NIS2 per le PMI: chi riguarda e cosa fare nel 2026

La NIS2 è la direttiva europea sulla sicurezza informatica, recepita in Italia con il decreto legislativo 138 del 2024, in vigore dal 16 ottobre 2024. Riguarda direttamente le medie e grandi imprese che operano nei settori elencati dal decreto (energia, trasporti, sanità, acqua, infrastrutture digitali, alimentare, manifattura di certi prodotti, rifiuti, servizi postali e altri), più alcuni soggetti indipendentemente dalle dimensioni. La maggior parte delle piccole imprese non è soggetta, ma ne sente gli effetti lo stesso: i clienti che rientrano nella NIS2 devono controllare la sicurezza dei propri fornitori, e iniziano a chiedere garanzie.

Siamo a fine ottobre 2026, un momento importante: per molte aziende entrate nell'elenco nel 2025 scade proprio in questi giorni il termine per adottare le misure di sicurezza di base. Vediamo chi riguarda, cosa chiede e cosa conviene fare anche a chi ne è fuori.

Chi rientra nella NIS2?

Per capire se un'azienda è soggetta bisogna incrociare due criteri: il settore e le dimensioni.

Il settore deve essere tra quelli elencati negli allegati del decreto. Semplificando, ci sono settori ad alta criticità (energia, trasporti, banche e mercati finanziari, sanità, acqua potabile e reflue, infrastrutture digitali, gestione dei servizi informatici per altre imprese, pubblica amministrazione, spazio) e altri settori critici (servizi postali e di corriere, gestione dei rifiuti, chimica, produzione e distribuzione alimentare, fabbricazione di dispositivi medici, computer, elettronica, macchinari e veicoli, fornitori di servizi digitali come marketplace e motori di ricerca, ricerca).

Le dimensioni sono quelle della definizione europea di impresa: in generale rientrano le medie imprese (da 50 dipendenti in su, oppure con fatturato e bilancio annuo oltre i 10 milioni di euro) e le grandi imprese. Nel calcolo contano anche le imprese collegate e associate, quindi un'azienda piccola che fa parte di un gruppo può superare la soglia.

Alcuni soggetti rientrano a prescindere dalle dimensioni: ad esempio i fornitori di reti e servizi di comunicazione elettronica accessibili al pubblico, i prestatori di servizi fiduciari, i gestori di registri dei nomi a dominio e i fornitori di servizi DNS.

Che differenza c'è tra soggetti essenziali e importanti?

Il decreto divide i soggetti in due categorie. I soggetti essenziali sono in genere le grandi imprese dei settori ad alta criticità; i soggetti importanti sono gli altri. La differenza pesa su due aspetti:

• la vigilanza: per gli essenziali l'Agenzia per la Cybersicurezza Nazionale (ACN) può fare controlli anche in via preventiva; per gli importanti interviene soprattutto dopo un incidente o una segnalazione;
• le sanzioni: fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per gli essenziali, fino a 7 milioni o all'1,4% per gli importanti.

Anche le misure di sicurezza richieste sono un po' diverse, con requisiti più numerosi per i soggetti essenziali.

Quali sono le scadenze in corso nel 2026?

Il calendario fissato dall'ACN funziona a cicli annuali:

1. Registrazione: le aziende che ritengono di rientrare nel perimetro si registrano sulla piattaforma dell'ACN, e aggiornano i dati ogni anno entro il 28 febbraio. La prima registrazione si è chiusa a inizio 2025.
2. Comunicazione dell'inserimento: l'ACN comunica a ciascuna azienda se è stata inserita nell'elenco e in quale categoria.
3. Notifica degli incidenti: per i soggetti inseriti nel 2025 l'obbligo di notificare gli incidenti significativi al CSIRT Italia è scattato a gennaio 2026. La pre-notifica va fatta entro 24 ore da quando si viene a conoscenza dell'incidente, la notifica vera e propria entro 72 ore, poi una relazione finale.
4. Misure di sicurezza di base: per i soggetti inseriti nel 2025 il termine è di diciotto mesi dalla comunicazione di inserimento, cioè ottobre 2026.

Per le aziende inserite per la prima volta nel 2026 l'ACN ha fissato termini spostati in avanti: notifica degli incidenti dal 1° gennaio 2027 e misure di sicurezza entro il 31 luglio 2027. Le date esatte vanno sempre verificate sul sito dell'ACN, che aggiorna calendario e domande frequenti.

Cosa chiedono, in concreto, le misure di sicurezza?

Le misure di base indicate dall'ACN ricalcano le buone pratiche di gestione della sicurezza. Tra i temi principali:

• governo della sicurezza: ruoli e responsabilità definiti, con gli organi di amministrazione che approvano le misure, ne rispondono e si formano;
• inventario di sistemi, applicazioni, dati e fornitori;
• gestione del rischio e delle vulnerabilità, con aggiornamenti regolari;
• controllo degli accessi, con autenticazione a più fattori dove serve;
• backup e capacità di ripristino;
• gestione degli incidenti, con una procedura scritta e provata;
• sicurezza della catena di approvvigionamento, cioè dei fornitori;
• formazione del personale.

Sono cose che una media impresa ben organizzata in parte fa già. La novità è che vanno documentate, approvate e dimostrabili.

Sono una piccola impresa: perché dovrebbe interessarmi?

Per due motivi molto pratici.

Il primo è la catena di fornitura. Un'azienda soggetta alla NIS2 deve valutare la sicurezza dei propri fornitori, specie di quelli che hanno accesso ai suoi sistemi o ai suoi dati: chi fa manutenzione informatica, chi sviluppa software, chi gestisce il sito o il gestionale, ma anche fornitori di componenti e servizi critici. Se lavori per un'azienda di questo tipo, aspettati questionari di sicurezza, clausole nei contratti su notifiche di incidenti e livelli di protezione, richieste di prove (ad esempio sull'uso del doppio fattore o sui backup).

Il secondo è che le misure della NIS2 sono una buona lista di controllo per chiunque. Una piccola azienda che fa inventario, aggiorna, usa il doppio fattore, ha backup provati e sa cosa fare in caso di incidente è molto meno esposta agli attacchi che colpiscono ogni giorno le imprese italiane, soggette o no.

Cosa conviene fare adesso?

Se non sei sicuro di rientrare nel perimetro:

1. verifica settore e codice ATECO rispetto agli allegati del decreto, e le dimensioni compreso il gruppo;
2. consulta le domande frequenti dell'ACN, che chiariscono molti casi di confine;
3. in caso di dubbio, fatti affiancare da un consulente legale o da un esperto di conformità.

Se sei soggetto e sei stato inserito nel 2025, il termine per le misure di base è arrivato: se c'è ancora del lavoro da fare, conviene documentare subito cosa è in corso e con quali tempi.

Se sei un fornitore più piccolo, prepara un fascicolo semplice da mandare ai clienti che te lo chiedono: come gestisci accessi e password, dove sono i backup e come li provi, ogni quanto aggiorni i sistemi, chi contattare in caso di incidente e in quanto tempo avvisi. Ti fa fare bella figura e ti costringe a mettere ordine. Per i backup trovi indicazioni pratiche nella guida alla regola 3-2-1 per il backup aziendale.

Dove posso dare una mano io?

Non faccio consulenza legale sulla NIS2, e diffido di chi promette «conformità chiavi in mano» con un software. Posso però aiutarti sulla parte tecnica che riguarda i sistemi che costruisco e gestisco: siti, gestionali, applicazioni web e la loro infrastruttura. In particolare:

• inventario di applicazioni, dati e servizi esterni collegati;
• accessi con doppio fattore e permessi per ruolo nelle applicazioni;
• backup automatici con prove di ripristino documentate;
• registri degli eventi utili a ricostruire un incidente;
• risposte tecniche precise ai questionari di sicurezza dei clienti.

Per le aziende manifatturiere e della produzione, che spesso si trovano nella catena di fornitura di soggetti NIS2, sono richieste da mettere in conto.

Ne parliamo?

Se un cliente ti ha mandato un questionario di sicurezza e non sai da dove cominciare, o vuoi capire quanto sono solidi i sistemi che usi, scrivimi dalla pagina contatti. Possiamo partire da una consulenza tecnica per fare il punto e proseguire con la manutenzione e l'hosting dei sistemi che gestisco per te. Per l'inquadramento giuridico resta essenziale il confronto con il tuo consulente legale.

Fonti

• Agenzia per la Cybersicurezza Nazionale, pagina dedicata alla normativa NIS
• Decreto legislativo 4 settembre 2024, n. 138 (Normattiva)
• Direttiva (UE) 2022/2555 (NIS2), testo su EUR-Lex

Crediti delle immagini

• Copertina: foto di Kevin Ache su Unsplash