Secondo l’ACN, oltre 20.000 organizzazioni italiane rientrano nel perimetro della NIS2, e più di 5.000 sono classificate come “essenziali” (ACN, Scadenze NIS). Per quelle inserite nell’elenco NIS nel 2025, a ottobre 2026 scade il termine per adottare le misure di sicurezza di base.
Il problema, per un titolare o un responsabile IT di una PMI, è capire da che parte si sta. Non tutte le aziende sanno se sono in elenco, altre scoprono la NIS2 solo quando un cliente invia un questionario di sicurezza da compilare. Questa guida ti aiuta a verificare la tua posizione in pochi minuti. Propone poi sette azioni concrete, valide sia se sei obbligata direttamente sia se sei solo fornitore di un cliente che lo è.
In sintesi
- La NIS2 obbliga direttamente, di norma, chi rientra per settore e dimensione, salvo le eccezioni dell’art. 3 del decreto. L’inserimento nell’elenco dei soggetti NIS tenuto dall’ACN fa decorrere i termini.
- Per i soggetti inseriti nel 2025 le misure di sicurezza di base vanno adottate entro ottobre 2026, 18 mesi dopo la comunicazione di inserimento. Per i soggetti inseriti nel 2026 il termine è il 31 luglio 2027.
- Se hai ricevuto la comunicazione ad aprile 2025, il termine è già scaduto o è imminente: parti subito da referente, piano incidenti e backup testati.
- Se non sei obbligata ma lavori per un cliente che lo è, l’obbligo arriva per contratto, non per legge.
- Le prime mosse sono le stesse in entrambi i casi: referente, mappa degli asset, fornitori critici, piano incidenti, backup testati, formazione.
- Verifica sempre date e requisiti sulle fonti ufficiali ACN: questo articolo è informativo e non sostituisce una consulenza legale. Le scadenze citate sono state controllate sulle fonti ACN e sul testo del decreto il 6 ottobre 2026.
NIS2 in breve: cos’è e a chi si rivolge
La NIS2 è la direttiva europea 2022/2555 sulla sicurezza delle reti e dei sistemi informativi, recepita in Italia con il D.Lgs. 138/2024, in vigore dal 16 ottobre 2024. Chiede alle organizzazioni di 18 settori considerati critici di gestire il rischio informatico con misure minime e di notificare gli incidenti significativi. L’autorità italiana di riferimento è l’ACN, l’Agenzia per la Cybersicurezza Nazionale, che tiene l’elenco dei soggetti NIS.
I 18 settori comprendono i servizi tradizionalmente critici, come energia, trasporti, sanità e infrastrutture digitali. Ce ne sono però altri che sorprendono molte PMI: tra i “settori critici” dell’Allegato II del decreto ci sono servizi postali e di corriere, gestione dei rifiuti, sostanze chimiche, produzione e distribuzione di alimenti, e la fabbricazione di dispositivi medici, apparecchiature elettriche ed elettroniche, macchinari e mezzi di trasporto. Chi rientra viene classificato come soggetto essenziale o importante, con requisiti più stringenti per i primi. In linea generale, le grandi imprese dell’Allegato I sono essenziali, mentre le imprese di dimensione media dell’Allegato I e tutte le imprese dell’Allegato II sono importanti (D.Lgs. 138/2024, art. 6).
La tua PMI è obbligata? Tabella decisionale
L’obbligo diretto nasce da due condizioni: il settore e la dimensione. La terza voce, l’inserimento nell’elenco ACN, non crea l’obbligo ma fa decorrere i termini per adempiere.
| Criterio | Cosa verificare | Se la risposta è no |
|---|---|---|
| Settore | L’attività rientra in uno dei settori degli Allegati I e II del decreto? | Nessun obbligo diretto, salvo le eccezioni sotto |
| Dimensione | Almeno 50 dipendenti, oppure più di 10 milioni di euro sia di fatturato annuo sia di totale di bilancio | Nessun obbligo diretto, salvo eccezioni |
| Elenco ACN | L’azienda risulta registrata e ha ricevuto la comunicazione di inserimento nell’elenco dei soggetti NIS? | Se rientri per settore e dimensione, verifica subito la registrazione: l’obbligo esiste comunque |
Il decreto si applica ai soggetti degli Allegati I e II che superano i massimali delle piccole imprese della Raccomandazione 2003/361/CE (D.Lgs. 138/2024, art. 3, comma 2). In pratica basta un solo criterio: 50 dipendenti o più, oppure più di 10 milioni di euro sia di fatturato sia di totale di bilancio. Se l’azienda fa parte di un gruppo, in linea generale contano anche i dati delle imprese collegate (art. 3, comma 4). Alcune categorie rientrano a prescindere dalla dimensione, tra cui i fornitori di reti e servizi di comunicazione elettronica accessibili al pubblico, i prestatori di servizi fiduciari e i gestori dei nomi di dominio (art. 3, comma 5).
Un dettaglio che genera molta confusione: essere semplice fornitore di un’azienda NIS non fa scattare, da solo, l’obbligo diretto. Una PMI che non supera i criteri di settore e dimensione resta di norma fuori dall’ambito della norma anche se i suoi clienti ne fanno parte. Le eccezioni sono previste dall’art. 3 del decreto: ad esempio l’impresa collegata a un soggetto NIS che gestisce sistemi informativi da cui dipende il servizio di quest’ultimo, oppure un soggetto che l’ACN individua come elemento sistemico della catena di approvvigionamento (commi 9 e 10).
Le organizzazioni che rientrano devono inoltre registrarsi, o aggiornare la registrazione, sulla piattaforma NIS dell’ACN ogni anno dal 1° gennaio al 28 febbraio (D.Lgs. 138/2024, art. 7, ACN, ambito e registrazione). La mancata registrazione è un illecito amministrativo sanzionato (vedi più sotto). Se pensi di rientrare nei criteri e non ricordi di averlo fatto, è la prima cosa da chiarire con il tuo consulente legale o amministrativo.
Le scadenze: cosa vale per chi
Esistono due calendari distinti, a seconda di quando l’azienda è stata inserita nell’elenco. Dare una sola data a tutti è un errore frequente nelle sintesi che circolano online.
Per i soggetti inseriti nel 2025 il termine per le misure di sicurezza di base è di 18 mesi dalla ricezione della comunicazione di inserimento, quindi ottobre 2026 (ACN, modalità e specifiche di base). L’ACN non indica un giorno unico: la data esatta dipende da quando l’azienda ha ricevuto la comunicazione, che l’ACN ha iniziato a inviare il 12 aprile 2025 (ACN), tramite PEC (Cyber Security 360). Per questo, la cosa più sicura è controllare la data della propria comunicazione, senza fidarsi di un “31 ottobre” generico. Chi l’ha ricevuta ad aprile 2025 ha un termine che cade a metà ottobre 2026: se è già passato, recupera con le azioni 2, 5 e 6 del piano più sotto.
Per i soggetti inseriti nel 2026 i termini sono più lunghi: misure di base entro il 31 luglio 2027 e notifica degli incidenti dal 1° gennaio 2027 (ACN, FAQ misure di sicurezza e notifica).
Sugli incidenti significativi, per le comunicazioni ricevute nel 2025 il termine per iniziare a notificare è di nove mesi dalla comunicazione di inserimento (D.Lgs. 138/2024, art. 42): per le prime comunicazioni significa gennaio 2026, e dal 15 gennaio 2026 sono decadute le disposizioni transitorie (ACN, FAQ misure e notifica). Serve una pre-notifica entro 24 ore da quando si viene a conoscenza dell’incidente, una notifica entro 72 ore e una relazione finale entro un mese dalla notifica (art. 25).
Soggetto importante o essenziale: cosa cambia
La differenza si vede nel numero di requisiti. La Determinazione ACN 379907/2025 prevede 37 misure con 87 requisiti per i soggetti importanti e 43 misure con 116 requisiti per i soggetti essenziali (ACN, Scadenze NIS). La classificazione dipende dal settore e dalla dimensione, e si legge nella comunicazione ricevuta dall’ACN.
Le sanzioni seguono la stessa distinzione. Per i soggetti essenziali il massimo è di 10 milioni di euro o il 2% del fatturato mondiale annuo, per gli importanti di 7 milioni di euro o l’1,4%, in entrambi i casi il valore più alto (D.Lgs. 138/2024, art. 38, che recepisce l’art. 34 della direttiva). Sono tetti massimi, non importi automatici, e vengono graduati in base alla gravità della violazione. Il decreto fissa anche minimi edittali, pari a un ventesimo del massimo per gli essenziali e a un trentesimo per gli importanti (art. 38, comma 9). Per la mancata registrazione il massimo è lo 0,1% del fatturato mondiale per gli essenziali e lo 0,07% per gli importanti, e valgono i minimi edittali del comma 9. In caso di registrazione mancata o tardiva sono contestate anche le altre violazioni dei commi 8 e 10, con sanzione aumentata fino al triplo (art. 38, commi 11 e 13).
Se non sei obbligata ma sei fornitore di un cliente NIS
L’obbligo, in questo caso, passa per il contratto e non per la legge. La direttiva chiede ai soggetti NIS di gestire la sicurezza dei propri fornitori diretti (art. 21, par. 2, lett. d), e in pratica lo fanno con questionari, clausole contrattuali e richieste di evidenze (Agenda Digitale, supply chain nella NIS2). In Italia lo stesso principio è nell’art. 24, comma 2, lettera d del decreto. Le clausole tipiche descritte da Agenda Digitale riguardano notifica degli incidenti, livelli di servizio di sicurezza, diritto di audit e cooperazione in caso di attacco.
Quando arriva un questionario, conviene rispondere con fatti documentabili. Una buona base di risposta comprende:
- il nome del referente interno per la sicurezza informatica;
- una policy di sicurezza scritta, anche breve, approvata dalla direzione;
- la gestione degli accessi, con autenticazione a più fattori sui sistemi critici;
- i backup eseguiti e il test di ripristino più recente;
- una procedura che indichi in quanto tempo informerai il cliente in caso di incidente.
Evita invece di dichiararti “conforme NIS2” se non rientri nel perimetro della norma: descrivi le misure che hai adottato davvero. È una risposta più onesta e più facile da verificare per chi la riceve.
Sette azioni da avviare in 30 giorni
Valgono sia per chi è obbligata sia per chi è fornitore. Raggruppate per settimana, sono un piano di partenza per una PMI senza un reparto IT strutturato. I tempi dipendono dalla dimensione dell’azienda e dal punto da cui parti.
Settimana 1: capire la posizione
- Verifica la tua posizione. Controlla settore, dimensione e se hai ricevuto una comunicazione di inserimento dall’ACN. Se rientri, verifica anche la registrazione annuale sulla piattaforma. Documenta la data della comunicazione: da lì decorrono i termini.
- Nomina un referente interno. Una persona che risponde della sicurezza informatica, anche se il lavoro operativo è affidato a un fornitore esterno. Documenta nome e responsabilità in una riga scritta.
Settimana 2: mappare
- Mappa asset e servizi critici. Elenca server, applicativi, dati e sedi senza cui l’azienda si ferma, in un foglio condiviso.
- Censisci i fornitori critici. Connettività, software gestionali, cloud, assistenza: chi, per cosa, con quale contratto e con quale referente.
Settimana 3: prepararsi agli incidenti
- Scrivi un piano incidenti. Chi decide, chi chiama chi, e come si rispettano i tempi di 24 e 72 ore. Una pagina chiara vale più di un manuale mai letto: tienila stampata e accessibile anche a sistemi spenti.
- Testa backup e ripristino. Un backup mai ripristinato non è una garanzia: prova a recuperare un file e un sistema, e annota quanto tempo serve: è il dato che ti chiederanno clienti e autorità.
Settimana 4: coinvolgere le persone
- Forma direzione e personale. Il decreto attribuisce responsabilità specifiche agli organi di amministrazione e direttivi, che approvano le misure di gestione del rischio e ne sovrintendono l’attuazione (art. 23). Il decreto prevede che gli organi dirigenti seguano una formazione in materia e promuovano formazione periodica per i dipendenti (art. 23, comma 2). Se sei soggetto NIS, documenta chi ha partecipato e quando.
Dove entrano rete, firewall e continuità
Tra gli elementi minimi delle misure di sicurezza il decreto elenca la continuità operativa, compresa la gestione dei backup, e la sicurezza della catena di approvvigionamento (art. 24, comma 2). Insieme al controllo degli accessi, molte di queste aree passano dall’infrastruttura di rete: chi può entrare, cosa può raggiungere, che cosa succede se la linea cade. Sono i temi su cui un operatore di telecomunicazioni può essere utile, oltre alla parte documentale.
Un firewall next-gen gestito controlla gli accessi e aggiorna le regole nel tempo. Un backup LTE mantiene la connessione attiva se la linea principale si interrompe, e la segmentazione della rete limita i danni quando un dispositivo viene compromesso.
Nessun servizio, da solo, rende un’azienda “conforme NIS2”: la conformità riguarda anche processi, documenti e responsabilità interne. La rete è la parte tecnica su cui costruire il resto. Per il quadro generale dei rischi e delle difese, leggi la guida completa alla cyber security per PMI.
Domande frequenti
La mia PMI deve rispettare la NIS2?
Di norma solo se opera in uno dei settori degli Allegati I e II e raggiunge la soglia dimensionale. La soglia è di almeno 50 dipendenti, oppure più di 10 milioni di euro sia di fatturato sia di bilancio. L’inserimento nell’elenco dei soggetti NIS tenuto dall’ACN fa poi decorrere i termini. Esistono eccezioni a prescindere dalla dimensione (art. 3 del decreto), ad esempio per alcune imprese collegate a un soggetto NIS. Se non rientri, puoi comunque ricevere richieste di sicurezza dai clienti che sono obbligati.
Come verifico se sono nell’elenco NIS?
Controlla se hai ricevuto una comunicazione di inserimento dall’ACN e se risulti registrata sul Portale NIS. Se rientri per settore e dimensione e non risulti registrata, chiarisci subito la situazione. In caso di dubbio, chiedi conferma al tuo consulente legale o amministrativo: la data della comunicazione è anche il punto da cui decorrono i termini.
Cosa succede se un cliente mi chiede garanzie NIS2?
Non scatta un obbligo di legge a tuo carico, ma può nascere un obbligo contrattuale. Rispondi con misure concrete e documentate, senza dichiarare una conformità che non ti compete, e valuta le clausole su notifica incidenti e audit prima di firmare.
Qual è la differenza tra soggetto importante ed essenziale?
Dipende dal settore e dalla dimensione. I soggetti essenziali hanno più requisiti: 43 misure e 116 requisiti, contro 37 misure e 87. Hanno anche sanzioni massime più alte: fino a 10 milioni di euro o al 2% del fatturato, contro 7 milioni o 1,4%.
Conclusione
La NIS2 non obbliga tutte le PMI, ma può toccare anche aziende che non la applicano per legge, attraverso i contratti con i clienti obbligati. Il primo passo è chiarire la propria posizione: settore, dimensione, registrazione sul Portale NIS e data della comunicazione. Poi si procede con le sette azioni, nello stesso ordine in cui sono elencate.
Se vuoi capire quanto la tua rete è pronta rispetto a queste richieste, richiedi una valutazione della sicurezza della tua rete a Trenove, e scopri come il servizio di cyber security può supportarti.