La direttiva NIS2 viene ancora percepita da molte aziende come una questione da grandi gruppi, banche e infrastrutture critiche. Non è più così: in Italia il decreto che l’ha recepita riguarda anche le piccole e medie imprese di molti settori.
E il calendario non è teorico. Per le aziende già inserite nell’elenco dell’Agenzia per la cybersicurezza nazionale (ACN) nel 2025, il termine per adottare le misure di sicurezza di base cade a ottobre 2026.
In questo articolo mettiamo ordine: chi rientra nella NIS2, quali scadenze contano davvero, che cosa chiedono in concreto le misure di base, che cosa si rischia e da dove conviene partire. Con un’attenzione in più per chi, pur restando fuori dal perimetro, lavora per clienti che invece ci sono dentro.
Che cos’è la NIS2 e chi la fa rispettare in Italia
La NIS2 è la direttiva europea (UE) 2022/2555 sulla sicurezza delle reti e dei sistemi informativi. In Italia è stata recepita con il decreto legislativo 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024.
L’autorità competente è l’Agenzia per la cybersicurezza nazionale (ACN): gestisce l’elenco dei soggetti NIS, il portale di registrazione e, tramite il CSIRT Italia, la ricezione delle notifiche di incidente.
La differenza rispetto al passato è sostanziale. Non è un elenco di buone pratiche consigliate: sono obblighi di governo, di gestione del rischio e di notifica, con sanzioni e con responsabilità che ricadono anche sui vertici aziendali.
NIS2 e PMI: la tua azienda rientra nel perimetro?
Il criterio dimensionale
Il decreto si applica ai soggetti dei settori elencati che superano i limiti della piccola impresa, secondo i criteri europei richiamati dall’ACN. È piccola l’impresa con meno di 50 occupati e con fatturato o totale di bilancio annuo non superiore a 10 milioni di euro: chi supera questi limiti è almeno una media impresa.
In linea generale, quindi, la NIS2 riguarda le medie e grandi imprese dei settori interessati. L’ACN precisa che in alcuni casi possono rientrare anche piccole e microimprese.
Il settore
Le tipologie di soggetti sono elencate negli Allegati I e II del decreto. Nell’Allegato I ci sono i settori ad alta criticità, tra cui energia, trasporti, sanità, infrastrutture digitali e gestione dei servizi ICT per le imprese. L’Allegato II comprende altri settori critici, tra cui produzione, trasformazione e distribuzione di alimenti, gestione dei rifiuti, sostanze chimiche e alcuni comparti della manifattura.
Non tutta la manifattura è dentro: sono citati la fabbricazione di dispositivi medici, di computer ed elettronica, di apparecchiature elettriche, di macchinari e apparecchiature, di autoveicoli e di altri mezzi di trasporto. Per capire se la propria attività rientra conviene leggere con attenzione le tipologie elencate negli Allegati.
Soggetti essenziali e soggetti importanti
Chi rientra viene classificato come soggetto essenziale o importante. In linea generale sono essenziali le grandi imprese dei settori ad alta criticità; sono importanti le medie imprese di quegli stessi settori e le medie e grandi imprese degli altri settori critici.
Alcune categorie, come i fornitori di servizi fiduciari o di servizi DNS, sono incluse a prescindere dalla dimensione.
L’inserimento passa dalla registrazione sul portale ACN, che va rinnovata ogni anno tra il 1° gennaio e il 28 febbraio.
Scadenze NIS2: cosa succede a ottobre 2026
I termini non partono da una data uguale per tutti: dipendono dalla comunicazione con cui l’ACN ha inserito l’azienda nell’elenco dei soggetti NIS.
Se sei nell’elenco dal 2025
Le prime comunicazioni sono arrivate nella primavera 2025. Da quella data decorrono due termini: nove mesi per l’obbligo di notificare gli incidenti significativi, quindi da gennaio 2026, e diciotto mesi per adottare le misure di sicurezza di base, quindi per la gran parte delle aziende ottobre 2026.
Il giorno esatto dipende da quando è stata ricevuta la comunicazione e va calcolato caso per caso. Lo ricorda anche il Vademecum NIS dell’ACN, che indica ottobre come la prima scadenza per i soggetti inseriti nel 2025.
Se sei entrato nell’elenco nel 2026
Per chi è stato inserito per la prima volta nel 2026 i tempi, fissati dalla determinazione ACN 127434/2026, sono più lunghi: l’obbligo di notifica degli incidenti decorre dal 1° gennaio 2027 e le misure di base vanno adottate entro il 31 luglio 2027.
Dopo la scadenza non finisce nulla. Ogni anno le aziende comunicano all’ACN le proprie attività e i propri servizi, dal 1° maggio al 30 giugno, e su questa base l’Agenzia stabilisce obblighi di sicurezza proporzionati. Le misure di base sono il primo gradino, non il traguardo.
Misure di sicurezza di base NIS2: cosa chiedono davvero
Le misure sono definite dalla determinazione ACN 379907 del 19 dicembre 2025, che prevede misure di base distinte per i soggetti importanti e per quelli essenziali.
Tra gli ambiti previsti dal decreto ci sono questi, che in linguaggio operativo significano:
- Sapere che cosa si ha: inventario di dispositivi, server, applicazioni e servizi cloud (gestione degli asset)
- Controllare chi accede a cosa: controllo degli accessi e autenticazione a più fattori.
- Poter ripristinare: continuità operativa, backup e disaster recovery.
- Trovare le vulnerabilità prima degli attaccanti: gestione strutturata delle vulnerabilità.
- Saper rispondere agli incidenti: procedure e ruoli definiti in anticipo.
- Formare le persone: formazione dei dirigenti e dei dipendenti, non solo del reparto informatico.
Le misure non vanno solo adottate: vanno anche documentate, con politiche, piani e responsabilità assegnate. È ciò che permette di dimostrarne l’applicazione in caso di verifica.
La responsabilità è del vertice, non solo dell’IT
L’articolo 23 del decreto attribuisce agli organi di amministrazione e direttivi il compito di approvare le modalità di attuazione delle misure, di sovrintendere alla loro applicazione e di seguire una formazione specifica.
La delega operativa è ammessa, ma l’approvazione delle misure e la sorveglianza sulla loro applicazione restano in capo ai vertici e non è trasferibile. La cybersicurezza diventa così un tema da consiglio di amministrazione, non un compito da lasciare al solo referente informatico.
Incidenti informatici: 24 ore per la prima segnalazione
Per gli incidenti significativi la normativa prevede una pre-notifica al CSIRT Italia entro 24 ore da quando l’azienda ne è venuta a conoscenza, seguita da una notifica entro 72 ore con la valutazione iniziale.
L’obbligo riguarda il soggetto NIS, cioè l’azienda. Un fornitore IT può supportare la parte tecnica, ma il soggetto obbligato resta l’azienda.
NIS2 e fornitori: cosa cambia anche per chi resta fuori
Anche una PMI che non rientra nel perimetro può sentire gli effetti della NIS2 attraverso i propri clienti. Tra le misure c’è la sicurezza della catena di approvvigionamento: le aziende NIS sono tenute a considerare la sicurezza dei propri fornitori.
Dal 2026 c’è anche l’elenco dei fornitori rilevanti: nell’aggiornamento annuale le aziende NIS devono indicare all’ACN i fornitori considerati rilevanti per la loro operatività.
Per una PMI che lavora come fornitore di aziende soggette alla NIS2, questo significa che la propria sicurezza informatica può diventare un tema anche nei rapporti con i clienti.
Sanzioni NIS2: cosa si rischia
Per le violazioni più gravi, come il mancato rispetto degli obblighi degli organi di amministrazione, delle misure di sicurezza o della notifica degli incidenti, l’articolo 38 del decreto prevede sanzioni fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per i soggetti essenziali, e fino a 7 milioni di euro o all’1,4% per i soggetti importanti, applicando in entrambi i casi il valore più alto.
Sono massimali, non sanzioni automatiche, ma il decreto prevede anche responsabilità personali per gli organi di amministrazione e direttivi.
In linea generale, per i soggetti essenziali sono possibili verifiche preventive, mentre per gli importanti i controlli avvengono soprattutto dopo un incidente o una segnalazione.
Da dove iniziare: cinque passi concreti
- Verificare se si rientra e se si è già nell’elenco. Controllare dimensione e settore e ritrovare la comunicazione ACN: la sua data determina il termine.
- Fotografare l’infrastruttura. Inventario di asset, sistemi, servizi cloud, accessi e backup: è la base di ogni misura.
- Cercare lacune e vulnerabilità. Confrontare quanto è già in essere con le misure richieste (gap assessment) e individuare le vulnerabilità tecniche.
- Costruire un piano di remediation con priorità. Ogni misura ha un responsabile, una scadenza e una prova attesa.
- Coinvolgere il vertice e provare le procedure. Approvazioni formali, formazione, test di ripristino dei backup, simulazione della procedura di notifica.
In Alctech lavoriamo proprio così: partiamo dall’analisi dell’ambiente, con la mappatura degli asset e un vulnerability assessment basato sulla classificazione CVE, passiamo alla valutazione del rischio e dell’impatto sul business e arriviamo a un piano di remediation costruito sulle indicazioni dell’ACN. È il metodo alla base di InfinITy Data Protection e si appoggia alle soluzioni di cybersecurity di cui siamo partner Sophos Gold.
Per chi non ha risorse interne dedicate, un servizio IT gestito permette di tenere sotto controllo monitoraggio, aggiornamenti e backup in modo continuativo e documentato.
In sintesi
La NIS2 non riguarda solo i grandi gruppi. Per le PMI dei settori interessati significa registrarsi, adottare misure di sicurezza documentate, coinvolgere il vertice e saper notificare un incidente in 24 ore. Per le aziende inserite nell’elenco nel 2025, il termine per le misure di base cade a ottobre 2026. Chi resta fuori dal perimetro può comunque essere chiamato in causa dai clienti che ci sono dentro.
La buona notizia è che si parte da una cosa semplice: sapere a che punto si è. Vuoi capire a che punto è la tua azienda rispetto alla NIS2? Partiamo da un’analisi del tuo ambiente. Contattaci.
Domande frequenti
Rientra se opera in uno dei settori elencati negli Allegati I e II del decreto 138/2024 e supera i limiti della piccola impresa (meno di 50 occupati e fatturato o bilancio annuo non superiore a 10 milioni di euro). Alcune categorie rientrano a prescindere dalla dimensione. L’inserimento passa dalla registrazione sul portale ACN.
È il termine per adottare le misure di sicurezza di base, fissato in diciotto mesi dalla comunicazione di inserimento nell’elenco NIS per i soggetti inseriti nel 2025. Il giorno esatto dipende dalla data della comunicazione ricevuta. Per chi è entrato nell’elenco nel 2026 il termine è il 31 luglio 2027.
Per le violazioni più gravi sono previste sanzioni fino a 7 milioni di euro o all’1,4% del fatturato mondiale annuo per i soggetti importanti, e fino a 10 milioni o al 2% per gli essenziali. Il decreto prevede anche responsabilità personali per gli organi di amministrazione e direttivi.
In linea generale non ha un obbligo diretto, ma può essere coinvolta come fornitore di aziende NIS, che devono considerare la sicurezza della propria catena di fornitura e indicare all’ACN i fornitori rilevanti. Conviene farsi trovare pronti.
Della direzione. Gli organi di amministrazione e direttivi approvano le misure, ne sorvegliano l’attuazione e seguono una formazione specifica. L’operatività si può affidare a un fornitore, ma l’approvazione e la sorveglianza restano ai vertici.
Puoi affidare al fornitore molte attività operative: analisi dell’infrastruttura, vulnerability assessment, monitoraggio, backup, supporto tecnico in caso di incidente. La responsabilità e l’obbligo di notifica restano però in capo all’azienda. Scegliere un partner che documenta ogni attività aiuta a dimostrare l’applicazione delle misure.