La Direttiva NIS2 (Network and Information Security 2) è ormai una realtà concreta per migliaia di aziende italiane. Recepita in Italia con il Decreto Legislativo 4 settembre 2024, n. 138, questa normativa europea sulla sicurezza informatica ha ampliato enormemente la platea dei soggetti obbligati rispetto alla precedente NIS1, coinvolgendo per la prima volta in modo significativo anche le piccole e medie imprese che operano in settori considerati critici per l'economia e la società. Se fino a qualche anno fa la cybersecurity era percepita come una questione riservata alle grandi corporation, oggi la situazione è radicalmente cambiata.

Il contesto italiano rende questo tema particolarmente urgente. Secondo il Rapporto Clusit 2024, l'Italia è tra i Paesi europei più colpiti da attacchi informatici, con un incremento significativo degli incidenti gravi negli ultimi anni, concentrati proprio nei settori manifatturiero, sanitario, energetico e dei servizi. Le PMI italiane, spina dorsale del tessuto produttivo nazionale, rappresentano spesso l'anello più vulnerabile delle catene di approvvigionamento, diventando vettori involontari di attacchi verso organizzazioni più grandi. Questa consapevolezza ha guidato il legislatore europeo nell'estendere gli obblighi normativi verso il basso nella scala dimensionale delle imprese.

Ma cosa significa concretamente adeguarsi alla NIS2? Per molti imprenditori e professionisti IT che lavorano nelle PMI, la normativa appare ancora nebulosa, fatta di tecnicismi giuridici difficili da tradurre in azioni operative quotidiane. Questo articolo nasce proprio con l'obiettivo di fornire una mappa chiara e pratica: chi è obbligato, cosa bisogna fare, entro quando, e soprattutto quali sono le conseguenze — anche personali per gli amministratori — in caso di inadempienza. Perché sulla NIS2 non si scherza: le sanzioni possono essere pesantissime e, per la prima volta in modo esplicito, ricadere sulle persone fisiche che guidano le organizzazioni.

Chi sono i soggetti obbligati dalla NIS2: PMI italiane nei settori critici

Il primo passo per capire se la tua azienda è coinvolta è verificare se rientra nella definizione di soggetto essenziale o soggetto importante ai sensi del D.Lgs. 138/2024. La NIS2 divide i destinatari in due categorie principali, con obblighi e sanzioni differenziati. I soggetti essenziali operano nei settori ad alta criticità elencati nell'Allegato I del decreto: energia, trasporti, banche, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi ICT, pubblica amministrazione e spazio. I soggetti importanti, invece, operano nei settori dell'Allegato II: servizi postali, gestione dei rifiuti, produzione e distribuzione di sostanze chimiche, produzione e distribuzione di alimenti, manifattura di dispositivi medici, elettronica, macchinari, autoveicoli, fornitori digitali.

Sul piano dimensionale, la regola generale prevede che rientrino nell'ambito applicativo le medie imprese (almeno 50 dipendenti o fatturato/bilancio annuo superiore a 10 milioni di euro) e le grandi imprese (oltre 250 dipendenti o fatturato superiore a 50 milioni) che operano nei settori sopra citati. Le microimprese e le piccole imprese sono generalmente esentate, salvo specifiche eccezioni previste dal decreto per soggetti che, indipendentemente dalla dimensione, svolgono funzioni critiche per la società o l'economia nazionale.

È importante sottolineare che la registrazione presso l'ACN (Agenzia per la Cybersicurezza Nazionale), l'autorità competente in Italia, è un obbligo autonomo e propedeutico a tutti gli altri. Le aziende che rientrano nell'ambito di applicazione devono registrarsi sulla piattaforma digitale messa a disposizione dall'ACN. Trascurare anche solo questo primo passaggio formale espone già a rischi sanzionatori. Ecco i principali settori in cui operano PMI italiane frequentemente soggette agli obblighi NIS2:

  • Manifattura avanzata: produttori di dispositivi medici, macchinari industriali, componenti elettronici
  • Agroalimentare: aziende di produzione e distribuzione di alimenti con dimensioni medie
  • Servizi ICT e digitali: fornitori di servizi cloud, data center, managed service provider
  • Logistica e trasporti: operatori stradali, ferroviari, aerei e marittimi
  • Sanità privata: cliniche, laboratori diagnostici, fornitori di dispositivi medici
  • Utility locali: gestori di reti idriche, energetiche e di smaltimento rifiuti

Gli obblighi concreti di sicurezza informatica: cosa deve fare una PMI per essere conforme

Una volta accertata la propria appartenenza alla categoria dei soggetti obbligati, il passo successivo è capire cosa bisogna fare concretamente. Il D.Lgs. 138/2024 non lascia spazio all'improvvisazione: stabilisce un insieme di misure minime di sicurezza che ogni soggetto deve adottare, proporzionalmente alla propria dimensione, al settore di appartenenza e all'esposizione al rischio. Il principio cardine è quello della gestione del rischio basata su evidenze, il che significa che non è sufficiente acquistare un antivirus o installare un firewall: bisogna dimostrare di aver seguito un processo strutturato di analisi e mitigazione dei rischi.

Le misure obbligatorie previste dall'articolo 24 del decreto includono, tra le altre: politiche di analisi dei rischi e sicurezza dei sistemi informativi, procedure per la gestione degli incidenti di sicurezza, piani di continuità operativa e ripristino in caso di disastro (business continuity e disaster recovery), sicurezza della catena di approvvigionamento (supply chain), pratiche di base di cyber igiene e formazione del personale, uso della crittografia e, ove appropriato, della cifratura, sicurezza delle risorse umane e controllo degli accessi, utilizzo di soluzioni di autenticazione multifattore (MFA).

Tradotto in termini pratici per una PMI manifatturiera con 80 dipendenti, questo significa, ad esempio: documentare formalmente le politiche di sicurezza IT, condurre almeno una valutazione del rischio annuale, avere un piano scritto e testato di backup e ripristino dei dati, mappare i fornitori critici di software e servizi cloud, erogare formazione periodica ai dipendenti su phishing e social engineering, e implementare l'autenticazione a due fattori per tutti gli accessi ai sistemi aziendali. Non si tratta di operazioni impossibili, ma richiedono tempo, risorse e, spesso, il supporto di un consulente specializzato.

  • Analisi del rischio documentata: identificazione delle risorse critiche, minacce, vulnerabilità e impatti
  • Incident response plan: procedure scritte per rilevare, notificare e gestire gli incidenti informatici
  • Backup e disaster recovery: soluzioni testate con RTO e RPO definiti e documentati
  • Gestione delle identità e degli accessi: MFA, principio del minimo privilegio, revisione periodica degli account
  • Sicurezza della supply chain: valutazione dei fornitori ICT critici e clausole contrattuali di sicurezza
  • Formazione e consapevolezza: programmi strutturati almeno annuali per tutto il personale
  • Vulnerability management: scansioni periodiche e patch management documentato

Scadenze NIS2 2025-2026: il calendario degli adempimenti per le aziende italiane

Comprendere il calendario degli obblighi è fondamentale per pianificare le attività senza incorrere in violazioni. Il D.Lgs. 138/2024 ha stabilito un percorso graduale di implementazione, con scadenze precise che le aziende devono rispettare. La prima scadenza importante ha riguardato la registrazione sulla piattaforma ACN: i soggetti già identificati come obbligati hanno avuto un termine per completare la propria registrazione, e l'ACN ha progressivamente comunicato alle aziende la loro inclusione nell'elenco dei soggetti NIS2.

Per il 2025, le attività principali riguardano il completamento della registrazione e l'avvio dei processi di adeguamento interno. L'ACN ha previsto che entro il 31 marzo 2025 i soggetti inseriti nell'elenco ricevessero comunicazione ufficiale, e che entro il 15 aprile 2025 completassero la registrazione sulla piattaforma con le informazioni richieste. Sul fronte operativo, le aziende devono iniziare a strutturare la propria governance della sicurezza, condurre le prime analisi del rischio e predisporre le politiche interne.

Per il 2026, la normativa prevede che tutti i soggetti obbligati siano pienamente conformi alle misure di sicurezza richieste. In particolare, entro il 1° gennaio 2026 dovranno essere operative tutte le misure tecniche e organizzative previste dall'articolo 24, e i soggetti essenziali saranno sottoposti a vigilanza attiva da parte dell'ACN, mentre i soggetti importanti saranno oggetto di controlli ex post. Questo significa che le aziende non hanno più il lusso di rimandare: chi inizia oggi ha circa un anno per strutturare un programma di adeguamento credibile.

  • Entro aprile 2025: completamento registrazione sulla piattaforma ACN
  • Entro giugno 2025: prima analisi del rischio documentata e nomina del responsabile della sicurezza
  • Entro settembre 2025: adozione delle politiche di sicurezza, piano di incident response e procedure di backup
  • Entro dicembre 2025: implementazione delle misure tecniche (MFA, vulnerability management, formazione)
  • Dal 1° gennaio 2026: piena conformità operativa e attivazione della vigilanza da parte dell'ACN

Sanzioni NIS2 e responsabilità personale degli amministratori: i rischi concreti

Questa è forse la sezione che più colpisce gli imprenditori italiani quando la leggono per la prima volta. La NIS2, e con essa il D.Lgs. 138/2024, introduce un sistema sanzionatorio severo e — novità assoluta per la normativa italiana sulla cybersecurity — prevede esplicitamente la responsabilità personale degli organi di amministrazione e di direzione. Non si tratta più di sanzioni che ricadono solo sull'azienda come entità giuridica: anche le persone fisiche che la guidano possono essere chiamate a rispondere.

Sul piano delle sanzioni amministrative pecuniarie, il decreto distingue tra soggetti essenziali e soggetti importanti. Per i soggetti essenziali, le sanzioni possono arrivare fino a 10 milioni di euro o al 2% del fatturato mondiale annuo totale, se superiore. Per i soggetti importanti, il limite massimo è fissato a 7 milioni di euro o all'1,4% del fatturato mondiale annuo totale. Si tratta di cifre che, anche per una PMI con fatturato di 20 milioni di euro, possono tradursi in sanzioni nell'ordine delle centinaia di migliaia di euro. L'ACN può applicare queste sanzioni in caso di violazione degli obblighi di registrazione, notifica degli incidenti o mancata adozione delle misure di sicurezza.

Ma la vera novità che deve far riflettere ogni consiglio di amministrazione e ogni amministratore delegato di PMI italiana riguarda la responsabilità personale. L'articolo 38 del D.Lgs. 138/2024 prevede che gli organi di amministrazione e di direzione dei soggetti essenziali e importanti debbano approvare le misure di gestione dei rischi di cybersicurezza, supervisionarne l'attuazione e possano essere ritenuti responsabili in caso di violazioni. In casi gravi, l'ACN può addirittura disporre una interdizione temporanea dalle funzioni dirigenziali per i responsabili delle violazioni. Questo cambia radicalmente la prospettiva: la cybersecurity non è più solo un tema dell'IT, ma una responsabilità del vertice aziendale.

  • Sanzioni fino a 10 milioni € o 2% fatturato per i soggetti essenziali
  • Sanzioni fino a 7 milioni € o 1,4% fatturato per i soggetti importanti
  • Responsabilità personale degli amministratori per mancata supervisione delle misure di sicurezza
  • Possibile interdizione dai ruoli dirigenziali nei casi più gravi
  • Obbligo di notifica degli incidenti all'ACN entro 24 ore (notifica preliminare) e 72 ore (notifica intermedia)
  • Pubblicazione delle violazioni: l'ACN può rendere pubblica l'inadempienza, con danni reputazionali significativi

Domande frequenti

Come faccio a sapere se la mia PMI è davvero soggetta agli obblighi NIS2?

Il modo più sicuro è verificare due condizioni: il settore di attività e le dimensioni aziendali. Se la tua azienda opera in uno dei settori elencati negli Allegati I o II del D.Lgs. 138/2024 (manifattura critica, agroalimentare, servizi ICT, sanità, energia, trasporti, ecc.) e ha almeno 50 dipendenti oppure un fatturato o totale di bilancio superiore a 10 milioni di euro annui, molto probabilmente rientra nell'ambito applicativo della NIS2. In caso di dubbio, è consigliabile consultare un consulente legale o IT specializzato e verificare le comunicazioni ricevute dall'ACN. L'Agenzia per la Cybersicurezza Nazionale ha pubblicato sul proprio sito ufficiale (acn.gov.it) le linee guida e gli strumenti per l'autovalutazione.

Quanto costa adeguarsi alla NIS2 per una PMI italiana?

I costi variano enormemente in base alla situazione di partenza dell'azienda, al settore e alla dimensione. Una PMI che abbia già una buona igiene informatica di base — backup regolari, antivirus aggiornati, qualche policy di sicurezza — dovrà principalmente formalizzare e documentare ciò che già fa, integrando le lacune. In questo caso, il costo può essere relativamente contenuto, nell'ordine di qualche decina di migliaia di euro per un progetto di adeguamento gestito con il supporto di un consulente. Per un'azienda che parte da zero, invece, i costi possono essere significativamente più alti, soprattutto se è necessario investire in nuove tecnologie. È tuttavia fondamentale mettere questi costi in relazione con le sanzioni potenziali e con il costo medio di un incidente informatico grave, che per una PMI può facilmente superare il mezzo milione di euro tra fermo produttivo, ripristino dei sistemi e danni reputazionali.

Cosa succede se subisco un attacco informatico e non l'ho notificato all'ACN nei tempi previsti?

La mancata o tardiva notifica di un incidente significativo è una delle violazioni più sanzionate dalla normativa NIS2. Il decreto prevede un sistema di notifica in tre fasi: una notifica preliminare entro 24 ore dalla scoperta dell'incidente, una notifica intermedia entro 72 ore con informazioni più dettagliate, e un rapporto finale entro un mese. Un incidente è considerato significativo quando causa gravi perturbazioni operative o perdite finanziarie per l'organizzazione, oppure quando ha impatto su altre persone fisiche o giuridiche. Il mancato rispetto di questi obblighi può portare all'applicazione di sanzioni amministrative, indipendentemente dal fatto che l'azienda sia stata vittima e non artefice dell'incidente. È quindi fondamentale avere procedure interne per il rilevamento rapido degli incidenti e per la loro notifica tempestiva.

Gli amministratori devono seguire una formazione specifica sulla cybersecurity?

Sì, e questo è uno degli aspetti più innovativi della NIS2 rispetto alla normativa precedente. Il D.Lgs. 138/2024 prevede esplicitamente che gli organi di amministrazione e di direzione debbano seguire una formazione specifica in materia di cybersicurezza e che promuovano l'offerta di analoga formazione ai dipendenti. La formazione deve essere sufficiente a consentire loro di identificare i rischi e valutare le pratiche di gestione adottate dalla propria organizzazione. Questo non significa che ogni amministratore debba diventare un esperto tecnico, ma che debba acquisire una consapevolezza minima sufficiente a prendere decisioni informate e a supervisionare adeguatamente le funzioni IT aziendali. Molti provider di formazione professionale stanno già offrendo corsi specifici per manager e amministratori su questi temi.

Conclusione

L'adeguamento alla NIS2 non è un'opzione: è un obbligo di legge con scadenze precise, sanzioni concrete e — per la prima volta in modo esplicito nella normativa italiana sulla cybersecurity — responsabilità personali per chi guida le organizzazioni. Le PMI italiane che operano nei settori critici non possono più permettersi di considerare la sicurezza informatica come un costo discrezionale da rimandare. Il 2025 è l'anno in cui costruire le fondamenta, il 2026 è l'anno della piena conformità e della vigilanza attiva da parte dell'ACN.

La buona notizia è che adeguarsi non significa necessariamente spendere fortune o stravolgere l'operatività aziendale. Significa, piuttosto, strutturare in modo formale e documentato le pratiche di sicurezza, formare le persone giuste e dotarsi degli strumenti necessari per rilevare e gestire gli incidenti. Un percorso fattibile, a patto di iniziare subito e con il supporto adeguato.

Non aspettare che sia l'ACN a bussare alla tua porta. Se vuoi capire in modo preciso se la tua azienda rientra negli obblighi NIS2, dove si trovano le lacune di sicurezza più urgenti e come strutturare un piano di adeguamento realistico e sostenibile, contatta oggi stesso un esperto IT specializzato in cybersecurity e compliance. Un'analisi iniziale può fare la differenza tra un adeguamento ordinato e una corsa contro il tempo sotto pressione normativa — o peggio, sotto indagine dell'autorità di vigilanza.