NIS2 per le PMI italiane: chi è coinvolto, obblighi e passi da fare

La direttiva NIS2 (direttiva UE 2022/2555) è stata recepita in Italia con il decreto legislativo 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024. Riguarda i soggetti che operano in determinati settori e raggiungono almeno la dimensione di media impresa, oltre ad alcune categorie particolari a prescindere dalla dimensione. Chi rientra deve registrarsi sulla piattaforma dell'Agenzia per la Cybersicurezza Nazionale (ACN), adottare misure di gestione del rischio, notificare gli incidenti significativi e rendere responsabili gli organi di amministrazione. Per sapere se l'azienda è coinvolta, la verifica va fatta sul sito dell'ACN: questa guida spiega la logica e i passi, ma non sostituisce la consultazione delle fonti ufficiali.

Le scadenze operative sono state fissate dall'ACN con proprie comunicazioni e determinazioni: verifica sempre le date aggiornate sul sito ufficiale, perché le indicazioni riportate qui sono una sintesi e potrebbero essere state precisate.

Chi rientra: settori e dimensione

Il decreto distingue due elenchi di settori:

• Settori ad alta criticità (allegato I): per esempio energia, trasporti, settore bancario e infrastrutture dei mercati finanziari, sanità, acqua potabile e reflue, infrastrutture digitali, gestione dei servizi ICT tra imprese (B2B), pubblica amministrazione, spazio.
• Altri settori critici (allegato II): servizi postali e di corriere, gestione dei rifiuti, sostanze chimiche, alimentare, fabbricazione di determinati prodotti (dispositivi medici, elettronica, macchinari, veicoli), fornitori di servizi digitali come piattaforme e motori di ricerca, ricerca.

Per i soggetti privati la dimensione è un criterio chiave: in linea generale rientrano le imprese medie (almeno 50 occupati o fatturato annuo o totale di bilancio superiore a 10 milioni di euro) e le grandi. Alcune imprese più piccole rientrano comunque in casi specifici, per esempio fornitori di determinati servizi digitali o di reti e servizi di comunicazione elettronica. Le soglie si calcolano secondo la raccomandazione europea sulle PMI, con regole sulle imprese collegate e associate: non limitarti a contare i dipendenti della singola società.

I soggetti si classificano in essenziali e importanti. La differenza incide soprattutto sulla vigilanza e sulle sanzioni, mentre gli obblighi di fondo sono largamente comuni.

Se la tua azienda è piccola: l'effetto indiretto

Anche se non rientri direttamente, potresti essere coinvolto come fornitore di un soggetto NIS2. Le aziende regolamentate devono gestire il rischio della catena di fornitura e possono chiederti clausole contrattuali, questionari, evidenze di misure di sicurezza e notifica rapida degli incidenti. Prepararti con le misure di base è quindi utile anche a mantenere i clienti.

Gli obblighi principali

1. Registrazione sulla piattaforma ACN e aggiornamento periodico delle informazioni. Il primo periodo di registrazione ha avuto una scadenza fissata dall'ACN all'inizio del 2025; per i soggetti che rientrano ora o in futuro vale la procedura corrente indicata dall'ACN.
2. Governance: gli organi di amministrazione approvano le misure di gestione del rischio, ne supervisionano l'attuazione e seguono formazione specifica. La responsabilità non si può delegare del tutto al reparto IT.
3. Misure di gestione del rischio: analisi dei rischi, politiche di sicurezza, gestione degli incidenti, continuità operativa (backup e ripristino), sicurezza della catena di fornitura, sicurezza nell'acquisizione e sviluppo dei sistemi, valutazione dell'efficacia delle misure, igiene informatica e formazione, uso della crittografia, controllo degli accessi e autenticazione a più fattori.
4. Notifica degli incidenti significativi al CSIRT Italia con tempistiche scandite: preallarme entro 24 ore dalla conoscenza, notifica dell'incidente entro 72 ore, relazione finale entro un mese dalla notifica. L'ACN ha stabilito con proprie determinazioni da quando operano gli obblighi e le specifiche di dettaglio: controlla il calendario aggiornato.
5. Misure di sicurezza di base: l'ACN ha definito un insieme di misure minime con determinazioni successive, da attuare entro i termini fissati. Anche su questo punto serve consultare il sito ufficiale per le scadenze.

Sanzioni

Il decreto prevede sanzioni amministrative pecuniarie significative: per i soggetti essenziali fino a 10 milioni di euro o al 2 per cento del fatturato mondiale totale annuo, per i soggetti importanti fino a 7 milioni di euro o all'1,4 per cento, nei casi più gravi di violazione degli obblighi. Sono previste anche misure di vigilanza e la possibile responsabilità personale di chi ricopre ruoli di amministrazione. Gli importi sono massimi: la sanzione effettiva dipende da gravità e circostanze.

Un piano di adeguamento in sei passi

1. Verifica dell'ambito: settore, dimensione, imprese collegate. Se i dubbi persistono, consulta ACN o un legale.
2. Censimento: sistemi, servizi, dati, fornitori critici. Senza inventario non si valuta il rischio.
3. Analisi dei rischi e individuazione delle lacune rispetto alle misure richieste.
4. Piano di azione con priorità, responsabili, budget e scadenze approvati dal vertice.
5. Procedure documentate: gestione degli incidenti (vedi la guida sul piano di risposta agli incidenti), continuità, controllo degli accessi, gestione dei fornitori.
6. Verifica periodica con test, esercitazioni e revisione annuale.

Esempio illustrativo: un'azienda manifatturiera con 80 dipendenti in un settore dell'allegato II potrebbe rientrare come soggetto importante. Un primo passo realistico è avviare l'inventario e l'analisi dei rischi, introdurre l'autenticazione a più fattori, verificare i backup e preparare una procedura di notifica con un referente interno e uno sostituto.

Rapporto con GDPR e altre norme

NIS2 e GDPR si sovrappongono ma non coincidono: la NIS2 riguarda la sicurezza di reti e sistemi e la continuità dei servizi; il GDPR la protezione dei dati personali. Un incidente può far scattare entrambe le notifiche (al CSIRT Italia e al Garante), con tempi e destinatari diversi. Considera anche la legge 28 giugno 2024, n. 90, sulle disposizioni in materia di cybersicurezza, che interviene soprattutto su pubblica amministrazione e soggetti collegati, e il decreto legislativo 231/2001 per i reati informatici (articolo 24-bis).

Quando consultare un professionista

La qualificazione come soggetto essenziale o importante, il calcolo delle soglie dimensionali e l'interpretazione delle determinazioni dell'ACN sono questioni delicate: un legale esperto di diritto delle tecnologie e un consulente di sicurezza possono aiutare a impostare un percorso proporzionato.

Domande frequenti

La NIS2 è obbligatoria per tutte le PMI?

No. Riguarda i soggetti dei settori elencati che raggiungono almeno la dimensione di media impresa, e alcune categorie specifiche. Una microimpresa o piccola impresa di norma non rientra, salvo eccezioni.

Cosa devo fare se non ho ancora verificato se rientro?

Verifica quanto prima sul sito dell'ACN settore, dimensione e procedura di registrazione. Se rientri, segui le indicazioni sui termini di registrazione e di adempimento.

Devo notificare ogni incidente?

No, solo gli incidenti significativi, cioè quelli che causano o possono causare grave perturbazione operativa o perdite finanziarie, oppure danni a terzi. I criteri dettagliati sono stabiliti dall'ACN.

Un certificato ISO 27001 mi mette in regola?

Aiuta perché copre molte aree, ma non equivale automaticamente alla conformità: il perimetro e le misure vanno confrontati con quanto richiesto dal decreto e dalle determinazioni ACN.

Fonti ufficiali

• Agenzia per la Cybersicurezza Nazionale — piattaforma di registrazione, determinazioni, scadenze e FAQ NIS2.
• CSIRT Italia — canale di notifica degli incidenti.
• Normattiva — testo vigente del decreto legislativo 138/2024.
• EUR-Lex — testo della direttiva (UE) 2022/2555.