“Sono una piccola azienda, la NIS2 non mi riguarda.” È la frase che sentiamo più spesso. E nella maggior parte dei casi è sbagliata. La dimensione conta, ma non è l’unico criterio: tre situazioni tirano dentro anche chi si crede escluso. Qui trovi un albero decisionale in quattro passi per capirlo in cinque minuti.

In sintesi

• La NIS2 (D.Lgs. 138/2024) si applica ai soggetti degli Allegati I e II che superano le soglie della piccola impresa.
• Non basta guardare i dipendenti: rientri con ≥50 addetti oppure con fatturato e bilancio entrambi sopra i 10 milioni.
• Solo il 16% delle PMI italiane è “maturo” sulla sicurezza informatica (ACN, Cyber Index PMI 2025).
• La scadenza chiave per le misure di base è il 31 ottobre 2026.

Perché questa verifica non è più rimandabile?

Nel 2025 quasi una PMI italiana su quattro ha subito una violazione informatica negli ultimi tre anni, con un livello medio di consapevolezza di 55 punti su 100, sotto la soglia di sufficienza fissata a 60 (ACN, Cyber Index PMI 2025). La NIS2 non è un adempimento astratto: chiede le stesse misure che ti proteggono davvero.

Il tempo stringe. Il decreto è in vigore, la piattaforma ACN per la registrazione è attiva e, secondo la tempistica di attuazione definita da ACN, il 31 ottobre 2026 è la data entro cui i soggetti già in elenco devono rendere operative le misure di sicurezza di base (Determinazione ACN 379907/2025). Capire da che parte stai è il primo passo — e non richiede un consulente per la prima scrematura.

Il punto che quasi nessuno spiega: puoi essere “fuori” per dimensione e comunque ritrovarti obbligato, perché un tuo cliente soggetto alla NIS2 ti chiederà per contratto gli stessi requisiti. La conformità, di fatto, scende lungo la catena di fornitura.

Per il quadro d’insieme, leggi cosa cambia con la NIS2 nel 2026.

Come capisco se rientro? L’albero in 4 passi

La verifica dell’ambito NIS2 segue quattro passaggi in ordine preciso: settore (sei negli Allegati I o II?), casi speciali (rientri a prescindere dalla dimensione?), soglia dimensionale (superi i limiti della piccola impresa?) e classificazione (essenziale o importante?). Basta un “sì” al passo giusto per essere dentro. È un metodo sequenziale: si scende un passo alla volta e ci si ferma alla prima uscita che riguarda la propria azienda. La logica non è cumulativa a caso — ogni passo esclude o include, e l’ordine conta, perché un settore in ambito unito a un caso speciale ti include già prima di arrivare ai numeri di bilancio. Segui il diagramma dall’alto verso il basso.

Un “sì” al passo 1 e al passo 2, oppure al passo 1 e al passo 3, ti mette dentro. Se ti fermi a un “no” definitivo, salta comunque al capitolo sulla supply chain: potresti rientrare per via contrattuale. Vedi anche i 12 controlli di sicurezza da fare subito.

Quali settori? Allegato I e Allegato II

La NIS2 elenca 18 settori in due gruppi: 11 ad alta criticità (Allegato I) e 7 critici (Allegato II) del D.Lgs. 138/2024. Se la tua attività non compare in nessuno dei due, il passo 1 dell’albero si chiude con un “no” — fatta salva la catena di fornitura. Se invece è presente, prosegui.

Molti settori dell’Allegato II sono trasversali e tirano dentro aziende che non si pensano “critiche”: manifattura, alimentare, gestione dei rifiuti, servizi digitali. Un’azienda di produzione con 60 addetti è potenzialmente dentro; uno studio professionale, di solito no, a meno che non ricada in un servizio elencato o nella supply chain di un cliente in ambito.

Fonte: Allegati I e II, D.Lgs. 138/2024 (ACN). Approfondisci nell’area compliance e NIS2.

Perché la soglia dei dipendenti inganna?

Qui cade la maggior parte delle autovalutazioni. La NIS2 si applica ai soggetti che superano i massimali della piccola impresa della Raccomandazione UE 2003/361/CE: meno di 50 occupati e un fatturato o bilancio annuo non oltre 10 milioni di euro (Raccomandazione 2003/361/CE). Detta al contrario: sei dentro se hai almeno 50 dipendenti, oppure se fatturato e bilancio superano entrambi i 10 milioni.

Attenzione al caso che smonta il “sono piccolo”: un’azienda con 49 dipendenti ma 11 milioni di fatturato e 11 milioni di bilancio rientra comunque, perché i dati finanziari la spingono oltre la soglia della piccola impresa. Quando dipendenti e numeri finanziari cadono in categorie diverse, vale la classificazione più elevata.

La nostra esperienza: su decine di autovalutazioni viste sul campo, l’errore ricorrente è fermarsi al numero di dipendenti. È il motivo per cui aziende convinte di essere escluse si scoprono soggette solo dopo la richiesta di un cliente o di un revisore.

Sei davvero fuori? I 3 casi che ti includono

Anche con numeri da piccola impresa, tre situazioni ti riportano dentro il perimetro. Ignorarle è l’errore più costoso, perché arrivano quando meno te lo aspetti: da un contratto, da un settore speciale o da un obbligo di legge slegato dalla dimensione.

1. La supply chain. Se fornisci un soggetto NIS2 (essenziale o importante), quel cliente ti gira i requisiti di sicurezza per contratto. Non è la legge a obbligarti direttamente, ma perdere la fornitura ha lo stesso effetto pratico.
2. La soglia finanziaria. Come visto, fatturato e bilancio sopra i 10 milioni bastano a includerti anche sotto i 50 dipendenti.
3. I casi “a prescindere dalla dimensione”. Alcuni soggetti rientrano sempre: fornitori di reti pubbliche di comunicazione elettronica, prestatori di servizi fiduciari, gestori di registri TLD e fornitori di servizi DNS, fornitori di servizi di registrazione dei nomi di dominio, pubbliche amministrazioni e Comuni con più di 100.000 abitanti (ACN).

Vale la pena rifare l’albero pensando anche ai tuoi clienti principali, non solo alla tua azienda. Il backup è già una misura di base: leggi perché il backup 3-2-1 è alla base delle misure NIS2.

Rientri nella NIS2: cosa fare adesso?

Se l’albero ti ha portato dentro, la sequenza è chiara: registrazione sulla piattaforma ACN, adozione delle misure di sicurezza di base, predisposizione della notifica incidenti. Solo il 32,2% delle imprese italiane con almeno 10 addetti utilizza sette o più delle undici misure di sicurezza censite (ISTAT, Imprese e ICT 2024). Il margine di lavoro, per la media delle PMI, è ampio.

La data da segnare, secondo le scadenze indicate da ACN, è il 31 ottobre 2026: entro quel termine i soggetti già in elenco devono rendere operative le misure di base, con evidenze documentali. Da lì parte la fase di controllo. Non serve arrivarci di corsa: un’azienda che comincia adesso ha mesi per mettersi in ordine con calma.

Un dato di contesto sul perché conviene farlo sul serio: nel periodo luglio 2024–giugno 2025 l’agenzia europea ENISA ha analizzato 4.875 incidenti nell’Unione, con il phishing tra i vettori di accesso iniziale più diffusi (ENISA, Threat Landscape 2025). Le misure NIS2 nascono per fermare proprio questi attacchi. Vedi anche cosa succede se domani perdi tutti i dati.

Come ti aiuta Aeon Lab con la NIS2

La verifica dell’ambito è solo il primo passo. L’adeguamento vero richiede competenze che una PMI senza IT interno raramente ha in casa. Con il nostro servizio di compliance e NIS2, come MSP/MSSP di Roma seguiamo l’intero percorso con un unico referente:

• Verifica dell’ambito e classificazione (essenziale/importante), con documentazione a supporto.
• Registrazione sulla piattaforma ACN e gestione delle scadenze.
• Misure di sicurezza di base (Allegati 1-2): backup, MFA, gestione accessi, segmentazione.
• Procedura di notifica incidenti 24h/72h pronta all’uso.
• Formazione del personale e monitoraggio continuo (NOC/SOC).

Presa in carico entro 4 ore lavorative, intervento on-site entro 24 ore su Roma e provincia.

Prenota una consulenza gratuita →

Domande frequenti

Uno studio professionale rientra nella NIS2?

Di norma no: gli studi legali e di commercialisti non sono elencati negli Allegati I o II. Possono però rientrare per via della supply chain, se forniscono un cliente soggetto alla NIS2, o se erogano un servizio digitale specifico compreso nel perimetro. La verifica va fatta caso per caso.

Con 40 dipendenti sono automaticamente escluso?

No. Sotto i 50 dipendenti resti fuori solo se anche fatturato o bilancio non superano i 10 milioni di euro. Se entrambi i valori finanziari superano quella soglia, rientri comunque. Contano insieme dipendenti, fatturato e bilancio, con la classificazione più elevata.

Che differenza c’è tra soggetto essenziale e importante?

Cambiano l’intensità della vigilanza e le sanzioni. In sintesi, le grandi imprese dei settori ad alta criticità (Allegato I) sono “essenziali”; gli altri soggetti in ambito sono “importanti”. Entrambe le categorie devono adottare misure di sicurezza e notificare gli incidenti, ma i controlli sugli essenziali sono più stringenti.

Cosa rischio se rientro e non mi adeguo?

Il D.Lgs. 138/2024 prevede sanzioni economiche e responsabilità in capo agli organi di gestione. Oltre alla sanzione, il rischio concreto resta l’incidente informatico: un fermo operativo o un furto di dati costa quasi sempre più dell’adeguamento. La conformità e la protezione, qui, coincidono.

Da dove comincio se non ho un reparto IT?

Parti dalla verifica dell’ambito con questo albero, poi passa a una fotografia delle misure già in essere. Un MSP può gestire registrazione ACN, misure di base e notifica incidenti al posto tuo, con un unico referente. È il percorso tipico per chi non ha competenze interne.

Cosa portarti a casa

La domanda “rientro nella NIS2?” ha una risposta più sfumata del semplice conteggio dei dipendenti. Ricapitolando:

• Controlla prima il settore (Allegati I e II), poi i casi speciali, infine la dimensione.
• La soglia dimensionale è ≥ 50 dipendenti oppure fatturato e bilancio entrambi sopra i 10 milioni.
• Supply chain, soglia finanziaria e casi speciali possono includerti anche se ti credi fuori.
• Se rientri, la scadenza operativa per le misure di base è il 31 ottobre 2026.

Hai un dubbio sul tuo caso specifico? È normale: i confini borderline esistono apposta. Leggi l’overview su cosa cambia con la NIS2 oppure scrivici per una verifica senza impegno.

Fonti

• ACN — La normativa NIS (Allegati I e II, D.Lgs. 138/2024): acn.gov.it
• ACN — Modalità e specifiche di base (Determinazione 379907/2025, scadenza 31 ottobre 2026): acn.gov.it
• Raccomandazione della Commissione 2003/361/CE — EUR-Lex
• ISTAT, Imprese e ICT — Anno 2024: istat.it
• ACN — Rapporto Cyber Index PMI 2025 (Confindustria–Generali–PoliMi): acn.gov.it
• ENISA, Threat Landscape 2025: enisa.europa.eu