Per prepararsi alla NIS2 nel 2026, le PMI italiane devono seguire 8 passi: (1) verificare se si rientra nel perimetro NIS2, (2) mappare gli asset digitali, (3) condurre una valutazione del rischio, (4) implementare le misure di sicurezza minime, (5) definire le procedure per la gestione degli incidenti, (6) formare il personale e il management, (7) gestire la sicurezza della supply chain, (8) registrarsi sulla piattaforma ACN. La Direttiva NIS2 (UE 2022/2555), recepita in Italia con il D.Lgs. 138/2024, è in vigore dal 16 ottobre 2024: i soggetti che non si adeguano rischiano sanzioni fino a 10 milioni di euro o al 2% del fatturato annuo mondiale per i soggetti essenziali, e fino a 7 milioni o all'1,4% per i soggetti importanti (si applica l'importo più alto). Per un quadro normativo completo, consulta la nostra guida completa alla Direttiva NIS2 in Italia.
Chi è soggetto alla NIS2 in Italia: il perimetro per le PMI
La NIS2 non si applica indistintamente a tutte le imprese. Il primo filtro è dimensionale, il secondo settoriale. Le microimprese (meno di 10 dipendenti e fatturato annuo o totale di bilancio fino a 2 milioni di euro) e le piccole imprese (meno di 50 dipendenti e fatturato annuo o totale di bilancio fino a 10 milioni) sono in linea generale escluse (art. 3, comma 2, D.Lgs. 138/2024). Rientrano invece a prescindere dalla dimensione i fornitori di reti e servizi di comunicazione elettronica accessibili al pubblico, i prestatori di servizi fiduciari, i gestori di registri TLD e i fornitori di DNS, i servizi di registrazione dei nomi di dominio, i soggetti critici e quelli designati dall'ACN (art. 3, commi 5-10). Cloud e data center non hanno deroghe: anche per loro vale la soglia dimensionale ordinaria.
| Settore | Allegato del D.Lgs. 138/2024 | Esempi di soggetti |
|---|---|---|
| Energia (elettricità, gas, petrolio, teleriscaldamento, idrogeno) | Allegato I (alta criticità) | Operatori di rete, distributori, fornitori |
| Trasporti (aereo, ferroviario, marittimo, stradale) | Allegato I (alta criticità) | Aeroporti, porti, gestori infrastrutture |
| Settore bancario e infrastrutture finanziarie | Allegato I (alta criticità) | Banche, sedi di negoziazione, CCP |
| Sanità (ospedali, laboratori, R&S, farmaceutica) | Allegato I (alta criticità) | Ospedali, produttori di dispositivi medici critici |
| Acqua potabile e acque reflue | Allegato I (alta criticità) | Gestori reti idriche |
| Infrastrutture digitali e gestione servizi TIC B2B (cloud, CDN, DNS, TLD) | Allegato I (alta criticità) | Cloud provider, registri TLD, IXP |
| Pubblica amministrazione (centrale e regionale) | Allegato III (pubbliche amministrazioni) | Ministeri, enti regionali |
| Spazio | Allegato I (alta criticità) | Operatori infrastrutture spaziali terrestri |
| Servizi postali e corrieri | Allegato II (altri settori critici) | Operatori postali, corrieri espressi |
| Gestione rifiuti | Allegato II (altri settori critici) | Raccolta, trattamento, smaltimento rifiuti |
| Chimica (produzione, fabbricazione, distribuzione) | Allegato II (altri settori critici) | Produttori sostanze chimiche pericolose |
| Alimentare (produzione, trasformazione, distribuzione) | Allegato II (altri settori critici) | Imprese alimentari di medie o grandi dimensioni |
| Manifattura (medici, elettronica, macchinari, autoveicoli) | Allegato II (altri settori critici) | Produttori dispositivi medici, semiconduttori |
| Fornitori digitali (marketplace, motori ricerca, social) | Allegato II (altri settori critici) | Grandi piattaforme online |
| Ricerca | Allegato II (altri settori critici) | Organizzazioni di ricerca |
Attenzione: l'allegato non coincide con la classificazione. In linea generale sono essenziali i soggetti dell'Allegato I che superano le soglie della media impresa (cioè le grandi imprese); le medie imprese dell'Allegato I e i soggetti dell'Allegato II sono di norma importanti (art. 6 D.Lgs. 138/2024). La classificazione definitiva la comunica l'ACN.
Passo 1 — Verificare se si è soggetti alla NIS2
Il punto di partenza è una verifica formale del perimetro. Controlla: (a) i criteri dimensionali (dipendenti e fatturato), (b) il settore di attività rispetto agli allegati I e II del D.Lgs. 138/2024, (c) se l'azienda fa parte di un gruppo con soglie consolidate, (d) se opera in infrastrutture critiche indipendentemente dalla dimensione. L'ACN (Agenzia per la Cybersicurezza Nazionale) ha pubblicato una procedura di autovalutazione sulla propria piattaforma.
Passo 2 — Mappare gli asset digitali
Prima di valutare i rischi, è necessario sapere cosa si possiede. La mappatura degli asset include: hardware (server, workstation, dispositivi IoT, apparati di rete), software (applicazioni gestionali, ERP, sistemi OT/SCADA se presenti), dati (classificati per criticità e localizzazione), servizi cloud e connessioni esterne, e accessi di terze parti (fornitori con accesso ai sistemi). Senza questa mappa, qualsiasi valutazione del rischio è incompleta.
Passo 3 — Condurre la valutazione del rischio
Il D.Lgs. 138/2024 richiede una valutazione formale e documentata del rischio, aggiornata periodicamente. Non basta una valutazione informale: deve identificare le minacce rilevanti (ransomware, phishing, accessi non autorizzati, guasti), valutare la probabilità e l'impatto, e definire i rischi residui accettabili. Framework di riferimento utili: ISO 27005, NIST SP 800-30, ENISA guidelines. Consulta anche la nostra guida al risk assessment per la cybersecurity.
Passo 4 — Implementare le misure di sicurezza minime
L'articolo 24 del D.Lgs. 138/2024 elenca le misure di sicurezza obbligatorie. Per le PMI, le priorità pratiche sono: autenticazione multi-fattore (MFA) su tutti gli accessi critici, backup testati e segregati (idealmente offline o in cloud separato), patch management strutturato, segmentazione della rete, cifratura dei dati sensibili, e monitoraggio degli accessi. Le misure devono essere proporzionate al rischio — una PMI manifatturiera con 60 dipendenti non ha le stesse esigenze di un operatore di infrastrutture critiche. Approfondisci le misure di sicurezza minime NIS2 per il 2026. Per capire i costi tipici di adeguamento per settore e dimensione aziendale, leggi la guida ai costi di adeguamento alla NIS2.
Passo 5 — Definire le procedure per la gestione degli incidenti
Dal gennaio 2026 l'obbligo di notifica è operativo per i soggetti inseriti nell'elenco NIS nel 2025, con tempi molto stringenti (art. 25 D.Lgs. 138/2024): entro 24 ore dalla rilevazione, pre-notifica al CSIRT Italia (il team di risposta agli incidenti informatici nazionale); entro 72 ore, notifica completa; entro un mese, relazione finale. Per rispettare questi tempi, le procedure devono essere definite prima che si verifichi un incidente — non durante. Il piano deve includere: chi notifica (punto di contatto designato), a chi notificare (CSIRT Italia), quali informazioni raccogliere, come contenere l'incidente, come comunicare internamente ed esternamente. Vedi anche la nostra guida all'incident response plan.
Passo 6 — Formare il personale e il management
La NIS2 prevede un obbligo esplicito di formazione per gli organi di amministrazione e direzione — non solo per il personale tecnico. Il management deve comprendere i rischi cyber, approvare le politiche di sicurezza e supervisionarne l'attuazione. Per il personale, la formazione deve coprire almeno: riconoscimento del phishing, uso sicuro delle credenziali, procedure in caso di incidente, e uso responsabile dei dispositivi aziendali. La formazione va documentata e ripetuta almeno annualmente. Approfondisci la formazione cybersecurity per i dipendenti.
Passo 7 — Gestire la sicurezza della supply chain
L'articolo 24 del D.Lgs. 138/2024 (comma 2, lettera d, e comma 3) richiede che i soggetti NIS2 valutino i rischi legati alla catena di fornitura. In pratica: identificare i fornitori con accesso ai sistemi informatici, valutarne il livello di sicurezza (questionari, certificazioni, audit), includere clausole contrattuali sulla sicurezza, e monitorare nel tempo. I fornitori che non riescono a dimostrare un livello adeguato di sicurezza rappresentano un rischio concreto — e la responsabilità ricade anche sull'azienda cliente.
Passo 8 — Registrarsi sulla piattaforma ACN
La registrazione sul portale dell'ACN è obbligatoria per i soggetti NIS2 e si effettua ogni anno tra il 1° gennaio e il 28 febbraio; tra il 15 aprile e il 31 maggio si aggiornano le informazioni. Nella procedura l'azienda fornisce i propri dati e il settore di attività e designa un punto di contatto per le comunicazioni con l'Autorità; è poi l'ACN a comunicare l'inclusione nell'elenco NIS e la classificazione (essenziale o importante). Dettagli pratici nella nostra guida alla registrazione sulla piattaforma ACN.
Sanzioni NIS2: cosa rischiano le PMI
Le sanzioni previste dal D.Lgs. 138/2024 sono significative. Per i soggetti essenziali: fino a 10.000.000 € o il 2% del fatturato annuo mondiale totale dell'esercizio precedente, se superiore. Per i soggetti importanti: fino a 7.000.000 € o l'1,4%, se superiore. Gli importi sono fissati dall'art. 38, comma 9, del decreto, che recepisce l'art. 34 della Direttiva (UE) 2022/2555; il minimo è pari a un ventesimo del massimo per gli essenziali e a un trentesimo per gli importanti. Approfondisci le sanzioni NIS2: importi, responsabilità degli amministratori e come evitarle.