti, dei sistemi informativi e la continuità dei servizi critici. Molte misure tecniche e organizzative richieste dal GDPR (come la pseudonimizzazione, la cifratura dei dati, le procedure di notifica delle violazioni) contribuiscono alla conformità NIS2, ma non sono sufficienti. È necessaria una valutazione specifica per identificare i gap residui rispetto ai requisiti NIS2.

Conclusione

L'adeguamento alla NIS2 non è un'opzione per le PMI italiane che rientrano nel suo ambito di applicazione: è un obbligo di legge con scadenze già in corso e con conseguenze concrete in termini di sanzioni e responsabilità personale degli amministratori. La buona notizia è che le aziende che intraprendono questo percorso non solo si mettono al riparo da rischi legali, ma costruiscono una struttura di sicurezza che le rende più resilienti agli attacchi informatici, più affidabili agli occhi di clienti e partner, e spesso più competitive nel mercato.

Il punto di partenza è sempre una gap analysis professionale: capire dove si è, dove si deve arrivare e quali sono le priorità di intervento. Non aspettare che un incidente o un'ispezione dell'ACN mettano in luce le vulnerabilità della vostra azienda. Il momento di agire è adesso.

Contatta oggi stesso un esperto di cybersecurity e compliance NIS2 per ricevere una valutazione personalizzata della tua situazione aziendale. Un professionista qualificato potrà guidarti attraverso ogni fase del percorso di adeguamento, dalla registrazione ACN all'implementazione delle misure tecniche, fino alla formazione del management e alla predisposizione dei piani di risposta agli incidenti. Investire nella sicurezza informatica oggi significa proteggere il futuro della tua impresa.