La Direttiva NIS2 (Network and Information Security 2) è entrata in vigore il 17 ottobre 2024 in tutta l'Unione Europea. L'Italia l'ha recepita con il D.Lgs. 138/2024, che introduce obblighi concreti per migliaia di aziende — comprese molte PMI che fino ad oggi non si erano mai preoccupate di cybersecurity in modo strutturato.
Il problema è che molti imprenditori non sanno ancora se rientrano nel campo di applicazione — e soprattutto non sanno cosa fare. Questo articolo risponde in modo pratico, senza tecnicismi inutili.
Le sanzioni per le aziende "essenziali" arrivano fino al 2% del fatturato mondiale annuo. Per le "importanti" fino all'1,4%. Non si tratta di cifre simboliche.
Cos'è la NIS2 e perché riguarda le PMI
La NIS2 è l'evoluzione della Direttiva NIS del 2016. La precedente versione copriva un numero ristretto di settori e operatori; la nuova estende significativamente il campo di applicazione, includendo settori ad alta criticità (energia, trasporti, banche, sanità, infrastrutture digitali) e altri settori critici (servizi postali, gestione dei rifiuti, produzione alimentare, fabbricazione, ricerca e altri).
Dove prima rientravano poche centinaia di grandi operatori, ora l'ENISA stima che in Europa siano coinvolte decine di migliaia di organizzazioni, incluse aziende di medie dimensioni che operano come fornitori o subappaltatori di settori critici.
"La NIS2 non è solo per le grandi aziende. È per chiunque faccia parte della catena del valore di un settore critico — anche come piccolo fornitore."
— ENISA, Guida all'implementazione NIS2, 2024Chi è soggetto alla direttiva
La direttiva distingue due categorie di soggetti:
| Categoria | Criteri dimensionali | Sanzione max | Status |
|---|---|---|---|
| Soggetti Essenziali | Grandi imprese (250+ dipendenti o €50M+ fatturato) nei settori ad alta criticità | €10M o 2% fatturato mondiale | Alta priorità |
| Soggetti Importanti | Medie imprese (50–249 dipendenti o €10–50M fatturato) nei settori critici | €7M o 1,4% fatturato mondiale | Media priorità |
| Esclusi (in generale) | Micro e piccole imprese (<50 dip. e <€10M fatturato), salvo eccezioni | — | Generalmente esclusi |
Gli obblighi concreti: cosa devi fare
La NIS2 impone misure tecniche e organizzative "adeguate e proporzionate". In pratica:
1. Gestione del rischio informatico
- Analisi del rischio documentata e aggiornata periodicamente
- Politiche di sicurezza delle informazioni scritte e applicate
- Gestione degli accessi privilegiati (chi può fare cosa sui sistemi)
- Protezione delle reti e dei sistemi informativi
2. Gestione degli incidenti e tempi di notifica
Pre-notifica all'ACN
Entro 24 ore dalla consapevolezza dell'incidente significativo, invia una pre-notifica all'Agenzia per la Cybersicurezza Nazionale. Non serve ancora la relazione completa.
Notifica completa all'ACN
Entro 72 ore una notifica più dettagliata con valutazione preliminare della gravità e dell'impatto stimato dell'incidente.
Relazione finale
Entro un mese, relazione completa con causa principale, misure di mitigazione adottate e impatto transfrontaliero (se presente).
3. Continuità operativa e backup
La direttiva richiede esplicitamente misure per garantire la continuità operativa, inclusi backup regolari, gestione delle crisi e ripristino di emergenza. Un piano di Disaster Recovery non è più solo una buona pratica — è un obbligo normativo.
4. Sicurezza della catena di approvvigionamento
Devi verificare e gestire i rischi di sicurezza anche nei tuoi fornitori e subappaltatori. Se fornisci servizi a un'organizzazione essenziale, quest'ultima potrebbe richiedere che tu dimostri la conformità NIS2 come condizione contrattuale.
Le sanzioni in caso di inadempienza
- Soggetti essenziali: fino a €10.000.000 o il 2% del fatturato mondiale annuo totale (si applica il maggiore)
- Soggetti importanti: fino a €7.000.000 o l'1,4% del fatturato mondiale annuo totale
Oltre alle sanzioni pecuniarie, la direttiva prevede la sospensione temporanea delle certificazioni, il divieto temporaneo per i dirigenti di ricoprire ruoli manageriali e obblighi di comunicazione pubblica dell'incidente.
Piano d'azione: da dove partire
Verifica se sei soggetto
Controlla il tuo settore (allegati I e II della direttiva) e le dimensioni aziendali. In caso di dubbio, registrati sulla piattaforma ACN.
Esegui un gap analysis
Confronta la tua situazione attuale con i requisiti. Le lacune più comuni: mancanza di piano risposta incidenti, backup non testati, gestione accessi inadeguata.
Prioritizza gli interventi
Inizia dalle misure che riducono il rischio reale: MFA su tutti gli account, backup immutabile, firewall configurato, piano base di risposta agli incidenti.
Documenta tutto
La NIS2 richiede evidenza delle misure adottate. Crea e mantieni documentazione delle politiche di sicurezza, risk assessment e sessioni di formazione.
Coinvolgi il management
La NIS2 responsabilizza esplicitamente gli organi di gestione. Il CDA deve approvare le misure e può essere ritenuto responsabile personalmente in caso di gravi violazioni.
Conclusione
La NIS2 rappresenta un cambiamento strutturale. Non è più un tema riservato ai grandi gruppi con team IT dedicati — è un obbligo normativo che tocca migliaia di PMI italiane.
La buona notizia è che la maggior parte degli adempimenti coincide con le best practice che ogni azienda dovrebbe già seguire: backup testati, accessi controllati, formazione del personale, piano di risposta agli incidenti. Se stai già facendo queste cose correttamente, il percorso verso la compliance è più breve di quanto pensi.