Alessandro FerrariTL;DR — La Direttiva NIS2 (D.Lgs. 138/2024) è operativa in Italia dal 18 ottobre 2024 e obbliga migliaia di PMI a rafforzare la propria cybersicurezza con misure concrete: gestione del rischio, notifica degli incidenti entro 24 ore, autenticazione multifattore e piani di continuità operativa. Le sanzioni per chi non si adegua raggiungono i 10 milioni di euro per le entità essenziali e i 7 milioni per quelle importanti. Questo articolo spiega chi è soggetto, cosa fare e come strutturare il percorso di conformità in tre fasi pratiche.
Cos'è la Direttiva NIS2 e cosa cambia in Italia
La Direttiva NIS2 (Direttiva UE 2022/2555 del 14 dicembre 2022) rappresenta l'evoluzione della precedente NIS1 e stabilisce un quadro comune di cybersicurezza per l'Unione Europea. In Italia è stata recepita con il Decreto Legislativo 138/2024, entrato in vigore il 18 ottobre 2024. L'Agenzia per la Cybersicurezza Nazionale (ACN) è l'autorità competente per la vigilanza e l'applicazione della normativa.
Rispetto alla NIS1, la nuova direttiva amplia significativamente il campo di applicazione: dai 7 settori originari si passa a 18 settori, includendo manifatturiero, agroalimentare, gestione dei rifiuti, servizi postali e provider digitali. Aumentano anche i requisiti minimi di sicurezza e le responsabilità in capo al management aziendale.
"L'obiettivo della NIS2 non è creare adempimenti burocratici, ma costruire una resilienza informatica sistemica per ridurre l'impatto degli attacchi alle infrastrutture critiche europee." — Linee guida operative ACN, novembre 2024
La distinzione centrale introdotta dalla NIS2 è quella tra entità essenziali (settori ad alto rischio come energia, sanità, trasporti e infrastrutture digitali) e entità importanti (settori a rischio medio come manifattura, agroalimentare, servizi postali). Questa classificazione determina il livello di obblighi e l'entità delle sanzioni applicabili.
Chi è soggetto alla NIS2: PMI e catene di fornitura
Non tutte le PMI sono direttamente soggette alla NIS2, ma il perimetro è più ampio di quanto molti imprenditori si aspettino. La classificazione avviene su due criteri principali: il settore di attività e le dimensioni aziendali.
Dimensioni e soglie di applicazione
Le medie imprese (50-249 dipendenti oppure fatturato tra 10 e 50 milioni di euro) nei settori NIS2 rientrano tra le entità importanti. Le grandi imprese (250+ dipendenti o fatturato superiore a 50 milioni di euro) nei settori ad alto rischio sono classificate entità essenziali. Le microimprese (meno di 10 dipendenti) sono generalmente escluse, salvo eccezioni per settori specifici come le infrastrutture digitali critiche.
L'effetto catena di fornitura per le PMI più piccole
Anche le PMI al di sotto delle soglie dimensionali possono essere coinvolte indirettamente. Se la tua azienda fornisce servizi o prodotti a un'entità essenziale o importante, quest'ultima è tenuta a verificare la sicurezza dei propri fornitori. In pratica, molte PMI si trovano a dover soddisfare requisiti NIS2 per contratto, perché i loro clienti di grandi dimensioni li inseriscono nei capitolati.
Secondo il rapporto ENISA Threat Landscape 2024, gli attacchi alla supply chain digitale rappresentano una delle minacce in più rapida crescita in Europa, con le PMI come principale punto di ingresso. In Italia il quadro non è diverso: centinaia di incidenti gravi documentati nel 2026 hanno coinvolto fornitori di medie dimensioni come vettori di accesso verso clienti di grande scala. La supply chain è il punto di attacco preferito dai cybercriminali proprio perché le PMI rappresentano l'anello più vulnerabile della catena.
Gli obblighi tecnici e organizzativi imposti dalla NIS2
La NIS2 non si limita a chiedere generiche "buone pratiche" di sicurezza: definisce obblighi precisi che ogni entità soggetta deve implementare. Il punto di riferimento tecnico in Italia è il Framework Nazionale per la Cybersecurity e la Data Protection sviluppato dal CINI (Consorzio Interuniversitario Nazionale per l'Informatica), che traduce i requisiti NIS2 in misure operative concrete.
Le misure minime obbligatorie
Gli obblighi tecnici e organizzativi principali previsti dalla NIS2 includono:
- Analisi e gestione del rischio (risk assessment periodico)
- Politiche di sicurezza delle informazioni documentate e aggiornate
- Autenticazione multifattore (MFA) per tutti gli accessi critici
- Crittografia dei dati sensibili in transito e a riposo
- Backup regolari con test di ripristino documentati
- Gestione delle vulnerabilità e patching sistematico
- Piano di risposta agli incidenti e di continuità operativa (BCP)
- Sicurezza della catena di fornitura con valutazione dei fornitori ICT
Il responsabile della cybersicurezza deve essere identificato formalmente. Per le PMI senza un Chief Information Security Officer (CISO) interno, questa figura può essere esternalizzata a un Managed Security Service Provider (MSSP).
Sanzioni e poteri di vigilanza dell'ACN
L'Agenzia per la Cybersicurezza Nazionale (ACN) dispone di poteri di vigilanza, ispezione e sanzione nei confronti di tutte le entità soggette alla NIS2. Le verifiche possono avvenire sia su richiesta che d'ufficio, ad esempio a seguito di un incidente significativo.
Le sanzioni pecuniarie variano in base alla classificazione dell'entità:
- Entità essenziali: fino a 10 milioni di euro o 2% del fatturato mondiale annuo (il valore più alto tra i due)
- Entità importanti: fino a 7 milioni di euro o 1,4% del fatturato mondiale annuo
Oltre alle sanzioni pecuniarie, l'ACN può disporre misure cautelari come la sospensione temporanea di certificazioni o autorizzazioni necessarie all'esercizio dell'attività.
Scenario concreto: Giuliana B., titolare di una PMI manifatturiera con 70 dipendenti a Bologna, produce componenti per un grande gruppo automotive classificato come entità essenziale. Nel 2025 non ha adottato un piano di risposta agli incidenti. A marzo 2026, un ransomware blocca i suoi sistemi per 5 giorni: il cliente principale attiva una clausola contrattuale NIS2 e sospende il contratto. Il danno economico supera i 200.000 euro, senza contare la perdita di reputazione. L'ACN apre una verifica formale. Un risk assessment condotto sei mesi prima avrebbe identificato la vulnerabilità e consentito di adottare misure preventive con un investimento stimato tra i 15.000 e i 25.000 euro.
Da ricordare: la responsabilità per la mancata conformità ricade direttamente sul management aziendale. L'articolo 20 della NIS2 prevede che i dirigenti possano essere ritenuti personalmente responsabili in caso di grave inadempienza.
Come mettersi in regola: il percorso in tre fasi
La conformità alla NIS2 non si ottiene con un'azione singola, ma con un percorso strutturato che le PMI possono affrontare gradualmente. Il Framework Nazionale per la Cybersecurity (CINI/ACN) suggerisce un approccio in tre fasi successive.
Fase 1 — Valutazione e gap analysis (1-2 mesi)
Il primo passo è capire lo stato attuale della propria sicurezza informatica e identificare le lacune rispetto ai requisiti NIS2.
- Verifica se rientri nel perimetro NIS2 — settore, dimensioni, catena di fornitura
- Conduci un risk assessment — inventaria sistemi, dati e processi critici
- Analizza le vulnerabilità esistenti — con un vulnerability assessment o un audit esterno
- Misura il gap — confronta la situazione attuale con le misure minime obbligatorie
- Stima i costi di adeguamento — per pianificare il budget e le priorità
Per le PMI senza competenze interne, questa fase si affida tipicamente a consulenti specializzati o al proprio MSSP.
Fase 2 — Implementazione delle misure (3-6 mesi)
Con il gap analysis in mano, si procede all'implementazione:
- Adozione dell'autenticazione multifattore su tutti i sistemi critici
- Implementazione di backup automatici e test di ripristino mensili
- Redazione delle politiche di sicurezza e formazione del personale
- Aggiornamento dei contratti con i fornitori ICT (clausole di sicurezza NIS2)
- Attivazione di un sistema di monitoraggio e rilevamento degli incidenti
Fase 3 — Monitoraggio e miglioramento continuo (ongoing)
La conformità NIS2 non è un traguardo definitivo, ma un processo continuo. Prevede revisioni periodiche del risk assessment (almeno annuale), test di penetrazione, aggiornamento dei piani di risposta e formazione ricorrente del personale.
Per dotarsi degli strumenti giusti fin dall'inizio, è utile conoscere i servizi informatici essenziali per le PMI che coprono la maggior parte dei requisiti tecnici NIS2.
Risorse e supporto disponibili per le PMI italiane
Affrontare la conformità NIS2 non significa farlo da soli. L'ecosistema italiano offre diverse risorse di supporto.
ACN — Sportello PMI: L'Agenzia per la Cybersicurezza Nazionale mette a disposizione linee guida operative, strumenti di autovalutazione e materiali formativi scaricabili gratuitamente dal portale acn.gov.it. Il portale include anche il sistema di registrazione obbligatoria per le entità soggette, che deve essere completata entro i termini stabiliti per settore.
MSSP e consulenti certificati: Le PMI senza un team IT dedicato possono affidarsi a un Managed Security Service Provider (MSSP) certificato. Questa soluzione converte un costo fisso di personale in un abbonamento variabile, spesso più sostenibile per le aziende di medie dimensioni. La domanda di servizi MSSP in Italia è in forte crescita, trainata direttamente dall'entrata in vigore della NIS2 e dalla crescente consapevolezza del rischio informatico tra le PMI.
Incentivi e finanziamenti: Il Piano Transizione 5.0 e i bandi del PNRR includono linee di finanziamento per la digitalizzazione sicura delle PMI. Alcune Regioni hanno attivato bandi specifici per la cybersicurezza. Verificare le opportunità disponibili presso la Camera di Commercio locale o Invitalia è un passaggio spesso trascurato ma potenzialmente rilevante.
Formazione del personale: Il fattore umano rimane la principale causa di incidenti informatici nelle PMI. Programmi di formazione sulla sicurezza informatica di base, phishing awareness e gestione delle password devono essere previsti almeno una volta l'anno per tutto il personale, incluso il management.
Il panorama delle minacce evolve rapidamente: sviluppi come il quantum computing cambieranno ulteriormente le esigenze di sicurezza aziendale nei prossimi anni, rendendo la formazione continua un investimento strategico e non solo un obbligo normativo.
Domande frequenti sulla NIS2 per le PMI
La mia PMI ha 45 dipendenti e opera nel settore manifatturiero: sono soggetto alla NIS2?
Dipende dal fatturato e dai clienti. Se il tuo fatturato annuo supera i 10 milioni di euro, probabilmente sei classificato come entità importante nel settore manifatturiero. Anche se sei al di sotto delle soglie, se fornisci componenti o servizi a grandi aziende soggette alla NIS2, potresti ricevere richieste contrattuali di conformità. Il primo passo è contattare l'ACN o un consulente per una verifica del perimetro.
Qual è la scadenza definitiva per la conformità NIS2 in Italia?
Il D.Lgs. 138/2024 è entrato in vigore il 18 ottobre 2024. Le scadenze per la registrazione nel portale ACN variano per settore. I requisiti di sicurezza tecnica e organizzativa sono immediatamente applicabili per le entità già identificate. La vigilanza attiva dell'ACN è operativa dal 2025, con le prime verifiche formali previste nel corso del 2026.
Posso gestire la conformità NIS2 internamente senza consulenti esterni?
Sì, se disponi di un responsabile IT competente e del tempo necessario. L'ACN fornisce strumenti di autovalutazione gratuiti. Tuttavia, per le PMI senza personale dedicato alla cybersicurezza, il supporto esterno è spesso più efficiente sia in termini di costi sia di qualità del risultato. Un audit iniziale da parte di un consulente certificato ISO/IEC 27001 costa generalmente tra i 3.000 e i 10.000 euro, in funzione della dimensione aziendale.
Cosa succede se subisco un attacco informatico prima di essermi adeguato?
Un incidente significativo deve essere notificato all'ACN entro 24 ore dall'identificazione, indipendentemente dal livello di conformità raggiunto. L'obbligo di notifica si applica subito. La mancata notifica è sanzionabile autonomamente. In caso di incidente durante un'ispezione ACN, la mancanza di misure di sicurezza adeguate può aggravare le sanzioni applicabili.
La NIS2 si sovrappone al GDPR? Devo adeguarmi a entrambi?
Sì, i due regolamenti coesistono e si integrano. Il GDPR riguarda la protezione dei dati personali; la NIS2 si concentra sulla resilienza delle reti e dei sistemi informativi. Molte misure tecniche (crittografia, gestione degli accessi, incident response) sono richieste da entrambi, quindi una conformità integrata è la strategia più efficiente. La nomina di un Data Protection Officer (DPO) ai sensi del GDPR non sostituisce le obbligazioni NIS2, ma le due figure possono collaborare strettamente.
Avvertimento: Le informazioni presenti su questa pagina sono fornite a titolo informativo e non costituiscono consulenza legale o tecnica. Per una valutazione della conformità NIS2 specifica alla tua azienda, rivolgiti a un consulente specializzato in cybersicurezza o a un legale esperto in diritto digitale.
