Sicurezza

NIS2 senza panico: cosa cambia per una PMI italiana

La direttiva NIS2, recepita in Italia con il decreto legislativo 138/2024, allarga di molto la platea delle aziende con obblighi di sicurezza informatica e chiama in causa gli organi di amministrazione. Chi resta fuori perimetro viene comunque coinvolto come fornitore. Gli adempimenti sono organizzativi prima che tecnologici: nessun prodotto rende conformi.

13 giu 2026 · 10 min di lettura · aggiornato il 27 ago 2026

Di NIS2 si parla in due modi, entrambi poco utili: come di un adempimento che riguarda solo le grandi imprese, o come di un'emergenza da risolvere comprando qualcosa. Non è nessuna delle due cose.

È una direttiva europea sulla sicurezza delle reti e dei sistemi informativi, recepita in Italia con il decreto legislativo 4 settembre 2024, n. 138, che affida all'Agenzia per la Cybersicurezza Nazionale il ruolo di autorità competente. Rispetto alla norma precedente allarga parecchio la platea, e soprattutto sposta la responsabilità su chi amministra l'azienda.

Quello che segue è un orientamento pratico, non un parere legale: scadenze e perimetro vanno verificati sul testo vigente e sulle comunicazioni dell'Agenzia, che aggiorna periodicamente elenchi e adempimenti.

Chi è coinvolto (e perché forse lo siete senza saperlo)

Il perimetro si costruisce incrociando due criteri: il settore in cui operate e la dimensione dell'impresa. I settori elencati dalla norma vanno oltre le infrastrutture critiche classiche: energia, trasporti, banche, sanità e acqua, ma anche gestione dei rifiuti, produzione e distribuzione di alimenti, fabbricazione di dispositivi e apparecchiature, servizi digitali, poste e corrieri, ricerca.

Sulla dimensione si guarda la soglia della media impresa: in generale rientrano le organizzazioni con almeno cinquanta addetti oppure un fatturato o bilancio superiore ai dieci milioni. Le imprese così individuate ricadono in due categorie, soggetti essenziali e soggetti importanti: gli obblighi sono in gran parte gli stessi, cambia l'intensità della vigilanza e il tetto delle sanzioni.

Attenzione però al punto che sorprende di più: l'appartenenza al perimetro non è un'autovalutazione informale. Il decreto prevede una registrazione sulla piattaforma dell'Agenzia in una finestra annuale, e da lì l'inserimento negli elenchi ufficiali. Non essersi registrati non è una via d'uscita: è a sua volta una violazione.

Cosa viene chiesto, in concreto

Gli obblighi si riducono a tre famiglie, e nessuna delle tre si compra.

Gestire il rischio. Analisi dei rischi e politiche di sicurezza, gestione degli incidenti, continuità operativa e ripristino, sicurezza della catena di fornitura, controllo degli accessi e uso dell'autenticazione a più fattori, cifratura, formazione del personale, procedure per valutare l'efficacia delle misure.
Notificare gli incidenti. Gli incidenti significativi vanno segnalati all'autorità con tempi stretti: una prima segnalazione entro poche ore dalla conoscenza, una notifica più completa nelle giornate successive e una relazione finale. Serve saperlo prima: nel mezzo di un attacco nessuno legge la norma.
Coinvolgere gli amministratori. È la novità che pesa di più: gli organi di amministrazione approvano le misure, ne sorvegliano l'attuazione e devono essere formati. La sicurezza smette di essere una delega al reparto informatico e diventa una responsabilità di chi governa l'impresa.

Sulle sanzioni la norma prevede importi rilevanti, differenziati fra soggetti essenziali e importanti, con massimali legati al fatturato mondiale. Ma la conseguenza più concreta, per una PMI, raramente è la multa: è il cliente grande che vi chiede garanzie e non può più accettare risposte vaghe.

Se un vostro cliente è dentro il perimetro, ci siete anche voi — non per legge, ma per contratto.L'effetto che coinvolge più aziende di quante ne obblighi la norma

L'effetto sulla catena di fornitura

È il punto che riguarda la maggioranza delle piccole imprese italiane. La norma chiede ai soggetti obbligati di gestire i rischi che arrivano dai fornitori. Tradotto: chi è dentro il perimetro deve poter dimostrare che chi lo serve non è un anello debole.

Nella pratica questo si manifesta come questionari sempre più dettagliati, clausole contrattuali su tempi di notifica e ripristino, richieste di evidenze e — sempre più spesso — la domanda se siete certificati. Un fornitore che non sa rispondere non viene sanzionato: viene sostituito.

È anche il motivo per cui molte aziende che non rientrano formalmente stanno avviando un percorso di certificazione: non per obbligo, ma perché è il modo più rapido di rispondere a quelle domande una volta sola invece che a ogni gara.

Da dove si comincia davvero

Nessuno di questi passi richiede un budget importante, e tutti servono comunque anche se scoprite di essere fuori perimetro.

Stabilite se rientrate, incrociando settore e dimensione, e verificate la posizione sulla piattaforma dell'Agenzia. È una verifica documentale, non un progetto.
Fate l'inventario. Quali sistemi vi servono per lavorare, dove sono i dati, chi ha le credenziali, quali fornitori hanno accesso. Quasi sempre l'elenco è più lungo di quanto chiunque ricordi.
Scrivete il piano incidenti. Chi decide, chi avvisa chi, con quali tempi, e chi parla con l'autorità. Due pagine chiare valgono più di un manuale che nessuno apre.
Mettete il secondo fattore ovunque conti e verificate una prova di ripristino. Sono le due misure con il miglior rapporto fra costo ed effetto, ed entrambe compaiono in ogni elenco di controlli.
Portate il tema in consiglio. Una riunione con verbale in cui si approvano le misure e si programma la formazione è, letteralmente, uno degli adempimenti.

Cosa non serve

Un prodotto "conforme NIS2". Non esiste: la conformità è organizzativa, e nessun software la certifica al posto vostro.
Rifare l'infrastruttura. Nella maggior parte dei casi serve documentare e mettere in ordine quello che avete, non sostituirlo.
Il panico da scadenza. Gli obblighi entrano in vigore per fasi. Il rischio vero non è arrivare tardi di un mese: è arrivare al primo incidente senza sapere chi chiama chi.

Se un cliente vi ha già mandato un questionario sulla sicurezza, la NIS2 vi riguarda già — indipendentemente da come si conclude la verifica sul perimetro. Da lì conviene partire: le risposte che servono a quel questionario sono le stesse che servono alla norma.

Come faccio a sapere con certezza se rientriamo?

Il criterio è settore più dimensione, ma i casi di confine sono numerosi — gruppi societari, attività miste, appalti pubblici. La verifica va fatta sul testo del decreto e con un consulente legale o l'organismo che vi segue: è una delle poche cose su cui non conviene affidarsi a un articolo, incluso questo.

La ISO 27001 ci mette a posto?

Non sono la stessa cosa e la certificazione non sostituisce gli adempimenti, a partire dalla registrazione e dalla notifica degli incidenti. Ma un sistema di gestione già in piedi copre gran parte delle misure richieste e rende la conformità un lavoro di allineamento invece che di costruzione.

Quanto tempo serve per mettersi in regola?

Per una PMI con i sistemi in ordine, alcuni mesi: la parte lunga non è tecnica, è scrivere procedure, definire ruoli e formare le persone. Se invece mancano inventario e piano incidenti, si parte da lì e il tempo raddoppia.

Possiamo delegare tutto a un fornitore?

Potete delegare l'esecuzione tecnica, non la responsabilità: la norma chiama in causa gli organi di amministrazione, e quella parte non si esternalizza. Un buon fornitore vi copre l'infrastruttura e vi porta le evidenze; la governance resta vostra.