La direttiva NIS2 per PMI funziona così: se la tua azienda è una media o grande impresa in uno dei settori critici individuati dalla norma (energia, trasporti, sanità, digitale, alimentare, chimica, manifattura e altri), rientri direttamente nel perimetro degli obblighi. Se invece sei più piccolo ma fornisci prodotti o servizi a un soggetto obbligato, la NIS2 ti arriva per via contrattuale, attraverso i requisiti di sicurezza della supply chain. In entrambi i casi il tema non è rinviabile: la direttiva è stata recepita in Italia e l'Agenzia per la Cybersicurezza Nazionale (ACN) è l'autorità che ne coordina l'applicazione.
In questa guida vediamo cos'è la NIS2, quali settori coinvolge, come funziona l'effetto filiera sui fornitori, quali misure richiede in concreto e da dove iniziare un adeguamento sostenibile per una PMI. Senza allarmismi e senza liste della spesa: solo quello che serve per decidere i prossimi passi.
NIS2 per PMI: cos'è la direttiva e perché riguarda anche te
NIS2 sta per Network and Information Security 2 ed è la direttiva europea che aggiorna e amplia la prima direttiva NIS del 2016. L'obiettivo è alzare il livello di cybersicurezza di tutti i soggetti che erogano servizi essenziali o importanti per l'economia e la società: non solo le infrastrutture critiche classiche, ma una fascia molto più ampia di imprese private.
Rispetto alla prima NIS cambiano tre cose sostanziali:
- Perimetro più ampio: molti più settori coinvolti e soglia dimensionale che scende fino alle medie imprese
- Misure più concrete e verificabili: gestione del rischio documentata e obbligo di notifica degli incidenti significativi alle autorità
- Responsabilità del vertice: gli organi di amministrazione approvano le misure, si formano sul tema e ne rispondono in prima persona
Il terzo punto è quello che cambia davvero la conversazione nelle PMI: la cybersicurezza smette di essere un problema delegabile in toto all'IT e diventa un tema da riunione di direzione, con responsabilità che possono diventare personali.
In Italia la direttiva è stata recepita nell'ordinamento nazionale e l'ACN gestisce l'elenco dei soggetti obbligati, con finestre di registrazione periodiche e indicazioni operative. Per date, modalità e dettagli aggiornati vale una sola regola: fare riferimento al sito ufficiale ACN, non ai riassunti trovati sui social.
Chi riguarda la direttiva NIS2: settori e criteri dimensionali
Il perimetro NIS2 combina due criteri: il settore di attività e la dimensione dell'impresa. La norma distingue tra soggetti essenziali e soggetti importanti, con obblighi simili ma regimi di vigilanza e sanzioni diversi.
| Categoria | Settori tipici |
|---|---|
| Settori ad alta criticità | Energia, trasporti, banche e mercati finanziari, sanità, acqua potabile e acque reflue, infrastrutture digitali, gestione di servizi ICT, pubblica amministrazione, spazio |
| Altri settori critici | Servizi postali e corrieri, gestione dei rifiuti, chimica, produzione e distribuzione alimentare, manifattura (dispositivi medici, elettronica, macchinari, automotive), fornitori di servizi digitali, ricerca |
Sul fronte dimensionale, la regola generale è che rientrano le medie e grandi imprese dei settori elencati, secondo le definizioni europee di dimensione d'impresa. Esistono però eccezioni che prescindono dalla dimensione: alcuni fornitori di servizi particolarmente critici rientrano comunque, e gli Stati membri possono designare soggetti specifici. Tradotto: non basta dire "siamo piccoli" per considerarsi fuori. Se hai il dubbio, la verifica formale del perimetro va fatta sulle fonti ufficiali ACN o con chi le conosce bene.
L'effetto filiera: la NIS2 arriva anche a chi non è nel perimetro
Qui sta il punto che molte PMI sottovalutano. Tra le misure obbligatorie per i soggetti NIS2 c'è la sicurezza della catena di approvvigionamento: chi è nel perimetro deve valutare e gestire il rischio introdotto dai propri fornitori, inclusi quelli di servizi IT, logistica, manutenzione e componentistica.
Il risultato pratico è che gli obblighi si propagano per contratto. Se vendi software, servizi cloud, componenti o anche solo assistenza tecnica a un'azienda obbligata, prima o poi riceverai un questionario di sicurezza, una richiesta di certificazioni o clausole contrattuali su gestione degli incidenti, audit e continuità operativa. Chi non risponde, o risponde male, rischia di uscire dall'albo fornitori: per una PMI B2B questo è spesso un rischio più concreto e immediato della sanzione diretta.
C'è anche il rovescio della medaglia: chi si fa trovare pronto trasforma la NIS2 in un argomento commerciale. Poter rispondere a un questionario di sicurezza in pochi giorni, con procedure scritte e un penetration test recente da mostrare, è un vantaggio concreto mentre i concorrenti prendono tempo. Nei settori B2B regolamentati la sicurezza dimostrabile sta diventando un criterio di selezione dei fornitori, quasi quanto il prezzo.
Gli obblighi NIS2 per le aziende: le misure richieste in pratica
La direttiva non impone tecnologie specifiche: chiede un approccio di gestione del rischio "multirischio", proporzionato alla dimensione e all'esposizione dell'azienda. Le aree coperte, in termini generali, sono queste:
- Analisi e gestione del rischio: politiche di sicurezza documentate e valutazione periodica dei rischi sui sistemi informativi
- Gestione degli incidenti: capacità di rilevare, gestire e notificare alle autorità gli incidenti significativi nei tempi previsti
- Continuità operativa: backup testati, disaster recovery, gestione delle crisi
- Sicurezza della supply chain: valutazione dei fornitori e requisiti di sicurezza nei contratti
- Sviluppo e acquisizione sicuri: requisiti di sicurezza nel ciclo di vita di sistemi e software, gestione delle vulnerabilità
- Valutazione dell'efficacia: procedure per misurare se le misure funzionano davvero, tra audit e test tecnici
- Igiene informatica e formazione: pratiche di base per tutto il personale, inclusi gli organi direttivi
- Crittografia e controllo accessi: cifratura dove appropriato, autenticazione a più fattori, gestione di accessi e asset
Se questa lista ti sembra astratta, la traduzione operativa per una PMI è meno intimidatoria: sapere quali sistemi hai e chi vi accede; avere backup che qualcuno ha davvero provato a ripristinare; potersi accorgere di un incidente e sapere chi chiama chi; scrivere quattro procedure essenziali e formare le persone. Sono le stesse fondamenta che un percorso serio di sicurezza informatica costruisce a prescindere dalla NIS2 — la direttiva le rende semplicemente non più opzionali.
Sanzioni e responsabilità: cosa rischia chi ignora la NIS2
Le sanzioni esistono e non sono simboliche, ma il quadro dei rischi è più ampio della sola multa:
- Sanzioni amministrative commisurate al fatturato, con regimi diversi per soggetti essenziali e importanti
- Poteri di vigilanza: ispezioni, audit, richieste di informazioni, diffide con termini per rimediare
- Responsabilità del vertice: gli organi di amministrazione approvano le misure e ne rispondono, con possibili conseguenze personali nei casi gravi
- Rischio commerciale: esclusione dagli albi fornitori dei clienti obbligati, spesso il danno più rapido per una PMI
Per gli importi precisi e le modalità applicative nel contesto italiano il riferimento sono i testi ufficiali del recepimento e le indicazioni ACN: le cifre che circolano online sono spesso imprecise o riferite ad altri Paesi. E resta il rischio originario, quello per cui la NIS2 esiste: un ransomware che ferma la produzione per due settimane fa più danni di qualsiasi sanzione.
Adeguamento NIS2 per PMI: da dove iniziare
L'errore classico è partire dagli acquisti: un firewall nuovo, una suite di fascia alta, un corso scelto a caso. L'adeguamento NIS2 è prima di tutto un percorso organizzativo, e il punto di partenza giusto è capire dove sei. Il percorso sensato per una PMI ha questa forma:
- Verifica del perimetro — accerta se rientri come soggetto essenziale o importante, o se la NIS2 ti arriverà per filiera. Fonti ufficiali ACN alla mano, non sensazioni.
- Assessment iniziale — una gap analysis rispetto alle misure richieste: cosa hai già, cosa manca, cosa è critico. È il documento che trasforma l'ansia in una lista di lavori.
- Test sul campo — un penetration test fotografa la tua superficie d'attacco reale e dà priorità oggettive al piano. Se non ne hai mai commissionato uno, abbiamo scritto una guida al primo penetration test proprio per questo.
- Quick win — autenticazione a più fattori ovunque, backup con ripristino provato, aggiornamenti sistematici, formazione di base. Copre una quota sorprendente dei requisiti.
- Procedure e incident response — chi fa cosa quando succede qualcosa, come si notifica, chi comunica con clienti e autorità. Scritte, brevi, provate almeno una volta.
- Governance e miglioramento continuo — coinvolgimento della direzione, revisione annuale, audit periodici. La NIS2 non è un progetto che finisce: è un modo di lavorare.
Un percorso così, distribuito su mesi e con priorità chiare, è sostenibile anche per una PMI senza un reparto sicurezza interno. Come Software X affianchiamo le aziende esattamente su questa sequenza — assessment, penetration test, piano di adeguamento e implementazione — con un metodo descritto nel nostro processo di lavoro. Se vuoi capire come sei messo prima ancora di parlare di progetto, scrivici: la prima analisi del contesto è una conversazione, non un contratto.
La direttiva NIS2 si applica anche alle piccole imprese?
In generale il perimetro parte dalle medie imprese dei settori indicati, ma esistono eccezioni indipendenti dalla dimensione per servizi particolarmente critici. Inoltre molte piccole imprese la incontrano comunque come fornitori di soggetti obbligati. La verifica formale va fatta sulle fonti ufficiali ACN.
Serve la certificazione ISO 27001 per essere conformi alla NIS2?
No, la direttiva non impone una certificazione specifica. ISO 27001 copre molte delle misure richieste ed è spesso utile per dimostrare l'adeguamento ai clienti, ma resta una scelta, non un obbligo normativo.
Sono un fornitore: cosa faccio se un cliente mi chiede garanzie NIS2?
Rispondi al questionario in modo onesto, mappa i gap e presenta un piano di adeguamento con scadenze realistiche. Un fornitore che mostra un percorso credibile viene raramente escluso; uno che ignora la richiesta rischia il contratto.
Quanto costa l'adeguamento NIS2 per una PMI?
Dipende dal punto di partenza, dal settore e dalla complessità dei sistemi: si va da interventi principalmente organizzativi a progetti tecnici più ampi. Un assessment iniziale serve esattamente a quantificare il percorso prima di investire.