NIS 2 per le PMI italiane: obblighi, scadenze e chi deve davvero adeguarsi.

La direttiva NIS 2 non è un adempimento da ufficio legale: è un insieme di obblighi tecnici e organizzativi che cambiano come un'azienda gestisce accessi, backup, fornitori e incidenti. Questa guida spiega chi rientra, entro quando, che cosa bisogna fare concretamente e che cosa succede a chi è fuori perimetro ma lavora per qualcuno che è dentro.

Che cos'è la NIS 2 e perché esiste

NIS 2 è il nome corrente della direttiva (UE) 2022/2555, che sostituisce la precedente direttiva NIS del 2016. L'Italia l'ha recepita con il decreto legislativo 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024.

La ragione del cambio è semplice: la prima direttiva copriva poche centinaia di operatori per Stato membro, lasciando fuori gran parte dell'economia reale che nel frattempo era diventata altrettanto dipendente dai sistemi informatici. La NIS 2 allarga il perimetro a molti più settori, abbassa la soglia dimensionale, uniforma gli obblighi fra i Paesi e, soprattutto, sposta la responsabilità sugli organi di amministrazione.

Il punto che le imprese sottovalutano più spesso è proprio questo: la NIS 2 non chiede di comprare prodotti di sicurezza, chiede di dimostrare di gestire un rischio. È un obbligo di processo e di evidenze, non di catalogo.

Chi rientra: settori e criteri dimensionali

L'applicazione dipende da due condizioni che devono valere insieme: il settore di attività e la dimensione dell'impresa.

Il settore

Gli allegati del D.Lgs. 138/2024 elencano i settori inclusi. Fra quelli ad alta criticità: energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi ICT, pubblica amministrazione, spazio. Fra gli altri settori critici: servizi postali e di corriere, gestione dei rifiuti, fabbricazione e distribuzione di sostanze chimiche, produzione e distribuzione di alimenti, fabbricazione (dispositivi medici, elettronica, macchinari, autoveicoli), fornitori di servizi digitali, ricerca.

La platea reale è molto più larga di quanto suggerisca la parola "infrastrutture critiche": una PMI manifatturiera che produce componenti elettronici, un'azienda alimentare, un gestore di servizi ICT o un fornitore di servizi digitali possono rientrarci senza avere nulla a che vedere con reti nazionali o ospedali.

La dimensione

Il criterio generale è la dimensione di media impresa: almeno 50 dipendenti, oppure fatturato annuo o totale di bilancio superiore a 10 milioni di euro. Sotto quella soglia, di regola, non si rientra. Il decreto prevede però eccezioni in cui il criterio dimensionale non si applica e il soggetto è incluso a prescindere: è il caso, tra gli altri, di alcune categorie di fornitori di servizi digitali e di soggetti la cui interruzione avrebbe effetti sistemici.

Soggetti essenziali e soggetti importanti

Chi rientra viene classificato in una delle due categorie. La differenza non riguarda gli obblighi di sicurezza, che sono sostanzialmente gli stessi, ma il regime di vigilanza e il massimale delle sanzioni.

Registrazione e scadenze

Il meccanismo è a inizio anno e si ripete ogni anno. Non è una registrazione una tantum.

1. Dal 1° gennaio al 28 febbraio: il soggetto che ritiene di rientrare si registra sulla piattaforma dell'Agenzia per la Cybersicurezza Nazionale, indicando dati societari, settore e punto di contatto.
2. Entro il 31 marzo: l'ACN comunica al soggetto l'eventuale inserimento nell'elenco e la classificazione come essenziale o importante.
3. Entro 9 mesi dalla comunicazione: scattano gli obblighi di notifica degli incidenti.
4. Entro 18 mesi dalla comunicazione: devono essere adottate le misure di gestione del rischio.

I termini di 9 e 18 mesi sono quelli fissati dalla determinazione ACN 164179/2024. Il punto da cui decorrono è la comunicazione dell'Agenzia, non l'entrata in vigore del decreto: due aziende incluse in anni diversi hanno scadenze diverse.

Gli obblighi di sicurezza, in concreto

Il decreto elenca le misure minime di gestione del rischio. Tradotte in attività reali per una PMI, sono queste.

• Analisi dei rischi e politica di sicurezza: un documento approvato dagli amministratori che dice quali sono i rischi e come vengono trattati. Non un modello scaricato: deve rispecchiare i sistemi che avete davvero.
• Gestione degli incidenti: procedure scritte su chi fa cosa quando qualcosa succede, con ruoli, recapiti e tempi.
• Continuità operativa: backup verificati con prove di ripristino documentate, gestione del disastro, piani di crisi. Un backup mai ripristinato non è un backup.
• Sicurezza della catena di approvvigionamento: valutazione dei fornitori diretti e dei fornitori di servizi, con clausole contrattuali coerenti.
• Sicurezza nell'acquisizione e manutenzione dei sistemi, gestione delle vulnerabilità e delle patch.
• Verifica dell'efficacia delle misure: serve un modo per dimostrare che quello che è scritto viene fatto.
• Igiene informatica di base e formazione del personale, amministratori inclusi.
• Crittografia, con politiche d'uso dichiarate.
• Sicurezza del personale, controllo degli accessi e gestione degli asset: chi ha accesso a cosa, con quale privilegio e da quando.
• Autenticazione a più fattori e comunicazioni di emergenza protette.

La maggior parte di queste voci non richiede software nuovo: richiede di mettere per iscritto e verificare cose che in azienda spesso esistono già in forma informale. La parte costosa non è la tecnologia, è la disciplina delle evidenze.

La notifica degli incidenti

Per gli incidenti classificati come significativi la notifica avviene in tre tempi, tutti verso l'ACN:

1. Entro 24 ore dalla conoscenza dell'incidente: preallarme, con l'indicazione se si sospetta un atto illecito o doloso e se può avere impatto transfrontaliero.
2. Entro 72 ore: notifica completa, con valutazione iniziale di gravità, impatto e indicatori di compromissione.
3. Entro un mese: relazione finale, con descrizione dettagliata, causa, misure adottate e impatto transfrontaliero.

Il termine più critico è il primo. Ventiquattro ore sono poche se non è già chiaro chi decide che si tratta di un incidente significativo, chi ha le credenziali per accedere alla piattaforma e chi scrive la comunicazione. È un'attività da preparare quando non serve.

Sanzioni e responsabilità degli amministratori

Oltre ai massimali già visti, la novità rilevante della NIS 2 riguarda gli organi di amministrazione: approvano le misure di gestione del rischio, ne sorvegliano l'attuazione e rispondono delle violazioni. Sono inoltre tenuti a seguire formazione specifica sulla gestione del rischio informatico.

Questo sposta la cybersecurity da questione tecnica delegabile a materia di responsabilità gestionale. Per una PMI significa che l'amministratore non può più limitarsi ad affidarsi al fornitore IT: deve sapere che cosa è stato deciso e perché.

Se siete fornitori di un soggetto incluso

È lo scenario che riguarda il maggior numero di piccole imprese italiane, ed è quello di cui si parla meno.

I soggetti inclusi devono gestire il rischio della propria catena di approvvigionamento. In pratica lo fanno spostandolo a valle: questionari di sicurezza, clausole contrattuali su notifica degli incidenti e livelli di servizio, richieste di evidenze su backup, accessi e continuità, in certi casi audit.

Un'officina meccanica di quindici persone che fornisce un'azienda inclusa non ha obblighi diretti dal decreto, ma ha un cliente che glieli chiederà per contratto. Arrivare a quella richiesta senza uno straccio di documentazione significa, nel migliore dei casi, dover improvvisare in fretta; nel peggiore, perdere la fornitura a favore di un concorrente che era pronto.

Checklist: da dove iniziare

Sei passi in ordine di priorità, eseguibili anche senza consulenti nella prima parte.

1. Verificate il perimetro. Il vostro settore rientra in uno degli allegati? Superate i parametri dimensionali, contando anche imprese associate e collegate? Mettete per iscritto la risposta e le ragioni: se un giorno vi verrà chiesto perché non vi siete registrati, quel documento è la vostra difesa.
2. Fate l'inventario. Quali sistemi, quali dati, quali fornitori, quali accessi. Non si protegge ciò che non si sa di avere, e senza inventario nessuna delle misure successive è verificabile.
3. Chiudete le lacune elementari. Autenticazione a più fattori su tutto ciò che è esposto, backup con prova di ripristino documentata, revoca degli accessi di chi non lavora più con voi, aggiornamenti applicati. Sono le misure che fermano la maggior parte degli incidenti reali.
4. Scrivete la procedura di incidente. Chi decide, chi notifica, con quali credenziali, entro quali termini. Una pagina, aggiornata, vale più di un manuale mai letto.
5. Guardate i contratti con i fornitori. Chi tratta i vostri dati, con quali obblighi, e che cosa succede se subisce un incidente.
6. Formate le persone, amministratori compresi. È un obbligo esplicito, ed è anche la misura con il rapporto costo-efficacia migliore.

Domande frequenti

Chi rientra negli obblighi della NIS 2 in Italia?

Rientrano i soggetti pubblici e privati che operano nei settori elencati negli allegati del D.Lgs. 138/2024 e che raggiungono almeno la dimensione di media impresa: 50 dipendenti oppure un fatturato annuo o un totale di bilancio superiore a 10 milioni di euro. Alcune categorie rientrano a prescindere dalla dimensione.

Qual è la scadenza per registrarsi sulla piattaforma ACN?

La registrazione si effettua sulla piattaforma dell'Agenzia per la Cybersicurezza Nazionale tra il 1° gennaio e il 28 febbraio di ogni anno. Entro il 31 marzo l'ACN comunica al soggetto l'eventuale inserimento nell'elenco dei soggetti essenziali o importanti.

Entro quando vanno adottate le misure di sicurezza?

I termini decorrono dalla comunicazione di inserimento nell'elenco, non dall'entrata in vigore del decreto. Secondo la determinazione ACN 164179/2024, gli obblighi di notifica degli incidenti scattano entro 9 mesi da quella comunicazione e le misure di gestione del rischio entro 18 mesi.

Quali sono le sanzioni previste dal D.Lgs. 138/2024?

Per i soggetti essenziali le sanzioni amministrative arrivano fino a 10 milioni di euro o al 2% del fatturato annuo mondiale, se superiore. Per i soggetti importanti il limite è di 7 milioni di euro o l'1,4% del fatturato. Sono inoltre previste responsabilità in capo agli organi di amministrazione.

Entro quanto va notificato un incidente significativo?

La notifica è a tre tempi: un preallarme entro 24 ore dalla conoscenza dell'incidente, una notifica completa entro 72 ore e una relazione finale entro un mese. I termini valgono per gli incidenti classificati come significativi secondo i criteri della normativa.

La mia azienda è fuori perimetro: la NIS 2 mi riguarda comunque?

Molto spesso sì, in via indiretta. I soggetti obbligati devono gestire il rischio della propria catena di fornitura: se siete loro fornitori riceverete questionari, clausole contrattuali e richieste di evidenze. Arrivare impreparati a quella richiesta può costare la fornitura.

Fonti

Questa guida è divulgativa e non sostituisce una valutazione sul caso concreto né un parere legale. La normativa e le determinazioni attuative evolvono: verificate sempre sulle fonti ufficiali.

• Direttiva (UE) 2022/2555 del Parlamento europeo e del Consiglio, testo integrale su EUR-Lex
• D.Lgs. 4 settembre 2024, n. 138, testo vigente su Normattiva
• Agenzia per la Cybersicurezza Nazionale, sezione NIS, con determinazioni, avvisi e piattaforma di registrazione

Guida aggiornata al 5 settembre 2026, a cura di rubailab.