NIS2 e cybersecurity: cosa cambia per le imprese italiane

La transizione digitale delle imprese italiane non si misura solo in cloud adottato o processi automatizzati: ogni sistema che va online diventa anche una superficie da difendere. È in questo spazio che si inserisce la Direttiva NIS2 (UE 2022/2555), recepita in Italia con il Decreto Legislativo 4 settembre 2024, n. 138, e affidata alla vigilanza dell’Agenzia per la Cybersicurezza Nazionale (ACN). Il 2026 è l’anno in cui la normativa smette di essere un adempimento sulla carta e comincia a produrre effetti concreti su migliaia di aziende.

Cos’è la NIS2 e perché riguarda anche le PMI

Rispetto alla precedente direttiva NIS del 2016, la NIS2 allarga in modo sostanziale il perimetro dei settori coinvolti: energia, trasporti, sanità, acqua potabile e acque reflue, infrastrutture digitali, pubblica amministrazione, spazio, servizi postali, gestione dei rifiuti, chimica, alimentare e diversi comparti manifatturieri, dai dispositivi medici ai mezzi di trasporto. Non si tratta più soltanto di grandi operatori di infrastrutture critiche: nei criteri dimensionali della norma rientrano anche molte imprese di medie dimensioni, comprese quelle che fino a ieri consideravano la sicurezza informatica un tema secondario rispetto ad altre priorità della loro digitalizzazione delle PMI.

Chi deve rispettare la NIS2: soggetti essenziali e importanti

Il decreto italiano distingue due categorie di destinatari: i soggetti essenziali e i soggetti importanti, individuati incrociando il settore di attività con soglie dimensionali legate a numero di dipendenti e fatturato. Nel 2025 si è chiuso il primo grande censimento previsto dal decreto: oltre 30.000 organizzazioni si sono registrate sulla piattaforma dell’ACN, e da queste comunicazioni è nato l’elenco dei soggetti NIS, che conta più di 20.000 realtà, di cui oltre 5.000 classificate come essenziali. Ogni anno, entro il 31 gennaio, le organizzazioni già censite devono confermare o aggiornare la propria classificazione.

Gli obblighi tecnici e organizzativi

Una volta inseriti nell’elenco, i soggetti essenziali e importanti devono adottare misure di gestione del rischio proporzionate al proprio profilo: analisi e trattamento del rischio informatico, procedure di gestione degli incidenti, piani di continuità operativa e disaster recovery, sicurezza della catena di fornitura, criteri di sicurezza nell’acquisizione e nello sviluppo dei sistemi, politiche di crittografia, controllo degli accessi e autenticazione a più fattori, oltre a percorsi di formazione interna sulla sicurezza informatica. È un impianto che, per molte imprese di medie dimensioni, richiede di formalizzare per la prima volta pratiche che magari già esistevano in modo informale, spesso appoggiandosi a fornitori esterni di infrastrutture – lo stesso perimetro di responsabilità condivisa descritto nell’articolo sul cloud per le imprese, dove si spiega quanto della sicurezza resti in capo all’azienda e quanto al fornitore del servizio.

Notifica degli incidenti: i tempi da rispettare

Uno degli elementi più operativi della NIS2 riguarda la tempistica di notifica in caso di incidente significativo: un preallarme entro 24 ore dalla scoperta dell’evento, una notifica più dettagliata entro 72 ore, e una relazione finale entro un mese. Sono finestre strette, pensate per permettere all’ACN e agli altri soggetti coinvolti di intervenire mentre l’incidente è ancora in corso, non a distanza di settimane. Per un’impresa che non ha mai gestito una procedura simile, significa dover predisporre in anticipo un processo interno chiaro – chi deve essere avvisato, con quali informazioni, attraverso quale canale – perché nel momento dell’emergenza non c’è tempo per improvvisarlo.

Sanzioni e vigilanza ACN

Il decreto 138/2024 prevede un regime sanzionatorio differenziato: fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per i soggetti essenziali, fino a 7 milioni o all’1,4% per quelli importanti, con l’importo più alto tra i due a fare testo. Il 2026 segna anche il passaggio dalla fase di accompagnamento a quella di controllo vero e proprio: da ottobre l’ACN può avviare attività ispettive nei confronti dei soggetti censiti, verificando non solo l’esistenza formale delle misure di sicurezza ma la loro effettiva applicazione.

Cosa significa per un’impresa oggi

Per un’azienda che rientra nel perimetro NIS2, il primo passo pratico resta capire con certezza in quale categoria si collochi, verificando i criteri settoriali e dimensionali indicati dal decreto: un errore di classificazione, in un senso o nell’altro, si traduce in obblighi mancati o in investimenti superflui. Il secondo passo è mappare le misure di sicurezza già in essere rispetto a quelle richieste, distinguendo cosa può essere gestito internamente e cosa richiede il coinvolgimento di fornitori specializzati – un esercizio che si intreccia spesso con le scelte più ampie di trasformazione digitale già intraprese dall’impresa, dal cloud alla gestione dei processi interni.

Domande frequenti