NIS2: cosa devono fare davvero le PMI italiane

La maggior parte delle piccole imprese italiane ha archiviato NIS2 come «roba per le grandi». È un errore che si scopre nel modo peggiore: non con una lettera dell'autorità, ma con un questionario di sicurezza mandato da un cliente importante, con la richiesta di rispondere entro due settimane.

Questa guida spiega chi rientra davvero nel perimetro, quali misure vanno attuate e per quando, e cosa succede a chi è formalmente fuori ma lavora per qualcuno che è dentro.

Cos'è NIS2, in due frasi

È la direttiva europea che alza il livello minimo di sicurezza informatica per i settori considerati critici, e che estende molto la platea rispetto alla precedente. L'Italia l'ha recepita con il decreto legislativo 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024, affidando all'Agenzia per la Cybersicurezza Nazionale il ruolo di autorità competente.

Non impone tecnologie specifiche. Impone di gestire il rischio, di notificare gli incidenti e di poter dimostrare di averlo fatto: è una direttiva su come si organizza la sicurezza, non su quale firewall comprare.

Le date, e quale conta adesso

Le due finestre di registrazione sul portale dell'Agenzia sono passate: la prima si è chiusa il 28 febbraio 2025, la seconda il 28 febbraio 2026. Chi doveva iscriversi e non l'ha fatto non è a posto per il fatto che il termine sia scaduto — è semplicemente in ritardo.

La scadenza che riguarda quasi tutti adesso è il 31 ottobre 2026: entro quella data le misure di sicurezza di base definite dall'Agenzia vanno attuate. Attuate, non dichiarate. È la differenza fra avere una procedura scritta e avere una procedura che qualcuno ha provato almeno una volta.

Le sanzioni arrivano fino al 2% del fatturato globale annuo. Per un'impresa da dieci milioni sono duecentomila euro, che è più di quanto costi mettersi in regola.

Rientrate? Il test ha tre righe, non una

La soglia dimensionale

In generale rientrano le imprese con almeno cinquanta dipendenti oppure dieci milioni di fatturato. È una soglia più bassa di quanto si creda, e molte PMI italiane la superano da anni senza averci mai fatto caso.

Il settore

La soglia vale se l'attività rientra fra i settori elencati dal decreto: energia, trasporti, sanità, acqua, infrastrutture digitali, pubblica amministrazione, spazio, poste, rifiuti, chimica, alimentare, manifatturiero, ricerca e servizi ICT. Alcuni soggetti rientrano a prescindere dalla dimensione.

La filiera — la riga che riguarda più aziende delle altre due

Chi rientra nel perimetro deve valutare la sicurezza della propria catena di fornitura. Significa che un'impresa da otto dipendenti che fornisce software, servizi o manutenzione a un ospedale o a una utility si troverà quelle richieste addosso per contratto, anche se il decreto non la nomina.

È il modo in cui NIS2 arriverà alla maggior parte delle PMI italiane: non dall'autorità, ma dal cliente più importante che chiede di compilare un questionario e allega una clausola nuova al rinnovo.

Quali misure servono, in concreto

Il decreto ragiona per obiettivi, non per prodotti. Tradotte in cose da fare, le misure di base si riducono a poche voci che nessuna impresa ha davvero il diritto di saltare.

1. 01Sapere cosa avete: un inventario di sistemi, applicazioni e dati, con un responsabile per ciascuno. Sembra banale ed è il punto in cui quasi tutti si accorgono di non saperlo.
2. 02Gestire gli accessi: chi entra dove, con autenticazione a più fattori almeno sugli accessi da remoto e sugli account amministrativi.
3. 03Fare i backup e provare i ripristini. Un backup mai ripristinato è un'ipotesi, non una misura.
4. 04Aggiornare: un processo che dice chi applica le patch, quando, e cosa si fa quando un sistema non è aggiornabile.
5. 05Sapere cosa fare quando succede: una procedura di gestione degli incidenti con i tempi di notifica, che per i soggetti nel perimetro sono stretti.
6. 06Valutare i fornitori: le stesse domande che il vostro cliente farà a voi, fatte a chi fornisce voi.
7. 07Formare le persone, dirigenti compresi. La responsabilità degli organi di gestione è esplicita nel decreto.

Cosa c'entra il software che usate

Buona parte di questi obblighi ricade su applicazioni che qualcuno ha costruito, e qui la differenza fra un sistema pensato bene e uno improvvisato diventa costosa.

• Il tracciamento degli accessi non si aggiunge dopo: o il gestionale registra chi ha aperto cosa, oppure non potete dimostrare niente.
• L'autenticazione a più fattori su un'applicazione vecchia è un intervento strutturale, non una spunta in un pannello.
• I backup vanno pensati con il ripristino in mente: sapere quanto tempo serve per tornare operativi è parte della misura, non un dettaglio tecnico.
• Se i dati stanno da un fornitore, le sue garanzie diventano le vostre. Vale la pena leggerle prima che ve le chieda un cliente.

Quando affrontiamo questi temi su un sistema esistente, l'ordine che funziona è quasi sempre lo stesso: prima si mappa cosa c'è, poi si mettono in sicurezza gli accessi, poi si sistemano i backup. Ne parliamo nella pagina sulle integrazioni e l'infrastruttura.

Da dove partire se non avete fatto niente

1. 01Verificate se rientrate, con tutte e tre le righe del test — dimensione, settore, filiera.
2. 02Se rientrate e non vi siete registrati, fatelo: il ritardo si sana, l'assenza no.
3. 03Fate l'inventario. È gratis, richiede una settimana e cambia il modo in cui vedete il problema.
4. 04Sistemate gli accessi amministrativi e quelli da remoto. È la misura con il rapporto migliore fra costo e rischio evitato.
5. 05Scrivete la procedura per gli incidenti prima di averne uno. Durante non si scrive niente.

Domande frequenti

Siamo dieci persone: NIS2 ci riguarda?

Per legge probabilmente no, a meno che non siate in un settore che rientra a prescindere dalla dimensione. Per contratto quasi certamente sì, se avete anche un solo cliente dentro il perimetro. La domanda utile non è «rientriamo», è «chi dei nostri clienti rientra».

Basta comprare un antivirus e un firewall?

No. NIS2 chiede un modo di gestire il rischio, non un elenco di prodotti. Un'azienda con ottimi strumenti e nessuna procedura è meno conforme di una con strumenti modesti e processi documentati.

Chi risponde in azienda?

Gli organi di gestione, esplicitamente. Non è una responsabilità che si delega al reparto informatico o al fornitore: si può delegare l'esecuzione, non la responsabilità.

Quanto costa mettersi in regola?

Dipende da dove si parte, ma la parte più costosa raramente è la tecnologia: è il tempo delle persone per mappare, scrivere e provare. Per una PMI che parte da zero si ragiona in settimane di lavoro interno più interventi mirati sui sistemi, non in un progetto monolitico.

In sintesi

NIS2 è già in vigore, le finestre di registrazione sono passate e la scadenza operativa è il 31 ottobre 2026. Il test per capire se vi riguarda ha tre righe e la terza — essere fornitore di qualcuno che rientra — è quella che coinvolge il maggior numero di piccole imprese italiane.

Se non sapete da che parte cominciare, il punto di partenza non è comprare qualcosa: è sapere cosa avete. Se volete farlo insieme, si parte da una conversazione.