Per anni la cybersecurity è stata considerata un problema delle grandi aziende. Con la direttiva NIS2 — recepita in Italia dal D.Lgs. 138/2024 — questo non è più vero: il 2026 è l'anno in cui migliaia di PMI passano dalla registrazione agli adempimenti concreti.

Cos'è la NIS2, in breve

La NIS2 è la direttiva europea che alza l'asticella della sicurezza informatica per le imprese, sostituendo la precedente NIS del 2016 ed estendendo il perimetro a diciotto settori considerati critici. In Italia l'autorità competente è l'Agenzia per la Cybersicurezza Nazionale (ACN), che gestisce il registro dei soggetti obbligati, definisce le misure tecniche e conduce le attività di controllo.

La novità più importante non è tecnica ma di responsabilità: la norma coinvolge direttamente l'organo di vertice dell'azienda, che risponde dell'adozione e della supervisione delle misure di sicurezza.

"La mia azienda è piccola, non mi riguarda": l'errore più comune

È l'equivoco che costa di più. Anche un'impresa che non rientra per dimensione o settore può essere coinvolta come fornitore di un soggetto obbligato. La NIS2 impone infatti alle aziende nel perimetro di valutare e monitorare la sicurezza della propria catena di fornitura.

In pratica, se fornisci servizi IT, logistici, di manutenzione o altri servizi critici a un'azienda soggetta alla direttiva, il tuo livello di sicurezza diventa parte della loro conformità. I clienti più grandi inizieranno a chiedere clausole contrattuali sulla sicurezza, documentazione tecnica e, in alcuni casi, audit periodici. Non adeguarsi non significa solo rischiare una sanzione: significa rischiare di uscire dai contratti con i grandi committenti.

Le scadenze da segnare in agenda

Il calendario italiano è scandito da tappe progressive gestite dall'ACN. Le date che contano di più per un'impresa già nel perimetro sono:

  • Obbligo di notifica degli incidenti al CSIRT Italia già operativo: gli eventi significativi vanno comunicati con tempi stringenti (pre-notifica entro 24 ore).
  • Finestra annuale di aggiornamento dei dati sul portale ACN — referenti, asset, servizi e, novità del 2026, l'elenco dei fornitori rilevanti.
  • 31 ottobre 2026: termine ultimo per l'implementazione completa e la piena operatività delle misure di sicurezza di base previste dalle determinazioni ACN, per i soggetti già in elenco dal 2025.

Per i soggetti inseriti per la prima volta nell'elenco nel 2026, l'ACN ha definito un calendario dedicato con scadenze distribuite tra la fine del 2026 e il 2027.

Il punto chiave

Una gap analysis richiede settimane, l'implementazione delle misure diversi mesi. Chi parte in prossimità della scadenza arriva quasi sempre in ritardo. Il vantaggio competitivo, oggi, è muoversi con anticipo.

Cosa chiede concretamente la norma

Al di là del linguaggio normativo, le misure di base ruotano attorno a pochi pilastri concreti che ogni PMI può indirizzare:

  • Autenticazione a più fattori (MFA) sugli accessi, in particolare quelli amministrativi.
  • Backup verificati, con test di ripristino periodici — un backup che non è mai stato testato non è un backup.
  • Gestione delle vulnerabilità con verifiche periodiche.
  • Un piano di risposta agli incidenti documentato, con ruoli e tempi di notifica definiti.
  • Valutazione e monitoraggio dei fornitori critici.

Le sanzioni (e il costo di non fare nulla)

Le sanzioni previste sono rilevanti — fino al 2% del fatturato annuo globale per i soggetti essenziali — ma non sono l'unico rischio. Un fermo dei sistemi, un attacco ransomware o l'esclusione da una filiera possono pesare sulla continuità aziendale molto più di una multa. Vale la pena leggere la NIS2 non come un costo, ma come l'occasione per mettere ordine in un'area spesso lasciata a fornitori scollegati.

Come affrontarla con metodo

Il percorso che consigliamo alle imprese che seguiamo è sempre lo stesso: capire se e come si rientra nel perimetro, fare una gap analysis onesta rispetto alle misure richieste, definire le priorità in base al rischio reale e implementare per fasi, documentando ogni passo. Non serve stravolgere l'infrastruttura in un colpo solo: serve un piano sostenibile e verificabile.

Questo articolo ha finalità divulgative e non costituisce consulenza legale o tecnica. Il quadro normativo NIS2 è in continua evoluzione: le scadenze e le misure applicabili vanno verificate rispetto alla situazione specifica dell'azienda e alle determinazioni ACN vigenti.