Guida NIS2 per PMI: chi rientra, cosa chiede la legge, da dove partire

La NIS2 è la Direttiva (UE) 2022/2555 sulla sicurezza delle reti e dei sistemi informativi, recepita in Italia con il D.Lgs. 138/2024: impone a migliaia di organizzazioni — molte delle quali PMI — obblighi concreti di gestione del rischio informatico, con responsabilità diretta degli organi di amministrazione. Questa guida spiega chi rientra, che cosa chiede davvero il decreto e da dove partire senza farsi travolgere.

Perché riguarda anche le PMI

Rispetto alla precedente direttiva NIS, la NIS2 allarga in modo deciso il perimetro: non parla più solo di grandi operatori di infrastrutture critiche, ma di un insieme molto più ampio di settori e di imprese di dimensioni medie. In più introduce un effetto a catena: anche chi non rientra direttamente può ricevere richieste di garanzie di sicurezza dai propri clienti soggetti NIS2, perché la sicurezza della catena di approvvigionamento è uno degli obblighi del decreto. In altre parole: la NIS2 ti può riguardare come soggetto obbligato oppure come fornitore di un soggetto obbligato.

Chi rientra nel D.Lgs. 138/2024

L’applicabilità dipende da due fattori combinati: il settore di attività e la dimensione dell’impresa. I settori interessati coprono ambiti ad alta criticità — come energia, trasporti, sanità, acqua, infrastrutture digitali, servizi ICT gestiti, pubblica amministrazione, spazio e settore bancario e finanziario — e altri settori critici, tra cui servizi postali, gestione dei rifiuti, chimica, agroalimentare, manifattura di determinate categorie di prodotti, fornitori di servizi digitali e ricerca. All’interno di questi settori, il decreto distingue tra soggetti essenziali e soggetti importanti, con regimi di vigilanza di intensità diversa ma obblighi di sicurezza sostanzialmente analoghi.

Il punto operativo per l’Italia è questo: è l’Agenzia per la Cybersicurezza Nazionale (ACN) a costituire e aggiornare l’elenco dei soggetti NIS. Le organizzazioni si registrano sul portale ACN, dichiarano le proprie attività e ricevono conferma dell’inserimento in elenco. Se hai ricevuto la comunicazione di inserimento, i dubbi sono finiti: sei dentro, e da quel momento decorrono gli obblighi e le relative scadenze.

Che cosa chiede il decreto, in concreto

Spogliato del linguaggio giuridico, il D.Lgs. 138/2024 chiede quattro cose.

1. Governance e responsabilità

Gli organi di amministrazione approvano le misure di gestione dei rischi, ne sorvegliano l’attuazione e ne rispondono. Devono inoltre formarsi sui temi della sicurezza informatica. Per le PMI questo è il cambio culturale più grande: la cybersicurezza smette di essere “una cosa dell’IT” e diventa una responsabilità del vertice, documentata. Vanno inoltre nominati i punti di contatto verso ACN: tre ruoli obbligatori da coprire formalmente, con recapiti aggiornati.

2. Misure di gestione del rischio

Il cuore tecnico dell’adempimento. Per l’Italia, la Determinazione ACN 379907/2025 ha tradotto gli obblighi in specifiche di base concrete: 16 ambiti per 43 misure, che spaziano dalla politica di sicurezza alla gestione degli incidenti, dalla continuità operativa e i backup alla sicurezza della catena di approvvigionamento, dal controllo degli accessi alla formazione del personale. Non è richiesta la perfezione: è richiesto un approccio basato sul rischio, proporzionato e documentato.

3. Notifica degli incidenti

Gli incidenti significativi vanno notificati al CSIRT Italia secondo tempi e modalità definiti dalla normativa. Per essere in grado di farlo servono due cose che non si improvvisano: una procedura interna che stabilisca chi valuta l’incidente e chi notifica, e la capacità tecnica di accorgersi che un incidente è avvenuto.

4. Prova documentale

Tutto quanto sopra deve essere dimostrabile: politiche approvate, registri aggiornati, evidenze delle attività svolte. In caso di controllo ACN, ciò che non è documentato, di fatto, non esiste.

Da dove partire: il percorso ragionevole per una PMI

L’errore tipico è partire dai documenti: scaricare venti modelli di politiche e riempirli. Il risultato è carta che non corrisponde alla realtà aziendale e che un controllo smonta in mezz’ora. Il percorso sensato è inverso: prima capire e misurare, poi decidere, infine documentare.

• Fotografa la situazione: quali servizi eroghi, su quali sistemi si appoggiano, da quali fornitori dipendono
• Nomina i responsabili: organo direttivo coinvolto, punti di contatto NIS2 formalizzati
• Autovalutati sulle 43 misure: per ciascuna, stato reale e lacune, senza abbellimenti
• Costruisci il piano: le lacune diventano un registro dei rischi e un piano di adeguamento con date e responsabili
• Documenta e approva: politiche e procedure che descrivono ciò che fai davvero, approvate dalla direzione
• Mantieni: cadenze, registri e riesami periodici, perché la conformità si dimostra nel tempo

Quanto è oneroso, davvero?

Meno di quanto temono in molti, a patto di essere metodici. Una parte delle 43 misure è probabilmente già coperta da ciò che l’azienda fa oggi (backup, antivirus, aggiornamenti): in quel caso il lavoro è documentare, non implementare. Un’altra parte richiede decisioni organizzative più che investimenti tecnologici: chi approva, chi verifica, con che frequenza. Gli investimenti veri e propri si concentrano di solito su pochi punti — autenticazione robusta, capacità di rilevare gli incidenti, gestione dei fornitori — e vanno pianificati con priorità basate sul rischio, non a catalogo.

Il fattore critico per una PMI non è il budget: è il tempo di calendario. Approvazioni formali, adeguamento dei contratti con i fornitori e registri che dimostrino continuità richiedono mesi, non settimane. Partire presto è la vera misura di risparmio.