Per anni la cybersecurity è stata considerata un problema delle grandi aziende. Con la direttiva NIS2 — recepita in Italia dal D.Lgs. 138/2024 — questo non è più vero: il 2026 è l'anno in cui migliaia di PMI passano dalla registrazione agli adempimenti concreti.
Per le imprese entrate nell'elenco NIS nel 2025 il termine per le misure di sicurezza di base scade in queste settimane: sono 18 mesi dalla comunicazione di inserimento dell'ACN, e le prime comunicazioni sono partite ad aprile 2025. Scaduto il termine, le misure devono risultare adottate e documentate. Chi è entrato nell'elenco nel 2026 ha tempo fino a luglio 2027.
Cos'è la NIS2, in breve
La NIS2 è la direttiva europea che alza l'asticella della sicurezza informatica per le imprese, sostituendo la precedente NIS del 2016 ed estendendo il perimetro a diciotto settori considerati critici. In Italia l'autorità competente è l'Agenzia per la Cybersicurezza Nazionale (ACN), che gestisce il registro dei soggetti obbligati, definisce le misure tecniche e conduce le attività di controllo.
La novità più importante non è tecnica ma di responsabilità: la norma coinvolge direttamente l'organo di vertice dell'azienda, che risponde dell'adozione e della supervisione delle misure di sicurezza.
"La mia azienda è piccola, non mi riguarda": l'errore più comune
È l'equivoco che costa di più. Anche un'impresa che non rientra per dimensione o settore può essere coinvolta come fornitore di un soggetto obbligato. La NIS2 impone infatti alle aziende nel perimetro di valutare e monitorare la sicurezza della propria catena di fornitura.
In pratica, se fornisci servizi IT, logistici, di manutenzione o altri servizi critici a un'azienda soggetta alla direttiva, il tuo livello di sicurezza diventa parte della loro conformità. I clienti più grandi inizieranno a chiedere clausole contrattuali sulla sicurezza, documentazione tecnica e, in alcuni casi, audit periodici. Non adeguarsi non significa solo rischiare una sanzione: significa rischiare di uscire dai contratti con i grandi committenti.
Le scadenze da segnare in agenda
Il calendario italiano è scandito da tappe progressive gestite dall'ACN. Le date che contano di più per un'impresa già nel perimetro sono:
- Obbligo di notifica degli incidenti al CSIRT Italia già operativo: gli eventi significativi vanno comunicati con tempi stringenti (pre-notifica entro 24 ore).
- Finestra annuale di aggiornamento dei dati sul portale ACN — referenti, asset, servizi e, novità del 2026, l'elenco dei fornitori rilevanti.
- Misure di sicurezza di base, per i soggetti già in elenco dal 2025: vanno adottate entro 18 mesi dalla comunicazione di inserimento ricevuta dall'ACN. Per molte imprese il termine cade a ottobre 2026; la data esatta si ricava dalla propria comunicazione sul portale ACN.
Per i soggetti inseriti per la prima volta nell'elenco nel 2026 valgono i termini della determinazione ACN 127434 del 13 aprile 2026: referente CSIRT da designare entro la fine del 2026, notifica degli incidenti significativi dal 1° gennaio 2027, misure di sicurezza di base entro luglio 2027.
Una gap analysis richiede settimane, l'implementazione delle misure diversi mesi. Chi parte in prossimità della scadenza arriva quasi sempre in ritardo. Il vantaggio competitivo, oggi, è muoversi con anticipo.
Cosa chiede concretamente la norma
Le misure sono elencate nelle specifiche di base dell'ACN (determinazione 379907 del 19 dicembre 2025). Al di là del linguaggio normativo, ruotano attorno a pochi pilastri concreti che ogni PMI può indirizzare:
- Autenticazione a più fattori (MFA) sugli accessi, in particolare quelli amministrativi.
- Backup verificati, con test di ripristino periodici — un backup che non è mai stato testato non è un backup.
- Gestione delle vulnerabilità con verifiche periodiche.
- Un piano di risposta agli incidenti documentato, con ruoli e tempi di notifica definiti.
- Valutazione e monitoraggio dei fornitori critici.
Le sanzioni (e il costo di non fare nulla)
Le sanzioni previste dall'art. 38 del D.Lgs. 138/2024 sono rilevanti: per le violazioni più gravi i soggetti essenziali rischiano fino a 10 milioni di euro o al 2% del fatturato annuo mondiale, i soggetti importanti fino a 7 milioni di euro o all'1,4%, e si applica il più alto dei due importi. Ma non sono l'unico rischio. Un fermo dei sistemi, un attacco ransomware o l'esclusione da una filiera possono pesare sulla continuità aziendale molto più di una multa. Vale la pena leggere la NIS2 non come un costo, ma come l'occasione per mettere ordine in un'area spesso lasciata a fornitori scollegati.
Come affrontarla con metodo
Il percorso che consigliamo alle imprese che seguiamo è sempre lo stesso: capire se e come si rientra nel perimetro, fare una gap analysis onesta rispetto alle misure richieste, definire le priorità in base al rischio reale e implementare per fasi, documentando ogni passo. Non serve stravolgere l'infrastruttura in un colpo solo: serve un piano sostenibile e verificabile.
Dovete adeguarvi? Sulla pagina Adeguamento NIS2 trovate il calendario delle scadenze, le sei aree su cui vi verranno chieste le prove e la checklist in 18 punti da scaricare.
Per finanziare gli interventi c'è il Voucher Cloud & Cybersecurity: contributo fino al 50%, domande dal 10 novembre. E per capire a che punto sono le PMI italiane, leggete l'analisi del Cyber Index PMI 2025.
Questo articolo ha finalità divulgative e non costituisce consulenza legale o tecnica. Il quadro normativo NIS2 è in continua evoluzione: le scadenze e le misure applicabili vanno verificate rispetto alla situazione specifica dell'azienda e alle determinazioni ACN vigenti.
Testo redatto con l'ausilio di sistemi di intelligenza artificiale, a partire dalle fonti citate. La responsabilità editoriale dei contenuti è di Audacis S.r.l. Maggiori informazioni.