NIS2 per le PMI: chi è coinvolto e cosa fare entro ottobre 2026

Cos'è la NIS2

La NIS2 è la direttiva europea sulla sicurezza delle reti e dei sistemi informativi. In Italia è stata recepita con il D.Lgs. 138/2024 e l'autorità di riferimento è l'Agenzia per la Cybersicurezza Nazionale (ACN). L'obiettivo è garantire un livello comune di sicurezza informatica nei settori considerati essenziali o importanti per il Paese.

Chi è coinvolto

Rientrano direttamente nella NIS2, in linea generale, le medie e grandi imprese (a partire da 50 dipendenti o 10 milioni di euro di fatturato) che operano nei settori elencati dalla norma: energia, trasporti, sanità, infrastrutture digitali, servizi ICT gestiti, pubblica amministrazione, produzione, gestione dei rifiuti, servizi postali, alimentare e altri.

Il punto che molte PMI sottovalutano: la catena di fornitura

Anche se la tua azienda è piccola o non opera in un settore critico, potresti essere coinvolta come fornitore. I soggetti NIS2 devono infatti verificare la sicurezza della propria catena di approvvigionamento, e sempre più spesso chiedono ai fornitori garanzie concrete: backup, accessi protetti, gestione degli incidenti.

Le scadenze

• I soggetti inclusi si sono registrati sulla piattaforma dell'ACN e hanno ricevuto la comunicazione di inclusione.
• Entro ottobre 2026 devono completare l'adozione delle misure di sicurezza di base.
• L'obbligo di notifica degli incidenti significativi è già operativo.

Cosa prevedono le misure di base

• Analisi dei rischi e piano di trattamento.
• Autenticazione a più fattori (MFA) per gli accessi critici.
• Backup protetti e procedure di ripristino testate.
• Gestione delle vulnerabilità e degli aggiornamenti.
• Controllo degli accessi e inventario dei sistemi.
• Procedure di gestione e notifica degli incidenti.
• Formazione del personale e responsabilità degli organi di gestione.

Notifica degli incidenti

In caso di incidente significativo il soggetto NIS2 deve inviare all'ACN un preallarme entro 24 ore, una notifica entro 72 ore e una relazione finale entro un mese. Per rispettare questi tempi servono procedure e ruoli definiti prima che l'incidente accada.

Da dove partire: 4 passi concreti

NIS2 e fornitori: cosa potrebbero chiederti i tuoi clienti

Se lavori con aziende o enti soggetti alla NIS2, è probabile che ti arrivino questionari o clausole contrattuali sulla sicurezza. Le richieste più comuni riguardano:

• La presenza dell'autenticazione a più fattori sugli accessi.
• L'esistenza di backup protetti e di procedure di ripristino testate.
• La gestione degli aggiornamenti e delle vulnerabilità.
• Come vengono gestiti gli accessi di terzi ai sistemi.
• Chi contattare e in quanto tempo in caso di incidente.

Essere pronti a rispondere a queste domande non è solo un obbligo indiretto: è un vantaggio competitivo nelle gare e nei rapporti con i clienti più strutturati.

Le sanzioni

Per i soggetti inclusi, la NIS2 prevede sanzioni amministrative che possono arrivare a importi molto elevati (fino a 10 milioni di euro o al 2% del fatturato annuo mondiale per i soggetti essenziali, con soglie inferiori per quelli importanti), oltre a responsabilità degli organi di gestione. Il modo migliore per non preoccuparsene è lavorare con metodo sulle misure richieste.

Checklist rapida per iniziare

• Ho un inventario aggiornato di dispositivi, server e servizi cloud?
• Gli accessi importanti sono protetti con MFA?
• I backup sono separati dalla rete e li ho provati a ripristinare?
• Sistemi e software sono aggiornati, e so chi se ne occupa?
• Esiste una procedura scritta per gestire e segnalare un incidente?
• Il personale ha ricevuto una formazione di base su phishing e password?

Quanto tempo serve per adeguarsi

Dipende dal punto di partenza. Un'azienda che ha già backup verificati, MFA e un inventario aggiornato può completare le misure di base in poche settimane, lavorando soprattutto su procedure e documentazione. Chi parte da zero deve prevedere più tempo, affrontando prima gli interventi con il maggior impatto sulla sicurezza. In ogni caso conviene muoversi per tempo e procedere per priorità, invece di aspettare la scadenza.

Domande frequenti