“Sono una piccola azienda, la NIS2 non mi riguarda.” È la frase che sentiamo più spesso. E nella maggior parte dei casi è sbagliata. La dimensione conta, ma non è l’unico criterio: tre situazioni tirano dentro anche chi si crede escluso. Qui trovi un albero decisionale in quattro passi per capirlo in cinque minuti.
In sintesi
- La NIS2 (D.Lgs. 138/2024) si applica ai soggetti degli Allegati I e II che superano le soglie della piccola impresa.
- Non basta guardare i dipendenti: rientri con ≥50 addetti oppure con fatturato e bilancio entrambi sopra i 10 milioni.
- Solo il 16% delle PMI italiane è “maturo” sulla sicurezza informatica (ACN, Cyber Index PMI 2025).
- La scadenza chiave per le misure di base è metà ottobre 2026 (18 mesi dalla comunicazione di inserimento: la data esatta dipende da quando l’hai ricevuta).
Perché questa verifica non è più rimandabile?
Nel 2025 quasi una PMI italiana su quattro ha subito una violazione informatica negli ultimi tre anni, con un livello medio di consapevolezza di 55 punti su 100, sotto la soglia di sufficienza fissata a 60 (ACN, Cyber Index PMI 2025). La NIS2 non è un adempimento astratto: chiede le stesse misure che ti proteggono davvero.
Il decreto è in vigore e la piattaforma ACN per la registrazione è attiva. Per i soggetti in elenco dal 2025 il termine per rendere operative le misure di sicurezza di base è caduto a metà ottobre 2026 (Determinazione ACN 379907/2025). Capire da che parte stai è il primo passo — e non richiede un consulente per la prima scrematura.
Il punto che quasi nessuno spiega: puoi essere “fuori” per dimensione e comunque ritrovarti obbligato, perché un tuo cliente soggetto alla NIS2 ti chiederà per contratto gli stessi requisiti. La conformità, di fatto, scende lungo la catena di fornitura.
Per il quadro d’insieme, leggi cosa cambia con la NIS2 nel 2026.
Come capisco se rientro? L’albero in 4 passi
La verifica dell’ambito NIS2 segue quattro passaggi in ordine preciso: settore (sei negli Allegati I o II?), casi speciali (rientri a prescindere dalla dimensione?), soglia dimensionale (superi i limiti della piccola impresa?) e classificazione (essenziale o importante?). Basta un “sì” al passo giusto per essere dentro. È un metodo sequenziale: si scende un passo alla volta e ci si ferma alla prima uscita che riguarda la propria azienda. La logica non è cumulativa a caso — ogni passo esclude o include, e l’ordine conta, perché un settore in ambito unito a un caso speciale ti include già prima di arrivare ai numeri di bilancio. Segui il diagramma dall’alto verso il basso.
Un “sì” al passo 1 e al passo 2, oppure al passo 1 e al passo 3, ti mette dentro. Se ti fermi a un “no” definitivo, salta comunque al capitolo sulla supply chain: potresti rientrare per via contrattuale. Vedi anche i 12 controlli di sicurezza da fare subito.
Quali settori? Allegato I e Allegato II
La NIS2 elenca 18 settori in due gruppi: 11 ad alta criticità (Allegato I) e 7 critici (Allegato II) del D.Lgs. 138/2024. Se la tua attività non compare in nessuno dei due, il passo 1 dell’albero si chiude con un “no” — fatta salva la catena di fornitura. Se invece è presente, prosegui.
Molti settori dell’Allegato II sono trasversali e tirano dentro aziende che non si pensano “critiche”: manifattura, alimentare, gestione dei rifiuti, servizi digitali. Un’azienda di produzione con 60 addetti è potenzialmente dentro; uno studio professionale, di solito no, a meno che non ricada in un servizio elencato o nella supply chain di un cliente in ambito.
| Allegato I — Alta criticità (essenziali) | Allegato II — Altri settori critici (importanti) |
|---|---|
| Energia · Trasporti · Settore bancario | Servizi postali e di corriere |
| Infrastrutture dei mercati finanziari | Gestione dei rifiuti |
| Sanità · Acqua potabile · Acque reflue | Sostanze chimiche |
| Infrastrutture digitali | Settore alimentare |
| Gestione dei servizi TIC (B2B) | Fabbricazione (manifattura) |
| Pubbliche amministrazioni · Spazio | Fornitori di servizi digitali · Ricerca |
Fonte: Allegati I e II, D.Lgs. 138/2024 (ACN). Approfondisci nell’area compliance e NIS2.
Perché la soglia dei dipendenti inganna?
Qui cade la maggior parte delle autovalutazioni. La NIS2 si applica ai soggetti che superano i massimali della piccola impresa della Raccomandazione UE 2003/361/CE: meno di 50 occupati e un fatturato o bilancio annuo non oltre 10 milioni di euro (Raccomandazione 2003/361/CE). Detta al contrario: sei dentro se hai almeno 50 dipendenti, oppure se fatturato e bilancio superano entrambi i 10 milioni.
Attenzione al caso che smonta il “sono piccolo”: un’azienda con 49 dipendenti ma 11 milioni di fatturato e 11 milioni di bilancio rientra comunque, perché i dati finanziari la spingono oltre la soglia della piccola impresa. Quando dipendenti e numeri finanziari cadono in categorie diverse, vale la classificazione più elevata.
La nostra esperienza: su decine di autovalutazioni viste sul campo, l’errore ricorrente è fermarsi al numero di dipendenti. È il motivo per cui aziende convinte di essere escluse si scoprono soggette solo dopo la richiesta di un cliente o di un revisore.
Sei davvero fuori? I 3 casi che ti includono
Anche con numeri da piccola impresa, tre situazioni ti riportano dentro il perimetro. Ignorarle è l’errore più costoso, perché arrivano quando meno te lo aspetti: da un contratto, da un settore speciale o da un obbligo di legge slegato dalla dimensione.
- La supply chain. Se fornisci un soggetto NIS2 (essenziale o importante), quel cliente ti gira i requisiti di sicurezza per contratto. Non è la legge a obbligarti direttamente, ma perdere la fornitura ha lo stesso effetto pratico.
- La soglia finanziaria. Come visto, fatturato e bilancio sopra i 10 milioni bastano a includerti anche sotto i 50 dipendenti.
- I casi “a prescindere dalla dimensione”. Alcuni soggetti rientrano sempre: fornitori di reti pubbliche di comunicazione elettronica, prestatori di servizi fiduciari, gestori di registri TLD e fornitori di servizi DNS, fornitori di servizi di registrazione dei nomi di dominio, pubbliche amministrazioni e Comuni con più di 100.000 abitanti (ACN).
Vale la pena rifare l’albero pensando anche ai tuoi clienti principali, non solo alla tua azienda. Il backup è già una misura di base: leggi perché il backup 3-2-1 è alla base delle misure NIS2.
Test di autovalutazione
Hai capito se rientri. E a che punto sei?
Cinque domande sul perimetro, dodici sulle misure dell’articolo 24. In cinque minuti ottieni il profilo, la scadenza che ti riguarda e l’elenco dei documenti che mancano. Nessun dato da lasciare.
Rientri nella NIS2: cosa fare adesso?
Se l’albero ti ha portato dentro, la sequenza è chiara: registrazione sulla piattaforma ACN, adozione delle misure di sicurezza di base, predisposizione della notifica incidenti. Solo il 32,2% delle imprese italiane con almeno 10 addetti utilizza sette o più delle undici misure di sicurezza censite (ISTAT, Imprese e ICT 2024). Il margine di lavoro, per la media delle PMI, è ampio.
Per chi è in elenco dal 2025 il termine è caduto a metà ottobre 2026: da lì le misure di base devono essere operative, con evidenze documentali, e ACN ne verifica il rispetto con un approccio graduale basato sul rischio (vedi cosa succede se non sei in regola). Chi è entrato in elenco nel 2026 ha tempo fino al 31 luglio 2027. Chi non ha ancora fatto la gap analysis dovrebbe partire adesso, cominciando dalle misure più esposte. Se rientri, mettiti in calendario anche le finestre che tornano ogni anno — registrazione, aggiornamento dei dati e categorizzazione dei servizi: le trovi tutte nello scadenzario NIS2.
Un dato di contesto sul perché conviene farlo sul serio: nel periodo luglio 2024–giugno 2025 l’agenzia europea ENISA ha analizzato 4.875 incidenti nell’Unione, con il phishing tra i vettori di accesso iniziale più diffusi (ENISA, Threat Landscape 2025). Le misure NIS2 nascono per fermare proprio questi attacchi. Vedi anche cosa succede se domani perdi tutti i dati.
Se rientri nel perimetro, il passo successivo sono gli obblighi veri e propri: li trovi nella guida completa alla NIS2 per PMI e studi professionali. E per la parte che scotta di più, cioè cosa fare quando un incidente è già in corso, c’è il runbook su come notificare un incidente al CSIRT Italia entro 24 e 72 ore. E se cerchi l’elenco delle difese da avere in casa, trovi le misure minime NIS2 misura per misura tradotte dagli Allegati ACN.
Come ti aiuta Aeon Lab con la NIS2
La verifica dell’ambito è solo il primo passo. L’adeguamento vero richiede competenze che una PMI senza IT interno raramente ha in casa. Con il nostro servizio di compliance e NIS2, come MSP/MSSP di Roma seguiamo l’intero percorso con un unico referente:
- Verifica dell’ambito e classificazione (essenziale/importante), con documentazione a supporto.
- Registrazione sulla piattaforma ACN e gestione delle scadenze.
- Misure di sicurezza di base (Allegati 1-2): backup, MFA, gestione accessi, segmentazione.
- Procedura di notifica incidenti 24h/72h pronta all’uso.
- Formazione del personale e monitoraggio continuo (NOC/SOC).
Presa in carico entro 4 ore lavorative, intervento on-site entro 24 ore su Roma e provincia.
Prenota una consulenza gratuita →
Domande frequenti
Uno studio professionale rientra nella NIS2?
Di norma no: gli studi legali e di commercialisti non sono elencati negli Allegati I o II. Possono però rientrare per via della supply chain, se forniscono un cliente soggetto alla NIS2, o se erogano un servizio digitale specifico compreso nel perimetro. La verifica va fatta caso per caso.
Con 40 dipendenti sono automaticamente escluso?
No. Sotto i 50 dipendenti resti fuori solo se anche fatturato o bilancio non superano i 10 milioni di euro. Se entrambi i valori finanziari superano quella soglia, rientri comunque. Contano insieme dipendenti, fatturato e bilancio, con la classificazione più elevata.
Che differenza c’è tra soggetto essenziale e importante?
Cambiano l’intensità della vigilanza e le sanzioni. In sintesi, le grandi imprese dei settori ad alta criticità (Allegato I) sono “essenziali”; gli altri soggetti in ambito sono “importanti”. Entrambe le categorie devono adottare misure di sicurezza e notificare gli incidenti, ma i controlli sugli essenziali sono più stringenti.
Cosa rischio se rientro e non mi adeguo?
Il D.Lgs. 138/2024 prevede sanzioni economiche e responsabilità in capo agli organi di gestione. Oltre alla sanzione, il rischio concreto resta l’incidente informatico: un fermo operativo o un furto di dati costa quasi sempre più dell’adeguamento. La conformità e la protezione, qui, coincidono.
Da dove comincio se non ho un reparto IT?
Parti dalla verifica dell’ambito con questo albero, poi passa a una fotografia delle misure già in essere. Un MSP può gestire registrazione ACN, misure di base e notifica incidenti al posto tuo, con un unico referente. È il percorso tipico per chi non ha competenze interne.
Cosa portarti a casa
La domanda “rientro nella NIS2?” ha una risposta più sfumata del semplice conteggio dei dipendenti. Ricapitolando:
- Controlla prima il settore (Allegati I e II), poi i casi speciali, infine la dimensione.
- La soglia dimensionale è ≥ 50 dipendenti oppure fatturato e bilancio entrambi sopra i 10 milioni.
- Supply chain, soglia finanziaria e casi speciali possono includerti anche se ti credi fuori.
- Se rientri, le misure di base andavano attuate entro metà ottobre 2026 (in elenco dal 2025) o vanno attuate entro il 31 luglio 2027 (in elenco dal 2026).
Hai un dubbio sul tuo caso specifico? È normale: i confini borderline esistono apposta. Leggi l’overview su cosa cambia con la NIS2 oppure scrivici per una verifica senza impegno.
Fonti
- ACN — La normativa NIS (Allegati I e II, D.Lgs. 138/2024): acn.gov.it
- ACN — Modalità e specifiche di base (Determinazione 379907/2025, scadenza metà ottobre 2026): acn.gov.it
- Raccomandazione della Commissione 2003/361/CE — EUR-Lex
- ISTAT, Imprese e ICT — Anno 2024: istat.it
- ACN — Rapporto Cyber Index PMI 2025 (Confindustria–Generali–PoliMi): acn.gov.it
- ENISA, Threat Landscape 2025: enisa.europa.eu