La direttiva NIS2 non riguarda solo i grandi gruppi: tocca da vicino migliaia di PMI italiane. Chi rientra nel perimetro dovrà mettere in campo misure di cybersicurezza concrete, segnalare tempestivamente gli incidenti informatici e registrarsi presso l’Agenzia per la Cybersicurezza Nazionale (ACN). Le prime scadenze operative del 2026 sono già passate, e chi non si adegua rischia parecchio: le sanzioni possono arrivare fino al 2% del fatturato globale annuo.
Secondo l’Osservatorio Digital Innovation del Politecnico di Milano solo 11% delle PMI ha pratiche strutturate per gestire le vulnerabilità, e anche la cifratura dei dati fatica ancora a diffondersi. A complicare il quadro c’è il nodo delle competenze: circa un’azienda su tre non ha al proprio interno le risorse giuste per occuparsi di cybersecurity. E gli attacchi non aspettano: nella prima metà del 2025 l’Italia ne ha registrati molti di più, con un balzo del 53% rispetto allo stesso periodo del 2024. Il risultato? Una PMI italiana su quattro dice di aver subito almeno un attacco informatico negli ultimi tre anni (Confindustria, Progetto Cyber Index PMI 2025).
Il D.Lgs. 138/2024 ha recepito la direttiva NIS2 e allargato parecchio il raggio degli obblighi di cybersicurezza, ben oltre i confini della vecchia NIS del 2016. Come regola generale, la NIS2 riguarda le imprese con almeno 50 dipendenti oppure 10 milioni di euro di fatturato. Attenzione però: anche le PMI più piccole possono rientrarci, se lavorano come fornitori di soggetti essenziali o importanti. Per le imprese, comprendere gli obblighi NIS2 è oggi una priorità operativa. Questa guida riassume ambito, misure tecniche minime, scadenze 2026 gestite dall’Agenzia per la Cybersicurezza Nazionale (ACN) e sanzioni.
Cos'è la NIS2 e perché riguarda anche le PMI
La direttiva NIS2 porta con sé un quadro normativo europeo sulla cybersicurezza e mette nero su bianco le buone pratiche per far fronte a un numero di attacchi informatici sempre più alto. Ad oggi è una delle novità normative più importanti per la sicurezza informatica delle imprese europee. Estende il perimetro a 18 settori critici e include molte PMI prima escluse.
La direttiva NIS2 prende il posto della NIS del 2016 e alza l'asticella, chiedendo alle aziende regole più stringenti sul fronte cybersicurezza. In Italia è entrata in gioco con il Decreto Legislativo 4 settembre 2024, n. 138, valido dal 16 ottobre 2024. Il cambiamento più grosso? Il vero cambiamento sta nel campo di applicazione, che si allarga parecchio. Se fino a ieri i riflettori erano puntati soprattutto su energia, trasporti e sanità, oggi la normativa arriva a coprire 18 settori strategici: si va dall'alimentare al manifatturiero, si passa per i fornitori di servizi digitali, la gestione dei rifiuti, lo spazio, le infrastrutture postali, fino alla pubblica amministrazione. E non è una scelta casuale. Come sottolinea l'ENISA (l'Agenzia europea per la cybersicurezza), le PMI del continente finiscono sempre più spesso nel mirino di attacchi mirati: ecco perché la direttiva ha deciso di estendere il proprio raggio d'azione anche alle filiere critiche.
- Recepimento italiano: D.Lgs. 138/2024, in vigore dal 16 ottobre 2024.
- Perimetro esteso: 18 settori critici
- Soglia dimensionale: 50 o più dipendenti oppure 10 milioni di euro di fatturato, con eccezioni per operatori critici.
Il D.Lgs. 138/2024 estende il perimetro della cybersicurezza obbligatoria da 7 settori della NIS originaria a 18 settori critici, inclusi manifattura, alimentare e servizi digitali. Fonte: ACN, portale NIS.
Quali PMI rientrano nella NIS2
Rientrano nel perimetro della NIS2 le aziende che operano in uno dei 18 settori critici e che contano almeno 50 dipendenti oppure superano i 10 milioni di euro di fatturato.
Per capire chi è davvero coinvolto occorre incrociare due criteri: da un lato la dimensione dell'azienda (qui la direttiva si appoggia alla classificazione UE), dall'altro il settore in cui opera. Nel perimetro finiscono quindi le medie imprese, quelle con un numero di dipendenti che va da 50 a 249 e un fatturato fino a 50 milioni, e le grandi imprese, dai 250 dipendenti in su e oltre i 50 milioni, a patto che rientrino in uno dei 18 settori critici. Le micro e le piccole imprese sotto queste soglie, invece, restano fuori. Con qualche eccezione, però: ci sono organizzazioni che devono adeguarsi alla direttiva a prescindere dalla loro dimensione. È il caso, per esempio, dei fornitori di reti pubbliche di comunicazione elettronica, dei servizi fiduciari, dei registri dei domini di primo livello (TLD), dei servizi DNS e di tutte quelle entità considerate critiche ai sensi della Direttiva CER.
La novità più rilevante riguarda la supply chain security: le aziende soggette a NIS2 devono verificare anche la postura di sicurezza dei propri fornitori. In concreto, una PMI che si occupa di servizi IT, logistica, consulenza o componentistica potrebbe ritrovarsi a compilare questionari, sostenere audit o dimostrare di aver adottato misure di cybersecurity adeguate, semplicemente per continuare a lavorare con clienti che ricadono sotto la direttiva. La normativa, infatti, chiede ai soggetti essenziali e importanti di garantire non soltanto la propria sicurezza informatica, ma anche quella dei fornitori diretti lungo tutta la catena di approvvigionamento. Il risultato è facile da immaginare: la cybersecurity diventerà sempre di più un requisito dato per scontato nelle trattative commerciali e nei contratti.
Soggetti essenziali vs soggetti importanti
La NIS2 distingue i soggetti coinvolti in due categorie, essenziali e importanti, dalle quali dipendono livello di supervisione e regime sanzionatorio.
Le entità essenziali operano negli 11 settori a più alta criticità, mentre le entità importanti appartengono ad altri 7 settori critici. La classificazione tiene conto di due elementi: da un lato quanto è critico il settore, dall'altro le soglie dimensionali specifiche dell'organizzazione.
Tra i soggetti essenziali troviamo i settori ad alta criticità: energia, trasporti, banche e infrastrutture finanziarie, sanità, acqua, infrastrutture digitali, servizi ICT, pubblica amministrazione e tecnologie spaziali. I soggetti importanti, invece, raccolgono comparti come i servizi postali, la gestione dei rifiuti, la chimica, l'agroalimentare, il manifatturiero, i fornitori digitali e le organizzazioni di ricerca.
NIS2 PMI obblighi: il framework richiesto
Gli obblighi NIS2 per le PMI includono l’adozione di misure tecniche di cybersicurezza, la notifica degli incidenti entro 24 e 72 ore, la formazione del personale, la gestione della sicurezza della supply chain e la responsabilità diretta del management aziendale.
L’articolo 24 del D.Lgs. 138/2024 definisce le misure minime tecniche, operative e organizzative basate su un approccio di gestione del rischio, che richiede interventi proporzionati alla dimensione e al servizio erogato. Per una PMI rientrante tra i soggetti importanti, ciò si traduce in cinque macro-aree che devono essere documentate e dimostrabili in caso di controllo da parte dell’ACN.
- Governance del rischio: politica di sicurezza, analisi rischi documentata, ruoli per iscritto.
- Misure tecniche minime: controllo accessi, autenticazione multifattore, cifratura, segmentazione rete, gestione vulnerabilità.
- Notifica incidenti: procedura interna per segnalare all'ACN gli incidenti significativi entro i termini di legge.
- Continuità operativa: backup, ripristino, gestione crisi, disaster recovery testato periodicamente.
- Supply chain e personale: valutazione fornitori, clausole contrattuali, formazione dei dipendenti.
Misure tecniche minime di cybersicurezza
L'articolo 24 elenca le misure obbligatorie: analisi dei rischi, gestione incidenti, continuità operativa, sicurezza della supply chain e dello sviluppo dei sistemi, valutazione dell'efficacia. Si aggiungono crittografia, sicurezza delle risorse umane, controllo accessi, autenticazione multifattore, igiene di base e formazione.
Notifica incidenti: 24 ore, 72 ore, 1 mese
La NIS2 articola la notifica in tre tempi. Entro 24 ore dalla scoperta di un incidente significativo l'azienda invia all'ACN un preallarme. Entro 72 ore segue la notifica strutturata con prima valutazione dell'impatto. Entro un mese va presentata la relazione finale con cause e misure correttive. Le PMI devono quindi dotarsi di procedure interne in grado di garantire il rispetto delle tempistiche anche fuori orario lavorativo.
Il punto più sensibile non sono le misure tecniche, ma la responsabilità diretta dell'organo di vertice (art. 23 D.Lgs. 138/2024). Amministratori e direzione rispondono personalmente del mancato rispetto degli obblighi e possono essere chiamati al risarcimento dei danni a terzi.
Scadenze 2026 e registrazione all'ACN
Le PMI in ambito NIS2 si registrano sul portale ACN entro le scadenze fissate dall'Agenzia. Il 2026 è l'anno chiave per l'aggiornamento dei dati e per l'attuazione effettiva delle misure tecniche.
Il calendario operativo è gestito dall'ACN tramite un portale dedicato. La prima finestra si è chiusa il 28 febbraio 2025 per i soggetti già identificati. Nel 2026 sono attive le finestre di aggiornamento periodico e i termini di attuazione effettiva delle misure. Entro ottobre 2026, le imprese soggette alla NIS2 dovranno completare l’implementazione delle misure minime di sicurezza previste dalla normativa. Le aziende che si auto-identificano in corso d'anno (cambio settore, soglia raggiunta o ingresso in supply chain) devono registrarsi tempestivamente.
Come si registra l'azienda sul portale ACN
La registrazione richiede tre elementi: punto di contatto NIS2 (deve essere un dipendente delegato dal rappresentante legale), firma digitale del legale rappresentante e dati anagrafici, settoriali e tecnici. La procedura è gratuita sul sito istituzionale. Le PMI fornitrici che rientrano per criteri oggettivi devono auto-segnalarsi anche senza comunicazione diretta. Per finanziare l'adeguamento esistono i voucher per cybersecurity e cloud delle PMI.
Sanzioni NIS2 PMI obblighi: cosa rischia chi non si adegua
Le sanzioni previste dalla NIS2 non sono certo uno scherzo: per i soggetti essenziali si può arrivare fino a 10 milioni di euro, oppure al 2% del fatturato annuo mondiale; per i soggetti importanti il tetto è un po' più basso, ma resta pesante, con un massimo di 7 milioni o dell'1,4%.
L'articolo 38 del D.Lgs. 138/2024 prevede sanzioni amministrative calibrate sulla categoria. Le PMI rientrano quasi sempre nei soggetti importanti: tetti più bassi degli essenziali, ma consistenti. Si applicano in caso di mancata registrazione, mancata adozione delle misure minime, tardiva notifica degli incidenti e ostacolo alle attività ispettive. Nei casi gravi si aggiungono sanzioni accessorie.
- Soggetti essenziali: fino a 10 milioni di euro o 2% del fatturato annuo mondiale.
- Soggetti importanti (cluster tipico delle PMI in ambito): fino a 7 milioni o 1,4% del fatturato.
- Responsabilità amministratori: formazione obbligatoria e possibile risarcimento personale dei danni a terzi (art. 23).
- Sanzioni accessorie: si va dalla sospensione di autorizzazioni e certificazioni fino al divieto temporaneo, per i dirigenti, di ricoprire ruoli di responsabilità.
L'articolo 38 del D.Lgs. 138/2024 fissa per i soggetti importanti un tetto sanzionatorio fino a 7 milioni di euro o l'1,4% del fatturato annuo mondiale (Fonte: ACN, recepimento NIS2)
La tua PMI dispone di un adeguato livello di cybersecurity?
Spunta le voci che corrispondono alla tua situazione attuale.
Adempimenti NIS2 per le PMI: cinque passaggi chiave per imprese con 10–50 dipendenti
Per adeguarsi alla NIS2, una PMI 10-50 segue cinque passi: verifica dell'ambito, gap assessment, governance interna, misure tecniche minime e piano di notifica degli incidenti con clausole supply chain.
- Verifica dell'ambito: confronta dipendenti, fatturato e settore, elencati negli Allegati I e II del D. Lgs. 138/2024. Se l'azienda rientra, identifica un punto di contatto NIS2 e procedi alla registrazione sul portale ACN.
- Gap assessment iniziale: mappa le misure di sicurezza già in essere e confrontale con i requisiti dell'articolo 24. Documenta i gap, prioritizza per rischio, definisce un piano con scadenze realistiche.
- Governance e responsabilità: assegna formalmente i ruoli (responsabile sicurezza, contatto ACN, referente notifica incidenti), forma l'organo di vertice sugli obblighi dell'articolo 23.
- Misure tecniche minime: La NIS2 richiede un approccio strutturato alla cybersicurezza che include la protezione di reti e sistemi (firewall, segmentazione, endpoint e cloud), la gestione tempestiva delle vulnerabilità tramite patch e aggiornamenti, la sicurezza dei dati (crittografia, backup e controllo degli accessi), il controllo rigoroso delle identità secondo il principio del minimo privilegio con autenticazione multifattore, e l’integrazione della sicurezza nei prodotti, nei processi e nella supply chain.
- Notifica incidenti: definisci la procedura per le scadenze 24h/72h/30 giorni, predisponi clausole NIS2 per i fornitori critici e organizza la formazione annuale.
La NIS2 spinge le PMI a rafforzare sicurezza, governance e controllo della supply chain, migliorando la resilienza di tutta la filiera. Non serve adeguarsi subito a tutto, ma avviare un percorso concreto e continuo. Questo permette di ridurre incidenti, aumentare fiducia e competitività. Per una PMI la conformità NIS2 è una leva competitiva: saranno sempre più frequenti le clausole contrattuali che richiedono benchmark di sicurezza dimostrabili. Anticipare l'adeguamento protegge i contratti in essere e apre l'accesso a gare in cui la NIS2 è prerequisito.
Domande frequenti su NIS2 e PMI
Sono soggette alla NIS2 le PMI con almeno 50 dipendenti o 10 milioni di euro di fatturato che operano in uno dei 18 settori previsti dagli Allegati I e II del D.Lgs. 138/2024. Le aziende sotto soglia sono generalmente escluse, salvo casi specifici legati a servizi o forniture critiche. Tuttavia, anche le PMI non obbligate possono essere coinvolte indirettamente come fornitori di soggetti essenziali, attraverso requisiti di sicurezza imposti dalla supply chain.
Gli obblighi base sono cinque: governance del rischio documentata, misure tecniche minime (autenticazione multifattore, controllo accessi, backup, gestione vulnerabilità), notifica degli incidenti all'ACN entro 24 ore, 72 ore e 30 giorni, continuità operativa testata e sicurezza della supply chain. La formazione del personale e dell'organo di vertice è parte integrante.
La prima finestra si è chiusa il 28 febbraio 2025 per i soggetti già identificati. Nel 2026 sono attive le finestre di aggiornamento e i termini di attuazione delle misure. Le aziende che si auto-identificano in corso d'anno devono registrarsi tempestivamente sul portale ACN.
Formalmente, la NIS2 si applica alle aziende che superano le soglie dimensionali e operano nei settori critici. In pratica, però, i soggetti essenziali devono valutare la sicurezza della propria supply chain e trasferiscono requisiti ai fornitori tramite clausole contrattuali, audit e certificazioni. Una PMI non adeguata può quindi rischiare l’esclusione da gare, commesse o rapporti commerciali strategici.
