La direttiva NIS2 (Network and Information Security 2) rappresenta oggi una delle sfide normative più rilevanti per le imprese italiane. Recepita in Italia con il Decreto Legislativo 4 settembre 2024, n. 138, la normativa ha ampliato in modo significativo la platea dei soggetti obbligati rispetto alla precedente NIS1, coinvolgendo per la prima volta in modo diretto anche molte piccole e medie imprese che operano in settori considerati critici per l'economia e la sicurezza nazionale. Se fino a qualche anno fa la cybersecurity era percepita come un problema delle grandi corporation, oggi la realtà è cambiata: le PMI sono nel mirino dei cybercriminali e, sempre più spesso, anche del legislatore.

Il contesto italiano rende questa transizione ancora più urgente. Secondo il Rapporto Clusit 2024, l'Italia si conferma tra i Paesi europei più colpiti da attacchi informatici, con un incremento significativo degli incidenti gravi negli ultimi anni. Le PMI, spesso prive di strutture IT dedicate e con budget limitati, si trovano a dover rispondere a requisiti normativi complessi senza poter contare sulle risorse delle grandi aziende. La buona notizia è che adeguarsi alla NIS2 non significa necessariamente bloccare l'operatività o sostenere investimenti insostenibili: significa piuttosto adottare un approccio strutturato e proporzionato al rischio.

In questo articolo analizziamo in modo pratico cosa richiede la NIS2 alle PMI italiane, quali sono le scadenze fissate dall'ACN (Agenzia per la Cybersicurezza Nazionale), quali misure concrete adottare e come farlo senza mettere a rischio la continuità del business. L'obiettivo è fornire una bussola operativa per imprenditori e responsabili IT che devono muoversi in un panorama normativo nuovo e in rapida evoluzione.

Chi è obbligato dalla NIS2: capire se la tua PMI rientra nel perimetro

La prima domanda che ogni imprenditore deve porsi è semplice: la mia azienda è soggetta alla NIS2? La risposta non è sempre immediata, perché la direttiva distingue tra soggetti essenziali e soggetti importanti e si applica a organizzazioni che superano determinate soglie dimensionali o che operano in settori specifici. In linea generale, la NIS2 si applica a imprese con almeno 50 dipendenti o un fatturato annuo superiore a 10 milioni di euro, purché attive in uno dei settori indicati dalla normativa.

I settori coperti dalla NIS2 sono suddivisi in due categorie. I settori ad alta criticità (Allegato I) includono: energia, trasporti, banche e infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi ICT, pubblica amministrazione e spazio. I settori critici (Allegato II) comprendono: servizi postali, gestione rifiuti, produzione e distribuzione di sostanze chimiche, produzione e distribuzione di alimenti, fabbricazione (dispositivi medici, elettronici, veicoli), fornitori di servizi digitali e ricerca.

  • Soggetti essenziali: grandi imprese nei settori Allegato I con oltre 250 dipendenti o fatturato superiore a 50 milioni di euro
  • Soggetti importanti: medie imprese nei settori Allegato I e tutte le imprese nei settori Allegato II con 50-249 dipendenti o fatturato tra 10 e 50 milioni
  • Esclusioni: microimprese (sotto i 10 dipendenti) e piccole imprese (sotto i 50 dipendenti) sono in genere escluse, salvo eccezioni per settori particolarmente critici

Un aspetto spesso trascurato riguarda la supply chain: anche una PMI formalmente esclusa dalla NIS2 potrebbe essere indirettamente coinvolta se è fornitore di un soggetto essenziale o importante. In tal caso, il cliente potrebbe richiedere per contratto garanzie di sicurezza allineate agli standard NIS2. È quindi fondamentale valutare la propria posizione non solo come soggetto autonomo, ma anche come anello di una catena di fornitura.

Scadenze ACN e registro nazionale: cosa fare e quando

L'ACN — Agenzia per la Cybersicurezza Nazionale — è l'autorità competente in Italia per l'attuazione della NIS2. Ha il compito di definire le modalità operative di registrazione, stabilire le linee guida tecniche e vigilare sul rispetto degli obblighi. Le scadenze operative sono state articolate in più fasi per consentire alle organizzazioni di adeguarsi progressivamente.

Il primo adempimento concreto è la registrazione sulla piattaforma ACN. Le organizzazioni che ritengono di rientrare nel perimetro NIS2 erano tenute ad avviare il processo di auto-registrazione entro il 28 febbraio 2025, attraverso il portale dedicato dell'Agenzia. Successivamente, l'ACN procederà alla notifica ufficiale alle organizzazioni effettivamente incluse negli elenchi dei soggetti essenziali e importanti. È fondamentale non attendere passivamente questa notifica: chi non si registra spontaneamente rischia di trovarsi impreparato e, soprattutto, di incorrere in sanzioni.

  • Entro il 28 febbraio 2025: auto-registrazione sulla piattaforma ACN (fase iniziale)
  • Entro il 31 marzo 2025: completamento delle informazioni richieste nella piattaforma di registrazione
  • Dal 2026: applicazione progressiva degli obblighi tecnici e organizzativi con relative verifiche
  • Sanzioni: fino a 10 milioni di euro o il 2% del fatturato annuo globale per i soggetti essenziali; fino a 7 milioni o l'1,4% per i soggetti importanti

È importante sottolineare che le scadenze possono subire aggiornamenti da parte di ACN: si raccomanda di monitorare costantemente il sito ufficiale acn.gov.it e le comunicazioni ufficiali dell'Agenzia. Alcune categorie di soggetti, in particolare le PMI che si avvicinano alle soglie dimensionali, potrebbero beneficiare di regimi transitori o semplificati. Anche per questo motivo, affidarsi a un consulente specializzato è la scelta più prudente.

Gli obblighi concreti NIS2: misure tecniche e organizzative per le PMI

Una volta chiarito se si rientra nel perimetro, occorre capire cosa fare in concreto. La NIS2 non impone un elenco rigido di tecnologie da adottare, ma richiede un approccio basato sul rischio proporzionato: ogni organizzazione deve valutare le proprie minacce specifiche e adottare misure adeguate. Tuttavia, il Decreto Legislativo 138/2024 e le linee guida ACN indicano con chiarezza le aree di intervento obbligatorie.

Le misure minime richieste si articolano in dieci ambiti fondamentali, esplicitamente richiamati dall'articolo 24 della direttiva. Per una PMI, tradurre questi obblighi in azioni concrete significa principalmente:

  • Politiche di sicurezza delle informazioni: redigere e adottare formalmente una policy di sicurezza aziendale, anche sintetica ma ufficialmente approvata dall'organo di gestione
  • Gestione degli incidenti: implementare procedure per rilevare, segnalare e gestire gli incidenti di sicurezza; la notifica ad ACN deve avvenire entro 24 ore per gli incidenti significativi
  • Continuità operativa e backup: garantire procedure di business continuity e disaster recovery con backup regolari testati almeno annualmente
  • Sicurezza della supply chain: valutare i rischi dei fornitori ICT e inserire clausole contrattuali di sicurezza
  • Sicurezza nello sviluppo e manutenzione dei sistemi: gestione delle vulnerabilità e aggiornamento regolare di software e firmware
  • Formazione del personale: programmi di security awareness per tutti i dipendenti, non solo per il personale IT
  • Uso di crittografia: adottare soluzioni crittografiche per proteggere dati sensibili in transito e a riposo
  • Autenticazione multi-fattore (MFA): obbligatoria per l'accesso a sistemi critici e per accessi remoti
  • Sicurezza delle risorse umane: procedure di onboarding e offboarding sicure, gestione degli accessi privilegiati
  • Governance della sicurezza: l'organo di amministrazione deve approvare le misure e i responsabili devono seguire formazione specifica

Un elemento spesso sottovalutato è la responsabilità degli organi di gestione: la NIS2 stabilisce esplicitamente che gli amministratori e i consigli di amministrazione non possono delegare completamente la responsabilità della cybersecurity. Devono essere informati, approvare le politiche e, in caso di gravi violazioni, possono essere ritenuti personalmente responsabili. Per una PMI, questo significa che l'imprenditore o il titolare deve essere coinvolto direttamente, non lasciare tutto all'IT.

Come adeguarsi senza bloccare l'operatività: un piano pratico per le PMI italiane

La preoccupazione più comune tra gli imprenditori è che adeguarsi alla NIS2 significhi fermare l'azienda per mesi, assumere decine di esperti di sicurezza o investire budget impossibili. La realtà, fortunatamente, è diversa: con un approccio metodico e proporzionato, una PMI può raggiungere la conformità NIS2 senza stravolgere la propria operatività quotidiana. La chiave è partire dalla valutazione del rischio e procedere per priorità.

Il primo passo è condurre una gap analysis: un'analisi dello stato attuale della sicurezza informatica aziendale rispetto ai requisiti NIS2. Questo non richiede necessariamente mesi di lavoro: un consulente esperto può condurre un assessment iniziale in pochi giorni, fornendo una fotografia chiara di cosa è già a posto, cosa manca e qual è il livello di rischio reale. Sulla base di questa analisi, si definisce un piano di adeguamento a fasi, con interventi prioritari sulle vulnerabilità più gravi e un calendario sostenibile per le misure a medio termine.

  • Fase 1 — Quick wins (1-2 mesi): attivazione MFA su tutti gli accessi critici, implementazione policy di backup e verifica dei ripristini, inventario degli asset IT, formazione base del personale
  • Fase 2 — Strutturazione (3-6 mesi): redazione delle policy di sicurezza, implementazione di un sistema di gestione degli incidenti, revisione dei contratti con i fornitori ICT
  • Fase 3 — Maturità (6-12 mesi): implementazione di strumenti di monitoraggio, test di penetrazione, aggiornamento dei piani di business continuity, audit interno

Un aspetto pratico spesso trascurato è la scelta degli strumenti. Non occorre necessariamente acquistare soluzioni enterprise costose: molte PMI possono partire da strumenti già inclusi nelle licenze esistenti (ad esempio, le funzionalità di sicurezza di Microsoft 365 Business Premium) o da soluzioni open source gestite da un partner qualificato. L'importante è che gli strumenti siano configurati correttamente e che esista un processo, non solo una tecnologia. Infine, valutare il ricorso a servizi managed security (MSSP) può essere una soluzione cost-effective per PMI che non possono permettersi un team interno dedicato alla cybersecurity.

Domande frequenti

La mia PMI con 30 dipendenti è obbligata dalla NIS2?

In linea generale, le imprese con meno di 50 dipendenti e fatturato inferiore a 10 milioni di euro sono escluse dagli obblighi diretti della NIS2. Tuttavia esistono eccezioni: se la tua azienda opera in settori particolarmente critici come le infrastrutture digitali o è l'unico fornitore di un servizio essenziale in Italia, potrebbe essere inclusa anche al di sotto delle soglie. Inoltre, anche se formalmente esclusa, potresti ricevere richieste contrattuali di adeguamento dai tuoi clienti soggetti a NIS2. La raccomandazione è di effettuare comunque una verifica con un consulente, che richiede poco tempo e dà certezza giuridica.

Cosa rischio se non mi adeguo alla NIS2?

Le sanzioni previste dal Decreto Legislativo 138/2024 sono significative: per i soggetti essenziali si arriva fino a 10 milioni di euro o il 2% del fatturato annuo mondiale totale (si applica il maggiore dei due importi); per i soggetti importanti fino a 7 milioni di euro o l'1,4% del fatturato. Oltre alle sanzioni pecuniarie, in caso di incidente grave l'ACN può disporre misure di sospensione temporanea delle attività o imporre obblighi di comunicazione pubblica dell'incidente, con evidenti impatti reputazionali. La responsabilità può estendersi agli organi di gestione personalmente.

Quanto tempo ci vuole per adeguarsi alla NIS2?

Dipende dallo stato di partenza della tua organizzazione. Una PMI che ha già implementato buone pratiche di sicurezza (backup, MFA, antivirus gestito, procedure di aggiornamento) potrebbe raggiungere una conformità iniziale in 3-4 mesi. Un'azienda che parte da zero, invece, dovrebbe pianificare un percorso di 9-12 mesi per una conformità robusta e documentata. L'importante è iniziare subito, anche con le misure più semplici, e documentare ogni azione intrapresa: la NIS2 premia non solo l'implementazione tecnica ma anche la capacità di dimostrare un approccio strutturato e consapevole alla gestione del rischio.

La NIS2 sostituisce o si affianca al GDPR?

La NIS2 e il GDPR sono normative distinte ma complementari. Il GDPR si focalizza sulla protezione dei dati personali, mentre la NIS2 si concentra sulla sicurezza delle reti e dei sistemi informativi in senso più ampio. Tuttavia, molte misure richieste dalla NIS2 (crittografia, gestione degli accessi, backup, procedure per gli incidenti) contribuiscono anche alla conformità GDPR, creando sinergie positive. Un piano di adeguamento ben strutturato dovrebbe affrontare entrambe le normative in modo integrato, evitando duplicazioni di effort e massimizzando il ritorno sull'investimento in sicurezza.

Conclusione

La NIS2 non è solo un obbligo burocratico: è un'opportunità per le PMI italiane di costruire una postura di sicurezza informatica più matura e resiliente, capace di proteggere il business da minacce sempre più sofisticate. Le scadenze ACN sono reali, le sanzioni sono significative, ma soprattutto i rischi informatici a cui le aziende sono esposte ogni giorno sono concreti. Attendere non conviene: ogni mese di ritardo è un mese di vulnerabilità e un rischio crescente di incorrere in sanzioni o, peggio, in un incidente costoso.

Il percorso verso la conformità NIS2 non deve essere affrontato da soli. La complessità normativa e tecnica richiede competenze specializzate che difficilmente si trovano all'interno di una PMI. Affidarsi a un esperto IT qualificato e aggiornato sulle normative vigenti permette di definire un piano di adeguamento realistico, proporzionato alle dimensioni e alle risorse della tua azienda, e di procedere in modo efficiente senza bloccare l'operatività quotidiana.

Contatta oggi un esperto di cybersecurity e conformità NIS2: un primo assessment della tua situazione attuale ti darà una visione chiara di dove sei, cosa manca e come procedere. Non aspettare la notifica ufficiale dell'ACN o, peggio, un incidente informatico per occuparti di sicurezza. Il momento giusto per agire è adesso.