Negli ultimi mesi la parola NIS2 è arrivata sulla scrivania di migliaia di imprenditori italiani, spesso sotto forma di una comunicazione dell’Agenzia per la Cybersicurezza Nazionale o di una richiesta del proprio commercialista. Per molte piccole e medie imprese si tratta di un obbligo nuovo, dai contorni poco chiari e con scadenze concrete. In questa guida spieghiamo in modo semplice cos’è la NIS2, quali aziende coinvolge, cosa impone di fare e perché conviene muoversi ora, senza aspettare i controlli.

Che cos’è la NIS2

La NIS2 è la Direttiva europea (UE) 2022/2555, pensata per alzare il livello di sicurezza informatica di tutta l’Unione. Sostituisce la precedente direttiva NIS del 2016 e amplia enormemente il numero di aziende coinvolte. In Italia è stata recepita con il Decreto Legislativo 4 settembre 2024, n. 138, entrato in vigore il 16 ottobre 2024.

L’autorità di riferimento è l’ACN, l’Agenzia per la Cybersicurezza Nazionale: gestisce le registrazioni delle aziende, riceve le notifiche degli incidenti tramite il CSIRT Italia, effettua le ispezioni e applica le sanzioni. In pratica, è il soggetto con cui l’azienda si interfaccia per tutto ciò che riguarda la NIS2.

Perché riguarda anche le PMI

Il cambiamento più importante rispetto al passato è proprio l’ampliamento del perimetro. Con la vecchia normativa erano coinvolte poche centinaia di grandi operatori. Con la NIS2 le organizzazioni interessate in Italia sono oltre 20.000, distribuite su 18 settori considerati critici: energia, trasporti, sanità, infrastrutture digitali, servizi postali, gestione dei rifiuti, alimentare, manifatturiero, servizi digitali e molti altri. La regola generale è dimensionale (la cosiddetta size-cap rule): rientrano di norma le medie e grandi imprese, cioè quelle con almeno 50 dipendenti e più di 10 milioni di euro di fatturato, che operano in uno dei settori indicati. Attenzione però: alcune categorie di aziende rientrano a prescindere dalle dimensioni. Ecco perché non basta ‘essere piccoli’ per considerarsi automaticamente esclusi: va verificato caso per caso.

Soggetti essenziali e soggetti importanti

La NIS2 distingue due categorie. I soggetti essenziali sono quelli più critici e sono sottoposti a una vigilanza proattiva, cioè a controlli anche in assenza di incidenti. I soggetti importanti sono sottoposti a una vigilanza reattiva, che scatta cioè in caso di segnalazione o incidente. Gli obblighi di sicurezza da rispettare sono in gran parte gli stessi: cambia soprattutto l’intensità dei controlli e il tetto massimo delle sanzioni.

Cosa devono fare le aziende

Gli adempimenti principali si possono riassumere in quattro blocchi.

• Registrarsi sulla piattaforma ACN, comunicando i dati dell’azienda, i settori di attività e nominando un punto di contatto per la sicurezza (con un sostituto). La registrazione va confermata o aggiornata ogni anno.
• Adottare misure di sicurezza adeguate e proporzionate al rischio: gestione del rischio, backup, continuità operativa, controllo degli accessi, autenticazione a più fattori, crittografia dove serve, sicurezza dei fornitori e formazione del personale.
• Notificare gli incidenti significativi al CSIRT Italia secondo tempistiche precise: un pre-allarme entro 24 ore, una notifica completa entro 72 ore e una relazione finale entro 30 giorni.
• Coinvolgere la direzione: gli organi di amministrazione devono approvare e sovrintendere le misure di sicurezza. La delega operativa è ammessa, ma la responsabilità resta in capo ai vertici aziendali.

Le scadenze da tenere d’occhio

Il decreto è già in vigore e la fase di registrazione è partita da fine 2024. La finestra di registrazione e conferma è annuale (di norma tra gennaio e febbraio). Da qui in avanti, il momento più delicato è l’autunno 2026: da ottobre l’ACN passa dalla fase di accompagnamento a quella di verifica vera e propria, con ispezioni e possibili contestazioni. Tradotto: il tempo per prepararsi con calma si sta esaurendo.

Cosa si rischia a non adeguarsi

Il regime sanzionatorio è severo. Per i soggetti essenziali le sanzioni possono arrivare fino a 10 milioni di euro o al 2% del fatturato mondiale annuo; per i soggetti importanti fino a 7 milioni o all’1,4%. Ma il vero elemento di novità è un altro: per la prima volta la responsabilità è anche personale degli amministratori, che nei casi più gravi possono essere temporaneamente sospesi dalle funzioni dirigenziali. La cybersicurezza smette di essere un problema ‘dell’ufficio IT’ e diventa una responsabilità del vertice aziendale.

Da dove cominciare

Il primo passo non è comprare tecnologia, ma capire dove si trova la propria azienda: se rientra nel perimetro, in quale categoria, e quali misure ha già e quali le mancano. Da questa fotografia iniziale nasce un percorso ordinato e sostenibile, che evita sia gli sprechi sia le brutte sorprese in caso di controllo.

In CyberCompany aiutiamo le PMI italiane a fare esattamente questo: una valutazione chiara del punto di partenza e un piano concreto per arrivare alla conformità, con il supporto legale dell’Avv. Maglio per la parte normativa e di certificazione. Il modo più veloce per iniziare è la nostra valutazione gratuita: poche domande, e ricevi un primo quadro della tua situazione rispetto alla NIS2.