La direttiva NIS2 non riguarda solo i grandi gruppi: tocca da vicino migliaia di PMI italiane. Chi rientra nel perimetro deve adottare misure di cybersicurezza concrete, notificare gli incidenti informatici significativi e registrarsi presso l’Agenzia per la Cybersicurezza Nazionale (ACN). Per le aziende inserite nell’elenco NIS nel 2025, la notifica degli incidenti è obbligatoria da gennaio 2026 e le misure di sicurezza di base vanno adottate, nella maggior parte dei casi, entro ottobre 2026. Chi non si adegua rischia sanzioni fino al 2% del fatturato annuo mondiale.
Secondo l’Osservatorio Digital Innovation del Politecnico di Milano solo 11% delle PMI ha pratiche strutturate per gestire le vulnerabilità, e anche la cifratura dei dati fatica ancora a diffondersi. A complicare il quadro c’è il nodo delle competenze: circa un’azienda su tre non ha al proprio interno le risorse giuste per occuparsi di cybersecurity. E gli attacchi non aspettano: nel 2025 l’Italia ha registrato 507 incidenti informatici gravi, il 42% in più rispetto al 2024, pari al 9,6% del totale mondiale (Rapporto Clusit 2026). Il 24% delle PMI italiane, quasi una su quattro, dichiara di aver subito almeno un attacco negli ultimi tre anni (Confindustria e Generali, Cyber Index PMI 2025).
Il D.Lgs. 138/2024 ha recepito la direttiva NIS2 e ha allargato molto il raggio degli obblighi di cybersicurezza rispetto alla vecchia NIS del 2016. Come regola generale, la NIS2 riguarda le medie e grandi imprese che operano in uno dei settori previsti dal decreto: aziende con almeno 50 dipendenti oppure con fatturato e totale di bilancio annui entrambi superiori a 10 milioni di euro.. Anche le PMI sotto soglia, però, possono esserne coinvolte in modo indiretto: se forniscono servizi a un’azienda soggetta alla NIS2, il cliente può chiedere loro requisiti di sicurezza nei contratti. Ambito di applicazione, misure minime, scadenze dell’Agenzia per la Cybersicurezza Nazionale (ACN) e sanzioni: sono questi gli aspetti da conoscere per capire se e come la NIS2 riguarda la propria azienda.
Cos'è la NIS2 e perché riguarda anche le PMI
La direttiva NIS2 porta con sé un quadro normativo europeo sulla cybersicurezza e mette nero su bianco le buone pratiche per far fronte a un numero di attacchi informatici sempre più alto. Ad oggi è una delle novità normative più importanti per la sicurezza informatica delle imprese europee. Estende il perimetro a 18 settori critici e include molte PMI prima escluse.
La direttiva NIS2 prende il posto della NIS del 2016 e alza l'asticella, chiedendo alle aziende regole più stringenti sul fronte cybersicurezza. In Italia è entrata in gioco con il Decreto Legislativo 4 settembre 2024, n. 138, valido dal 16 ottobre 2024. Il cambiamento più grosso? Il vero cambiamento sta nel campo di applicazione, che si allarga parecchio. Se fino a ieri i riflettori erano puntati soprattutto su energia, trasporti e sanità, oggi la normativa arriva a coprire 18 settori strategici: si va dall'alimentare al manifatturiero, si passa per i fornitori di servizi digitali, la gestione dei rifiuti, lo spazio, le infrastrutture postali, fino alla pubblica amministrazione. E non è una scelta casuale. Come sottolinea l'ENISA (l'Agenzia europea per la cybersicurezza), le PMI del continente finiscono sempre più spesso nel mirino di attacchi mirati: ecco perché la direttiva ha deciso di estendere il proprio raggio d'azione anche alle filiere critiche.
- Recepimento italiano: D.Lgs. 138/2024, in vigore dal 16 ottobre 2024.
- Perimetro esteso: 18 settori critici
- Soglia dimensionale: almeno 50 dipendenti oppure fatturato e totale di bilancio annui entrambi superiori a 10 milioni di euro, con eccezioni per alcuni operatori che rientrano a prescindere dalle dimensioni.
Il D.Lgs. 138/2024 estende il perimetro della cybersicurezza obbligatoria da 7 settori della NIS originaria a 18 settori critici, inclusi manifattura, alimentare e servizi digitali. Fonte: ACN, portale NIS.
Quali PMI rientrano nella NIS2
Rientrano nel perimetro della NIS2 le medie e grandi imprese che operano in uno dei 18 settori critici: aziende con almeno 50 dipendenti oppure con fatturato e totale di bilancio annui entrambi superiori a 10 milioni di euro.
Per capire chi è davvero coinvolto occorre incrociare due criteri: da un lato la dimensione dell'azienda (qui la direttiva si appoggia alla classificazione UE), dall'altro il settore in cui opera. Nel perimetro finiscono quindi le medie imprese, quelle con un numero di dipendenti che va da 50 a 249 e un fatturato fino a 50 milioni, e le grandi imprese, dai 250 dipendenti in su e oltre i 50 milioni, a patto che rientrino in uno dei 18 settori critici. Le micro e le piccole imprese sotto queste soglie, invece, restano fuori. Con qualche eccezione, però: ci sono organizzazioni che devono adeguarsi alla direttiva a prescindere dalla loro dimensione. È il caso, per esempio, dei fornitori di reti pubbliche di comunicazione elettronica, dei servizi fiduciari, dei registri dei domini di primo livello (TLD), dei servizi DNS e di tutte quelle entità considerate critiche ai sensi della Direttiva CER.
La novità più rilevante per le PMI riguarda la sicurezza della catena di fornitura. Le aziende soggette alla NIS2 devono valutare il rischio legato ai propri fornitori, definire requisiti di sicurezza, inserirli nei contratti e verificarli nel tempo. Le indicazioni dell'ACN chiedono un approccio proporzionato: i requisiti vanno applicati solo alle forniture che incidono davvero sulla sicurezza, con un'intensità adeguata al rischio. Per esempio, conta se il fornitore accede a sistemi e dati e quanto pesa un'interruzione del suo servizio.
Dal 2026, inoltre, i soggetti NIS2 devono comunicare ogni anno all'ACN l'elenco dei propri fornitori rilevanti, cioè le forniture ICT e quelle difficilmente sostituibili, la cui interruzione bloccherebbe i servizi. In pratica, una PMI che si occupa di servizi IT, logistica, consulenza o componentistica può ricevere questionari di sicurezza, clausole contrattuali sulla notifica degli incidenti o richieste di audit, anche se non rientra direttamente nella direttiva. La cybersecurity diventa così un requisito sempre più presente nelle trattative commerciali.
Soggetti essenziali vs soggetti importanti
La NIS2 distingue i soggetti coinvolti in due categorie, essenziali e importanti, dalle quali dipendono livello di supervisione e regime sanzionatorio.
Le entità essenziali operano negli 11 settori a più alta criticità, mentre le entità importanti appartengono ad altri 7 settori critici. La classificazione tiene conto di due elementi: da un lato quanto è critico il settore, dall'altro le soglie dimensionali specifiche dell'organizzazione.
Tra i soggetti essenziali troviamo i settori ad alta criticità: energia, trasporti, banche e infrastrutture finanziarie, sanità, acqua, infrastrutture digitali, servizi ICT, pubblica amministrazione e tecnologie spaziali. I soggetti importanti, invece, raccolgono comparti come i servizi postali, la gestione dei rifiuti, la chimica, l'agroalimentare, il manifatturiero, i fornitori digitali e le organizzazioni di ricerca.
NIS2 PMI obblighi: il framework richiesto
Gli obblighi NIS2 per le PMI includono l’adozione di misure tecniche di cybersicurezza, la notifica degli incidenti entro 24 e 72 ore, la formazione del personale, la gestione della sicurezza della supply chain e la responsabilità diretta del management aziendale.
L’articolo 24 del D.Lgs. 138/2024 definisce le misure minime tecniche, operative e organizzative basate su un approccio di gestione del rischio, che richiede interventi proporzionati alla dimensione e al servizio erogato. Per una PMI rientrante tra i soggetti importanti, ciò si traduce in cinque macro-aree che devono essere documentate e dimostrabili in caso di controllo da parte dell’ACN.
- Governance del rischio: politica di sicurezza, analisi rischi documentata, ruoli per iscritto.
- Misure tecniche minime: controllo accessi, autenticazione multifattore, cifratura, segmentazione rete, gestione vulnerabilità.
- Notifica incidenti: procedura interna per segnalare all'ACN gli incidenti significativi entro i termini di legge.
- Continuità operativa: backup, ripristino, gestione crisi, disaster recovery testato periodicamente.
- Supply chain e personale: valutazione fornitori, clausole contrattuali, formazione dei dipendenti.
Misure tecniche minime di cybersicurezza
L'articolo 24 elenca le misure obbligatorie: analisi dei rischi, gestione incidenti, continuità operativa, sicurezza della supply chain e dello sviluppo dei sistemi, valutazione dell'efficacia. Si aggiungono crittografia, sicurezza delle risorse umane, controllo accessi, autenticazione multifattore, igiene di base e formazione.
Notifica incidenti: 24 ore, 72 ore, 1 mese
La NIS2 prevede una notifica in tre fasi: un preallarme all’ACN nelle prime 24 ore dalla scoperta di un incidente significativo, la notifica completa con una prima valutazione dell’impatto a 72 ore e, a un mese dalla notifica, la relazione finale su cause e misure correttive. Le PMI devono quindi dotarsi di procedure interne in grado di garantire il rispetto delle tempistiche anche fuori orario lavorativo.
Il punto più sensibile non sono le misure tecniche, ma la responsabilità diretta dell'organo di vertice. Secondo l'art. 23 del D.Lgs. 138/2024, gli organi di amministrazione e direttivi approvano le misure di sicurezza, ne sovrintendono l'attuazione e sono responsabili delle violazioni del decreto. Se l'azienda non rispetta una diffida dell'ACN, ai dirigenti può essere applicata l'incapacità temporanea a svolgere funzioni dirigenziali.
Scadenze 2026 e registrazione all'ACN
Le scadenze NIS2 dipendono dall'anno in cui l'azienda è stata inserita nell'elenco dei soggetti NIS. Per chi è entrato nel 2025, la notifica degli incidenti è obbligatoria da gennaio 2026 e le misure di sicurezza di base vanno adottate entro 18 mesi dalla comunicazione ricevuta dall'ACN, quindi per la maggior parte delle aziende entro ottobre 2026.
Con le determinazioni del 13 aprile 2026, l'ACN ha fissato termini distinti per chi è stato inserito nell'elenco per la prima volta nel 2026. Ogni azienda deve quindi calcolare le proprie scadenze sulla data della comunicazione ricevuta.
| Adempimento | Soggetti inseriti nel 2025 | Soggetti inseriti nel 2026 |
|---|---|---|
| Notifica degli incidenti significativi | Obbligatoria da gennaio 2026 | Obbligatoria dal 1° gennaio 2027 |
| Misure di sicurezza di base | Entro 18 mesi dalla comunicazione ACN (in genere ottobre 2026) | Entro il 31 luglio 2027 |
| Designazione del referente CSIRT | Già prevista | Entro il 31 dicembre 2026 |
Oltre a queste scadenze, la NIS2 prevede un calendario che si ripete ogni anno sulla piattaforma ACN:
- 1° gennaio – 28 febbraio: registrazione o rinnovo della registrazione.
- 15 aprile – 31 maggio: aggiornamento annuale delle informazioni, incluso l'elenco dei fornitori rilevanti.
- 1° maggio – 30 giugno: categorizzazione delle attività e dei servizi.
Le aziende che entrano nel perimetro in corso d'anno, per esempio perché superano le soglie dimensionali o cambiano attività, devono registrarsi nella prima finestra utile.
Come si registra l'azienda sul portale ACN
La registrazione richiede tre elementi: punto di contatto NIS2 (deve essere un dipendente delegato dal rappresentante legale), firma digitale del legale rappresentante e dati anagrafici, settoriali e tecnici. La procedura è gratuita sul sito istituzionale. Le aziende che rientrano nei criteri del decreto devono registrarsi di propria iniziativa, senza attendere comunicazioni dall'ACN. Per finanziare gli investimenti in sicurezza informatica si possono valutare i voucher per cybersecurity e cloud delle PMI.
Sanzioni NIS2: cosa rischia chi non si adegua
Le sanzioni previste dalla NIS2 non sono certo uno scherzo: per i soggetti essenziali si può arrivare fino a 10 milioni di euro, oppure al 2% del fatturato annuo mondiale; per i soggetti importanti il tetto è un po' più basso, ma resta pesante, con un massimo di 7 milioni o dell'1,4%.
L'articolo 38 del D.Lgs. 138/2024 prevede sanzioni amministrative calibrate sulla categoria. Le PMI rientrano quasi sempre nei soggetti importanti: tetti più bassi degli essenziali, ma consistenti. Si applicano in caso di mancata registrazione, mancata adozione delle misure minime, tardiva notifica degli incidenti e ostacolo alle attività ispettive. Nei casi gravi si aggiungono sanzioni accessorie.
- Soggetti essenziali: fino a 10 milioni di euro o 2% del fatturato annuo mondiale.
- Soggetti importanti (cluster tipico delle PMI in ambito): fino a 7 milioni o 1,4% del fatturato.
- Violazioni minori (ad esempio mancata registrazione o mancato aggiornamento dei dati): fino allo 0,1% del fatturato per i soggetti essenziali e allo 0,07% per i soggetti importanti.
- Responsabilità amministratori: formazione obbligatoria e responsabilità diretta per le violazioni del decreto (art. 23).
- Sanzioni accessorie: si va dalla sospensione di autorizzazioni e certificazioni fino al divieto temporaneo, per i dirigenti, di ricoprire ruoli di responsabilità.
L'articolo 38 del D.Lgs. 138/2024 fissa per i soggetti importanti un tetto sanzionatorio fino a 7 milioni di euro o l'1,4% del fatturato annuo mondiale (Fonte: ACN, recepimento NIS2)
La tua PMI dispone di un adeguato livello di cybersecurity?
Spunta le voci che corrispondono alla tua situazione attuale.
Adempimenti NIS2 per le PMI: cinque passaggi chiave per mettersi in regola
Per adeguarsi alla NIS2, una PMI segue cinque passi: verifica dell'ambito, gap assessment, governance interna, misure tecniche minime e piano di notifica degli incidenti con clausole supply chain.
- Verifica dell'ambito: confronta dipendenti, fatturato e settore, elencati negli Allegati I e II del D. Lgs. 138/2024. Se l'azienda rientra, identifica un punto di contatto NIS2 e procedi alla registrazione sul portale ACN.
- Gap assessment iniziale: mappa le misure di sicurezza già in essere e confrontale con i requisiti dell'articolo 24. Documenta i gap, prioritizza per rischio, definisce un piano con scadenze realistiche.
- Governance e responsabilità: assegna formalmente i ruoli (responsabile sicurezza, contatto ACN, referente notifica incidenti), forma l'organo di vertice sugli obblighi dell'articolo 23.
- Misure tecniche minime: La NIS2 richiede un approccio strutturato alla cybersicurezza che include la protezione di reti e sistemi (firewall, segmentazione, endpoint e cloud), la gestione tempestiva delle vulnerabilità tramite patch e aggiornamenti, la sicurezza dei dati (crittografia, backup e controllo degli accessi), il controllo rigoroso delle identità secondo il principio del minimo privilegio con autenticazione multifattore, e l’integrazione della sicurezza nei prodotti, nei processi e nella supply chain.
- Notifica incidenti: definisci la procedura per le scadenze 24h/72h/30 giorni, predisponi clausole NIS2 per i fornitori critici e organizza la formazione annuale.
La NIS2 spinge le PMI a rafforzare sicurezza, governance e controllo della supply chain, migliorando la resilienza di tutta la filiera. Non serve adeguarsi subito a tutto, ma avviare un percorso concreto e continuo. Questo permette di ridurre incidenti, aumentare fiducia e competitività. Per una PMI la conformità NIS2 è una leva competitiva: saranno sempre più frequenti le clausole contrattuali che richiedono benchmark di sicurezza dimostrabili. Anticipare l'adeguamento protegge i contratti in essere e apre l'accesso a gare in cui la NIS2 è prerequisito.
Domande frequenti su NIS2 e PMI
Sono soggette alla NIS2 le medie e grandi imprese che operano in uno dei 18 settori previsti dagli Allegati I e II del D.Lgs. 138/2024: aziende con almeno 50 dipendenti oppure con fatturato e totale di bilancio annui entrambi superiori a 10 milioni di euro, calcolati includendo anche le società collegate. Le aziende sotto soglia sono generalmente escluse, salvo casi specifici come i fornitori di reti di comunicazione pubbliche, i servizi fiduciari e i servizi DNS. Anche le PMI non obbligate, però, possono essere coinvolte indirettamente come fornitori di soggetti NIS2, attraverso requisiti di sicurezza inseriti nei contratti.
Gli obblighi base sono cinque: governance del rischio documentata, misure tecniche minime (autenticazione multifattore, controllo accessi, backup, gestione vulnerabilità), notifica degli incidenti all'ACN entro 24 ore, 72 ore e 30 giorni, continuità operativa testata e sicurezza della supply chain. La formazione del personale e dell'organo di vertice è parte integrante.
La registrazione sulla piattaforma ACN si effettua ogni anno tra il 1° gennaio e il 28 febbraio. Dal 15 aprile al 31 maggio i soggetti registrati devono aggiornare le proprie informazioni, incluso l'elenco dei fornitori rilevanti. Le aziende che entrano nel perimetro in corso d'anno si registrano nella prima finestra utile.
Per le aziende inserite nell'elenco NIS nel 2025, le misure di sicurezza di base vanno adottate entro 18 mesi dalla comunicazione ricevuta dall'ACN: per la maggior parte delle imprese il termine cade entro ottobre 2026. Dopo questa data le misure devono essere operative e dimostrabili in caso di controllo. Le aziende inserite per la prima volta nel 2026 hanno tempo fino al 31 luglio 2027.
Formalmente, la NIS2 si applica alle aziende che superano le soglie dimensionali e operano nei settori critici. In pratica, però, i soggetti essenziali devono valutare la sicurezza della propria supply chain e trasferiscono requisiti ai fornitori tramite clausole contrattuali, audit e certificazioni. Una PMI non adeguata può quindi rischiare l’esclusione da gare, commesse o rapporti commerciali strategici.
