NIS2 e PMI: obblighi di cybersecurity in vigore da ottobre 2026

Ottobre 2026 segna una svolta per la sicurezza informatica delle imprese italiane. Il Decreto Legislativo 138 del 4 settembre 2024, che recepisce la Direttiva europea NIS2 (UE 2022/2555), impone alle organizzazioni in perimetro di adottare misure di sicurezza di base, istituire organi di governance dedicati e prepararsi alle verifiche dell'Agenzia per la Cybersicurezza Nazionale (ACN). Non si tratta più di buone pratiche consigliate: sono obblighi di legge con sanzioni che arrivano fino a 10 milioni di euro.

In questo articolo spieghiamo cosa cambia, chi è coinvolto, quali sono le scadenze e come una PMI può mettersi in regola.

1. Cos'è la Direttiva NIS2 e perché riguarda le PMI

La Direttiva NIS2 (Network and Information Security) sostituisce la prima Direttiva NIS del 2016 e amplia in modo significativo il perimetro dei soggetti obbligati. L'Italia l'ha recepita con il D.Lgs. 138/2024, pubblicato in Gazzetta Ufficiale il 1° ottobre 2024 ed entrato in vigore il 16 ottobre 2024.

Il decreto individua due categorie di soggetti:

• Soggetti essenziali — infrastrutture critiche, energia, trasporti, sanità, acqua, finanza, pubblica amministrazione centrale
• Soggetti importanti — manifattura, alimentare, gestione rifiuti, servizi postali, fornitori di servizi digitali, ricerca

L'elenco dei soggetti NIS individuati dall'ACN comprende oltre 20.000 organizzazioni, di cui più di 5.000 classificate come soggetti essenziali. La soglia dimensionale di partenza è la media impresa (50+ dipendenti o 10+ milioni di fatturato), ma il decreto prevede eccezioni che possono includere anche imprese più piccole, soprattutto nella filiera di soggetti in perimetro.

L'effetto filiera sulle PMI

Anche una PMI che non rientra direttamente nei criteri dimensionali può essere coinvolta se è fornitore o sub-fornitore di un soggetto essenziale o importante. La NIS2 impone ai soggetti in perimetro di gestire la sicurezza della propria catena di approvvigionamento, il che si traduce in requisiti contrattuali verso i fornitori. Se la vostra azienda fornisce servizi IT, manutenzione software, hosting o consulenza a un'organizzazione in scope, aspettatevi richieste di adeguamento.

2. Il calendario degli adempimenti

Il D.Lgs. 138/2024 prevede un'attuazione graduale. Ecco le scadenze principali:

Già scadute

• 28 febbraio 2025 — Registrazione sulla piattaforma ACN con designazione di un punto di contatto
• 31 maggio 2025 — Prima comunicazione annuale delle informazioni (da ripetere ogni anno)
• 14 aprile 2025 — Determinazione ACN n. 164179: definizione delle misure di sicurezza di base e dei criteri di notifica degli incidenti

In scadenza adesso — ottobre 2026

• Ottobre 2026 — Termine ultimo per l'adozione delle misure di sicurezza di base definite dall'ACN
• Ottobre 2026 — Obbligo di istituire organi direttivi dedicati alla sicurezza informatica (artt. 23, 24 e 29 del Decreto NIS)
• Da ottobre 2026 — L'ACN può avviare verifiche e audit sui soggetti in perimetro

3. Cosa sono le “misure di sicurezza di base”

La determinazione ACN del 14 aprile 2025 dettaglia le misure minime che ogni soggetto in perimetro deve adottare. Si tratta di requisiti proporzionati alla dimensione dell'organizzazione, ma comunque sostanziali:

• Analisi dei rischi — Valutazione periodica delle minacce e delle vulnerabilità dei sistemi informativi
• Gestione degli incidenti — Procedure documentate per la rilevazione, la risposta e il ripristino
• Continuità operativa — Piani di backup, disaster recovery e gestione delle crisi
• Sicurezza della catena di approvvigionamento — Valutazione dei fornitori e requisiti contrattuali di sicurezza
• Igiene informatica di base — Aggiornamento dei sistemi, gestione delle credenziali, autenticazione a più fattori
• Formazione — Programmi periodici di sensibilizzazione del personale sulla sicurezza informatica

Per le PMI coinvolte, queste misure non richiedono necessariamente investimenti enormi: molte si basano su processi organizzativi e strumenti già disponibili. Il punto critico è documentarle e mantenerle aggiornate.

4. Notifica degli incidenti: le tempistiche

Il regime di notifica è già operativo. In caso di incidente significativo (violazione di dati, interruzione di servizio, attacco ransomware con impatto operativo), i soggetti in perimetro devono:

1. Entro 24 ore dalla rilevazione — inviare una notifica iniziale al CSIRT Italia
2. Entro 72 ore — fornire un report dettagliato con analisi delle cause, impatto e misure adottate

Il CSIRT Italia (Computer Security Incident Response Team), incardinato nell'ACN, è il punto di ricezione di tutte le notifiche. La mancata notifica o il ritardo nella comunicazione sono essi stessi una violazione sanzionabile.

5. Le sanzioni

L'impianto sanzionatorio del D.Lgs. 138/2024 è allineato al GDPR per severità:

• Soggetti essenziali: fino a 10 milioni di euro o il 2% del fatturato mondiale annuo (il maggiore tra i due)
• Soggetti importanti: fino a 7 milioni di euro o l'1,4% del fatturato mondiale annuo

Un elemento di novità rispetto al passato: la normativa prevede la responsabilità personale dei vertici aziendali. Amministratori e dirigenti che non adottano le misure di governance previste dagli artt. 23 e 24 del decreto possono essere chiamati a rispondere direttamente.

6. Cosa fare adesso: una roadmap pratica

Passo 1: Verificare se si rientra nel perimetro

Controllare gli allegati I-IV del D.Lgs. 138/2024 per verificare se l'attività rientra nei settori coperti. Se la vostra impresa fornisce beni o servizi a soggetti in perimetro, verificare anche le clausole contrattuali in essere.

Passo 2: Gap analysis sulle misure di base

Confrontare lo stato attuale della sicurezza informatica aziendale con le misure definite dalla determinazione ACN del 14 aprile 2025. Identificare le lacune prioritarie.

Passo 3: Governance

Istituire (o formalizzare) un organo o un referente interno per la sicurezza informatica, con compiti e responsabilità documentate. Questo è uno degli obblighi in scadenza a ottobre 2026.

Passo 4: Piano di gestione degli incidenti

Predisporre una procedura interna per la rilevazione, la classificazione, la risposta e la notifica degli incidenti entro le tempistiche previste (24h + 72h).

Passo 5: Formazione del personale

Avviare un programma di formazione periodica. Il fattore umano resta la principale porta di ingresso per gli attacchi informatici: phishing, credenziali deboli, allegati malevoli.

Il ruolo della digitalizzazione

La NIS2 non è solo un costo di compliance: è un'occasione per strutturare la sicurezza informatica come parte della strategia digitale dell'impresa. Strumenti come il monitoraggio automatizzato delle vulnerabilità, i backup in cloud, l'autenticazione a più fattori e la formazione online sono soluzioni accessibili anche per le PMI, e producono benefici che vanno oltre il rispetto della norma.

L'importante è partire adesso: le verifiche ACN possono iniziare da questo mese.

Nota: le norme citate sono vigenti al 27 ottobre 2026. Per l'applicazione al caso specifico è necessaria una valutazione professionale.

Contenuto redatto con il supporto di strumenti di intelligenza artificiale, verificato e approvato da Andrea Torresi. Ai sensi dell'Art. 50 Reg. UE 2024/1689.