Guida — NIS2
NIS2 per PMI: cosa fare, in pratica.
La direttiva europea NIS2, recepita in Italia con il D.Lgs. 138/2024, estende gli obblighi di cybersicurezza a migliaia di aziende — molte PMI comprese, anche solo come fornitori. Questa guida spiega chi rientra, cosa chiede davvero la norma e da dove cominciare, senza legalese.
Cos'è la NIS2, in due righe
È la direttiva UE sulla sicurezza delle reti e dei sistemi informativi (2022/2555), seconda versione. In Italia è legge dal 2024 e l'autorità di riferimento è l'ACN, l'Agenzia per la Cybersicurezza Nazionale. L'idea di fondo: la sicurezza informatica smette di essere una buona pratica volontaria e diventa un obbligo con responsabilità e sanzioni.
Chi rientra (più aziende di quanto pensi)
La norma distingue soggetti essenziali e importanti in una lunga lista di settori: energia, trasporti, sanità, acqua, infrastrutture digitali, pubblica amministrazione, ma anche manifattura di prodotti critici, alimentare, chimica, gestione rifiuti, servizi postali e digitali. Come regola generale rientrano le aziende da 50 dipendenti o 10 milioni di fatturato in su nei settori elencati — ma attenzione al punto che sfugge a molti: anche chi non rientra direttamente viene coinvolto come fornitore di un soggetto obbligato, perché la NIS2 impone di mettere in sicurezza la catena di fornitura.
Gli obblighi veri, senza legalese
Governance: la responsabilità è degli organi di gestione — il titolare o il CdA — che devono approvare le misure e formarsi. Non è delegabile in toto all'IT.
Misure tecniche e organizzative: analisi dei rischi, gestione degli incidenti, continuità operativa e backup, sicurezza della supply chain, crittografia, autenticazione a più fattori, formazione del personale.
Registrazione: i soggetti che rientrano devono registrarsi sul portale ACN nella finestra annuale prevista.
Notifica degli incidenti: preallarme entro 24 ore dall'incidente significativo, notifica completa entro 72 ore, relazione finale entro un mese.
Le sanzioni
Fino a 10 milioni di euro o il 2% del fatturato mondiale annuo per i soggetti essenziali, fino a 7 milioni o l'1,4% per i soggetti importanti. E c'è la responsabilità personale degli organi di gestione, fino all'incapacità temporanea a ricoprire ruoli dirigenziali nei casi più gravi. Il messaggio del legislatore è chiaro: non è un adempimento di facciata.
Checklist: 10 domande per capire dove sei
- 01Sai se la tua azienda rientra, direttamente o come fornitore di un soggetto obbligato?
- 02Hai un inventario aggiornato di sistemi, dispositivi e accessi?
- 03L'autenticazione a più fattori è attiva su email, VPN e sistemi critici?
- 04I backup seguono la regola 3-2-1 e hai mai provato un ripristino?
- 05Esiste un piano scritto per gestire un incidente (chi fa cosa, chi avvisa chi)?
- 06Sapresti notificare un incidente ad ACN entro 24 ore?
- 07Hai valutato la sicurezza dei tuoi fornitori critici (e loro la tua)?
- 08Il personale riceve formazione periodica su phishing e sicurezza?
- 09Gli aggiornamenti di sicurezza vengono applicati in modo sistematico?
- 10La direzione ha approvato formalmente le misure di sicurezza?
Da dove cominciare
Non dal panico e nemmeno da un faldone di policy: da una fotografia onesta. La nostra Diagnosi IT mappa infrastruttura, accessi, backup e fornitori e ti dice dove sei scoperto rispetto ai requisiti — gratis. Da lì, le misure si mettono in fila per priorità, con costi da PMI.
FAQ
Domande frequenti sulla NIS2
Siamo una PMI: la NIS2 ci riguarda davvero?+
Dipende da settore e dimensione, ma la via più comune è indiretta: se fornisci un soggetto obbligato, i requisiti di sicurezza ti arrivano via contratto. Verificarlo richiede poco e toglie il dubbio.
Cosa rischiamo concretamente se non facciamo nulla?+
Se rientri: sanzioni fino a milioni di euro e responsabilità personale della direzione. Se sei fornitore: la perdita di clienti obbligati, che sceglieranno partner in regola. In entrambi i casi, il rischio operativo di un incidente resta.
Quanto costa adeguarsi?+
Meno di quanto si tema, se si parte dalle priorità: molte misure NIS2 — MFA, backup verificati, formazione, gestione aggiornamenti — sono buona igiene IT che ripaga a prescindere. La diagnosi serve a stimare il percorso con i tuoi numeri.
Potete seguirci voi nell'adeguamento?+
Sì: gap analysis rispetto ai requisiti, piano per priorità e attuazione delle misure tecniche con il nostro Managed IT. Per gli aspetti puramente legali lavoriamo a fianco del tuo legale o ne suggeriamo uno.