NIS2 per le PMI italiane: chi rientra davvero, cosa deve fare e le scadenze del 2026

In breve. La NIS2 riguarda oltre ventimila organizzazioni in Italia, individuate per settore e per dimensione. Quasi nessuna PMI è un soggetto essenziale: una media impresa, anche in un settore ad alta criticità, è un soggetto importante, e questo cambia tre cose concrete — deve attuare 37 misure per 87 requisiti invece di 43 per 116, rischia sanzioni fino a 7 milioni di euro o l’1,4% del fatturato invece di 10 milioni o il 2%, ed è sottoposta a vigilanza reattiva: l’ACN interviene dopo un incidente o una segnalazione, non con ispezioni programmate. La scadenza ancora aperta è il 31 ottobre 2026.

La distinzione che quasi tutti sbagliano

Il primo errore che si legge in giro è trattare la NIS2 come un blocco unico di obblighi identici per tutti. Non lo è. La direttiva divide i destinatari in due categorie, e la categoria dipende dal settore e dalla dimensione.

Per una PMI la conseguenza pratica è questa: la quasi totalità delle piccole e medie imprese soggette alla NIS2 è nella colonna di destra. Gli obblighi restano seri e le sanzioni pure, ma il carico documentale è inferiore di ventinove requisiti e nessuno verrà a bussare senza un motivo. Chi vi vende un percorso da soggetto essenziale vi sta vendendo lavoro che la legge non vi chiede.

Rientri o no? Tre domande in ordine

1. Il tuo settore è negli allegati?

La direttiva elenca diciotto settori in due allegati. Undici nell’Allegato I, i settori ad alta criticità:

• energia · trasporti · settore bancario · infrastrutture dei mercati finanziari · sanità
• acqua potabile · acque reflue · infrastrutture digitali
• gestione dei servizi TIC fra imprese · pubblica amministrazione · spazio

Sette nell’Allegato II, gli altri settori critici:

• servizi postali e di corriere · gestione dei rifiuti · prodotti chimici
• produzione e distribuzione di alimenti · fabbricazione
• fornitori di servizi digitali · ricerca

Se non compari in nessuno dei due, non sei soggetto NIS2 in via diretta. Puoi comunque esserlo di fatto: se sei fornitore di un soggetto NIS2, i suoi obblighi di sicurezza della catena di approvvigionamento diventano requisiti contrattuali tuoi. È il canale attraverso cui la direttiva raggiunge molte imprese che non compaiono in nessun elenco.

2. Superi le soglie dimensionali?

La soglia d’ingresso è quella della media impresa: almeno 50 dipendenti, oppure fatturato annuo o totale di bilancio superiore a 10 milioni di euro. Sotto queste soglie, in via ordinaria, si resta fuori.

3. Rientri comunque, a prescindere dalla dimensione?

Alcune categorie sono soggette qualunque sia la loro taglia, anche con cinque dipendenti: fornitori di reti pubbliche di comunicazione elettronica e di servizi di comunicazione accessibili al pubblico, gestori di DNS, registri dei nomi di dominio di primo livello, determinate pubbliche amministrazioni e i soggetti individuati come critici. Se sei in una di queste, la domanda 2 non ti riguarda.

La verifica definitiva non la fai da solo: la classificazione la determina l’ACN e te la notifica. Se hai ricevuto la notifica, il tuo percorso è già partito e le scadenze decorrono da quella data.

Cosa devi fare davvero

Gli obblighi si dividono in due famiglie: gli adempimenti verso l’autorità e le misure di sicurezza.

Verso l’ACN

• Registrazione sulla piattaforma e mantenimento dei dati, con aggiornamento annuale nella finestra 15 aprile – 31 maggio.
• Designazione del punto di contatto e di un sostituto, e del referente per il CSIRT Italia.
• Comunicazione dell’elenco dei fornitori rilevanti.
• Categorizzazione delle attività e dei servizi secondo il modello ACN.
• Notifica degli incidenti significativi: pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese.

Le misure di sicurezza

La determinazione ACN n. 164179 del 14 aprile 2025 traduce l’articolo 21 in specifiche verificabili. Per un soggetto importante sono 37 misure articolate in 87 requisiti, raccolti nell’Allegato 1. Coprono analisi dei rischi, gestione degli incidenti, continuità operativa, sicurezza della catena di approvvigionamento, sviluppo e manutenzione sicuri, valutazione dell’efficacia delle misure, igiene informatica e formazione, crittografia, sicurezza delle risorse umane e controllo degli accessi, autenticazione a più fattori e comunicazioni protette.

Il dettaglio misura per misura, con la traduzione in controlli e le evidenze da conservare, è nella guida all’articolo 21.

E il vertice

Gli organi di amministrazione approvano formalmente le misure, ne sorvegliano l’attuazione e sono tenuti a seguire una formazione in materia di cibersicurezza. La responsabilità è personale e fra le sanzioni accessorie figura l’incapacità a esercitare funzioni dirigenziali. In una PMI, dove l’organo amministrativo spesso coincide con la proprietà, questo è il punto che merita più attenzione e che più spesso viene rinviato.

Cosa invece non è obbligatorio

Attorno alla NIS2 si è formato un mercato che vende come obblighi di legge cose che la legge non chiede. Vale la pena essere espliciti, anche se qui vendiamo formazione.

• Non esiste un “NIS2 Officer” obbligatorio per legge. La norma impone di designare un punto di contatto con l’ACN e un referente CSIRT, e di registrarli. Non impone che siano una figura professionale dedicata, né che possiedano una certificazione. Il ruolo è utile e la formazione lo rende molto più efficace, ma nessuna certificazione è requisito di conformità.
• La certificazione ISO/IEC 27001 non è obbligatoria e non basta. Nessuna norma italiana le attribuisce una presunzione di conformità. È un’ottima base di partenza, non un lasciapassare: il confronto puntuale è in NIS2 e ISO 27001: differenze, sovrapposizioni e cosa la certificazione non copre.
• Non esiste un obbligo di crediti formativi annuali. La direttiva chiede formazione per gli organi di amministrazione e raccomanda igiene informatica e formazione per il personale. Non fissa un monte ore né un ciclo di aggiornamento obbligatorio.
• Non serve un fornitore accreditato. Non esiste un albo di consulenti abilitati alla NIS2. Puoi fare tutto internamente, se hai le competenze.

Il calendario

I termini derivano dalla notifica della classificazione: diciotto mesi per le misure di sicurezza, nove mesi per attivare la notifica degli incidenti. Per chi è in elenco dal 2025, i diciotto mesi cadono il 31 ottobre 2026. Da quella data l’ACN passa alla fase ispettiva.

Quattro mosse, in ordine di urgenza

1. Verifica la tua classificazione e le date che ti riguardano. Le scadenze non sono uguali per tutti: decorrono dalla notifica ricevuta. Se non sai quando è arrivata, quello è il primo documento da recuperare.
2. Cabla i tre orologi della notifica. 24 ore, 72 ore, un mese. Devono stare nel runbook, nella reperibilità e nei contratti con chi gestisce i sistemi per tuo conto. Una procedura che nessuno apre alle due di notte non è una misura.
3. Porta il vertice al tavolo, per iscritto. Approvazione documentata delle misure e formazione registrata degli amministratori. È l’adempimento più economico e il più frequentemente dimenticato, ed è quello che espone le persone.
4. Parti dagli 87 requisiti, non dai tuoi controlli. Prendi l’Allegato 1 e per ciascun requisito cerca l’evidenza corrispondente in ciò che già fai. Quello che resta senza evidenza è il piano di lavoro fino al 31 ottobre.

Domande frequenti