“La NIS2 riguarda solo le grandi aziende.” È la frase che sentiamo più spesso. Ed è quella che oggi espone di più le PMI a sanzioni e blocchi operativi.

La direttiva europea NIS2, recepita in Italia con il D.Lgs. 138/2024, ha allargato di molto la platea delle aziende obbligate a proteggersi sul serio. Non solo multinazionali: anche piccole e medie imprese e studi professionali, spesso coinvolti come fornitori di un cliente più grande. Questa è la guida di riferimento: chi rientra, cosa devi fare, entro quando, e cosa rischi se non lo fai.

Cos’è la NIS2 e perché ora è un obbligo di legge?

La NIS2 è la direttiva europea (UE) 2022/2555 che rafforza la sicurezza di reti e sistemi informativi in tutta l’Unione. L’Italia l’ha recepita con il D.Lgs. 138/2024, in vigore dal 2024. Trasforma la cybersecurity da buona abitudine facoltativa a obbligo di legge per un’ampia platea di imprese.

Nella nostra esperienza di MSP sul territorio di Roma, l’equivoco più diffuso è proprio questo: molti titolari scoprono di essere coinvolti solo quando un cliente glielo chiede. A quel punto i tempi si fanno stretti.

Il motivo è nei numeri. Nel 2025 in Italia sono stati registrati 507 attacchi gravi, contro i 357 del 2024: un aumento del 42% in un anno (Clusit). E il bersaglio non sono più solo le grandi aziende: quasi una PMI su quattro ha subito una violazione negli ultimi tre anni (ACN, Cyber Index PMI 2025). Non è più un problema che riguarda “gli altri”.

A questo si aggiunge un ritardo strutturale. Solo il 32,2% delle imprese italiane con almeno 10 addetti applica sette o più misure di sicurezza su undici (ISTAT, Imprese e ICT 2024). La NIS2 nasce per colmare proprio questo divario, rendendo obbligatorio ciò che troppe aziende rimandavano.

La tua azienda rientra nella NIS2?

Dipende da due condizioni che devono valere insieme: operare in uno dei settori degli Allegati I o II del decreto, e superare le soglie dimensionali della media impresa. Ma c’è una terza via che spiazza molti: puoi rientrare anche come fornitore di un’azienda già soggetta alla NIS2.

Il decreto distingue due gruppi di settori. L’Allegato I raccoglie i settori ad alta criticità; l’Allegato II gli altri settori critici. Sono più ampi di quanto sembri.

Non basta il settore: servono anche le dimensioni. Le soglie seguono la classificazione europea delle imprese.

• Media impresa: almeno 50 addetti oppure fatturato annuo superiore a 10 milioni di euro.
• Grande impresa: almeno 250 addetti oppure fatturato superiore a 50 milioni di euro.

Attenzione: basta superare una sola delle due soglie (addetti o fatturato) perché scatti la dimensione. Micro e piccole imprese sono di norma escluse, salvo designazione specifica dell’autorità. Se hai un dubbio sul tuo caso, il modo più rapido per capirlo è seguire il nostro albero decisionale per la NIS2, che ti guida passo per passo.

Sei un soggetto “essenziale” o “importante”?

La classificazione nasce dalla combinazione di settore e dimensione, e cambia soprattutto l’intensità dei controlli e il massimale delle sanzioni. Un soggetto essenziale è, di norma, una grande impresa dei settori dell’Allegato I. Un soggetto importante è una media impresa di entrambi gli allegati, o una grande impresa dell’Allegato II.

La differenza pratica sta nella vigilanza.

Un punto va chiarito subito, perché genera confusione. Gli obblighi sostanziali sono gli stessi per le due categorie: identiche misure di sicurezza, identici obblighi di notifica. Cambiano solo il regime di controllo e i massimali. Fonte: ACN — FAQ NIS.

Conti anche se sei “solo” un fornitore?

Sì, ed è la parte che coglie impreparate più PMI e studi. La sicurezza della catena di fornitura è tra le misure obbligatorie: ogni soggetto NIS2 deve presidiare il rischio legato ai propri fornitori diretti. Di conseguenza, quel requisito ti arriva addosso per contratto anche se la NIS2 non ti si applica direttamente.

Il meccanismo è previsto dall’art. 24, comma 2, lettera d) del decreto. In pratica funziona così: il tuo cliente soggetto alla NIS2 deve dimostrare di gestire il rischio della sua filiera. Per farlo, chiede a te — suo fornitore — garanzie, questionari, clausole di sicurezza.

Il risultato è un effetto a cascata. Pensa a uno studio tecnico che serve un’azienda energetica, a una software house che fornisce la sanità, a un logista che lavora per la GDO. Tutti possono trovarsi a dover dimostrare misure di sicurezza: non perché obbligati in prima persona, ma perché parte di una filiera regolata.

Lo vediamo di continuo con studi professionali e piccole imprese fornitrici: ricevono un questionario di sicurezza dal committente e non sanno da dove partire. È la NIS2 che bussa, anche senza il loro nome nell’elenco ACN.

Quali misure di sicurezza devi adottare davvero?

Il decreto (art. 24) impone dieci categorie di misure di gestione del rischio, tecniche e organizzative. Non sono adempimenti burocratici: sono le stesse difese che riducono il rischio di ransomware, fermi e furti di dati. Molte coincidono con le buone pratiche che ogni azienda dovrebbe già avere.

Tradotte in azioni concrete, queste misure partono da poche fondamenta solide: un backup con la regola 3-2-1, l’autenticazione a due fattori su tutti gli accessi e un piano di disaster recovery. Per vedere a che punto sei, parti dalla nostra checklist di sicurezza in 12 controlli.

Come si notifica un incidente informatico?

Con la NIS2 non basta difendersi: devi anche accorgerti di un attacco significativo e segnalarlo al CSIRT Italia (presso l’ACN) entro tempi stretti. L’art. 25 del decreto fissa tre passaggi obbligatori, con scadenze precise che partono dal momento in cui vieni a conoscenza dell’incidente.

• Entro 24 ore — preallarme: una prima segnalazione, senza indebito ritardo, appena hai contezza dell’incidente.
• Entro 72 ore — notifica: la comunicazione vera e propria, con una valutazione iniziale di gravità e impatto.
• Entro 1 mese — relazione finale: causa dell’incidente, misure adottate ed eventuale impatto transfrontaliero.

Questo è il punto in cui la teoria incontra la realtà operativa. Quando affianchiamo una PMI, l’ostacolo non è quasi mai tecnologico: è organizzativo. Manca chi decide, nel pieno di un attacco, se un evento è “significativo” e va notificato entro 24 ore. Rispettare quel termine significa avere già oggi un monitoraggio attivo e una procedura pronta, non da improvvisare. È la ragione per cui molte PMI si affidano a un monitoraggio continuo NOC/SOC: senza qualcuno che vigila, l’incidente lo scopri troppo tardi per notificarlo nei termini.

Sanzioni NIS2: importi e responsabilità dei vertici

Le sanzioni della NIS2 sono pesanti e, soprattutto, colpiscono direttamente i vertici. Non si tratta più di una questione “da girare al tecnico”: la responsabilità arriva fino agli organi di amministrazione e di direzione, che approvano e vigilano sull’attuazione delle misure.

Si applica sempre l’importo maggiore tra la cifra fissa e la percentuale sul fatturato. A questo si aggiunge una sanzione accessoria che pesa più di tutte per un amministratore: l’interdizione temporanea dall’esercizio di funzioni dirigenziali, prevista per i soggetti essenziali. Base normativa: D.Lgs. 138/2024.

Vale la pena ribaltare la prospettiva. Il costo dell’adeguamento è quasi sempre inferiore a quello di un fermo operativo o di una sanzione. Conformità e protezione, qui, sono la stessa cosa.

Quali scadenze devi rispettare nel 2026?

La NIS2 non ha una singola “data X”, ma una sequenza di scadenze progressive. Alcune sono già passate, altre incombono. La più importante per chi è già in elenco è il 31 ottobre 2026.

• 1 gennaio – 28 febbraio 2025 — finestra ordinaria di registrazione sulla piattaforma ACN per i soggetti obbligati (già chiusa).
• 15 gennaio 2026 — diventano pienamente operativi gli obblighi di notifica degli incidenti di base per i soggetti dell’elenco NIS 2025 (Determinazione ACN 379907/2025).
• 31 ottobre 2026 — piena operatività delle misure di sicurezza di base, con evidenza documentale dimostrabile.
• Ogni anno (entro il 30 giugno) — aggiornamento degli elenchi e ricategorizzazione dei soggetti da parte dell’ACN.

Se la tua azienda è tra i soggetti già inseriti nell’elenco, il tempo per arrivare pronti al 31 ottobre è ormai misurabile in settimane di lavoro effettivo. Cominciare adesso significa farlo con calma; rimandare significa rincorrere.

NIS2 e GDPR: sono la stessa cosa?

No, ma si integrano e conviene affrontarli insieme. Il GDPR protegge i dati personali; la NIS2 protegge la sicurezza di reti e sistemi. Molte misure però coincidono — backup, controllo degli accessi, gestione degli incidenti — e trattarli come due mondi separati fa solo duplicare il lavoro.

C’è anche un punto di contatto operativo. Un attacco che blocca i sistemi (ambito NIS2) spesso comporta anche una violazione di dati personali (ambito GDPR), con il suo obbligo di notifica al Garante entro 72 ore. Una strategia unica ti fa gestire un solo incidente, non due adempimenti scollegati. Se vuoi partire dagli obblighi privacy, leggi la nostra guida sul GDPR per le piccole imprese.

Cosa conviene fare già oggi

Non serve un progetto faraonico. Serve iniziare dalle fondamenta, nell’ordine giusto. Ecco i primi passi concreti, dal più urgente.

1. Verifica l’ambito. Capisci se rientri — direttamente o come fornitore — con l’albero decisionale NIS2.
2. Fotografa lo stato attuale. Usa la checklist di sicurezza in 12 punti per vedere dove sei scoperto.
3. Metti in sicurezza le basi. Backup 3-2-1, MFA su tutti gli accessi, formazione anti-phishing.
4. Prepara la risposta agli incidenti. Definisci chi fa cosa e come notificare entro 24 e 72 ore.
5. Documenta tutto. La NIS2 chiede di dimostrare le misure, non solo di adottarle.

Come ti aiuta Aeon Lab

La NIS2 mette insieme due competenze che di solito stanno in fornitori diversi: quella normativa e quella tecnica. Un consulente legale ti spiega la norma ma non implementa le misure; un tecnico installa i sistemi ma non conosce gli obblighi. Come MSP/MSSP di Roma, uniamo le due parti sotto un unico referente.

Con il nostro servizio di compliance e NIS2 trasformiamo un obbligo complesso in un percorso chiaro: verifica dell’ambito e classificazione, gap analysis, implementazione delle misure di base, procedura di notifica incidenti e monitoraggio continuo NOC/SOC, fino all’allineamento con il GDPR. Presa in carico entro 4 ore lavorative, intervento on-site entro 24 ore su Roma e provincia.

Verifica gratuita del tuo ambito NIS2 →

Domande frequenti

La mia PMI rientra davvero nella NIS2?

Rientri se operi in un settore degli Allegati I o II e superi le soglie della media impresa (almeno 50 addetti oppure oltre 10 milioni di fatturato). Ma puoi essere coinvolto anche come fornitore di un soggetto NIS2. Il modo più rapido per verificarlo è l’albero decisionale.

Qual è la differenza tra soggetto essenziale e importante?

Gli obblighi di sicurezza sono identici. Cambiano la vigilanza — proattiva per gli essenziali, reattiva per gli importanti — e il massimale delle sanzioni: 10 milioni o 2% del fatturato per gli essenziali, 7 milioni o 1,4% per gli importanti.

Entro quando devo adeguarmi?

Per i soggetti già in elenco, la piena operatività delle misure di sicurezza di base è fissata al 31 ottobre 2026. Gli obblighi di notifica degli incidenti sono già operativi dal 15 gennaio 2026.

Cosa rischio se non mi adeguo?

Sanzioni fino a 10 milioni di euro o al 2% del fatturato mondiale, con responsabilità diretta degli organi di gestione e possibile interdizione temporanea dalle funzioni dirigenziali. Oltre al rischio concreto di un incidente non gestito.

NIS2 e GDPR posso gestirli insieme?

Sì, ed è la scelta più efficiente. Molte misure coincidono (backup, accessi, gestione incidenti) e un attacco informatico spesso è anche una violazione di dati personali. Una strategia unica evita di duplicare il lavoro.

Pubblicato il 31 luglio 2026 · Ultimo aggiornamento: 31 luglio 2026 · A cura del team di Aeon Lab, MSP/MSSP di Roma.

Fonti

• Normattiva — D.Lgs. 4 settembre 2024, n. 138 (recepimento NIS2): normattiva.it
• EUR-Lex — Direttiva (UE) 2022/2555 (NIS2): eur-lex.europa.eu
• ACN — FAQ NIS / Profili generali: acn.gov.it
• ACN — Modalità e specifiche di base (Determinazione 379907/2025): acn.gov.it
• ACN — Relazione annuale 2024: acn.gov.it
• ISTAT — Imprese e ICT, Anno 2024: istat.it
• ACN — Rapporto Cyber Index PMI 2025 (Confindustria–Generali–PoliMi): acn.gov.it
• Clusit — Rapporto Clusit 2026: clusit.it