NIS2 per le PMI: scadenze e conformità da ottobre 2026

28 ottobre 2026 · Andrea Torresi, Commercialista · 7 min lettura

Ottobre 2026 segna il passaggio dalla fase di accompagnamento alla piena operatività della NIS2 in Italia. Per le PMI coinvolte, le misure di sicurezza devono essere attive e l'ACN può avviare le verifiche ispettive. Ecco il calendario aggiornato e le azioni da completare.

Il calendario NIS2 per le PMI

Il D.Lgs. 138/2024, che recepisce la Direttiva (UE) 2022/2555 (NIS2), ha definito un percorso di adeguamento progressivo. Le tappe già superate e quelle in corso:

Quali PMI rientrano nel perimetro

Non tutte le PMI sono soggette alla NIS2. Il D.Lgs. 138/2024 individua due categorie di soggetti:

• Soggetti essenziali: operatori in settori critici come energia, trasporti, sanità, acqua potabile, infrastrutture digitali e spazio.
• Soggetti importanti: operatori in settori come servizi postali, gestione rifiuti, fabbricazione di dispositivi medici, produzione e distribuzione alimentare, fornitori di servizi digitali (marketplace, motori di ricerca, cloud computing).

Le PMI possono rientrare nel perimetro se operano in uno di questi settori, indipendentemente dalla dimensione. In particolare, i fornitori di servizi digitali (DNS, cloud, data center) sono soggetti anche se qualificati come piccole imprese. Il criterio determinante è il settore di attività, non la dimensione.

Le misure di sicurezza richieste

L'art. 24 del D.Lgs. 138/2024 richiede misure tecniche, operative e organizzative adeguate e proporzionate. La proporzionalità è un criterio esplicito: le misure devono tenere conto della dimensione dell'impresa, dell'esposizione ai rischi e della gravità degli impatti potenziali.

Le aree coperte includono:

1. Gestione dei rischi: analisi dei rischi per le reti e i sistemi informativi, aggiornata periodicamente.
2. Gestione degli incidenti: procedure di rilevamento, risposta e recupero, con capacità di notifica al CSIRT Italia entro le tempistiche previste (art. 25).
3. Continuità operativa: piani di backup, disaster recovery e gestione delle crisi.
4. Sicurezza della supply chain: valutazione dei rischi legati ai fornitori diretti e ai prestatori di servizi.
5. Sicurezza nell'acquisizione e sviluppo di sistemi: gestione delle vulnerabilità e aggiornamenti.
6. Formazione: programmi di consapevolezza sulla cybersecurity per tutto il personale.
7. Crittografia: politiche e procedure per l'uso della crittografia, ove appropriato.
8. Controllo accessi e gestione risorse: politiche di autenticazione e gestione degli asset IT.

La governance: responsabilità degli organi direttivi

L'art. 23 del D.Lgs. 138/2024 attribuisce responsabilità diretta agli organi di amministrazione e direzione. Non si tratta più di una delega esclusiva alla funzione IT:

• Gli organi di amministrazione devono approvare le misure di gestione dei rischi.
• Devono sovrintendere alla loro attuazione.
• Possono essere ritenuti responsabili in caso di violazioni.
• Devono seguire una formazione specifica in materia di cybersecurity.

Notifica degli incidenti: come funziona

Dal 15 gennaio 2026 è pienamente operativo l'obbligo di notifica degli incidenti significativi al CSIRT Italia (Determinazione ACN 379907/2025). La procedura si articola in tre fasi:

1. Pre-notifica: entro 24 ore dall'individuazione dell'incidente significativo.
2. Notifica completa: entro 72 ore, con una valutazione iniziale della gravità e dell'impatto.
3. Relazione finale: entro un mese dalla notifica, con descrizione dettagliata, causa principale e misure di mitigazione adottate.

Sanzioni

Il quadro sanzionatorio è significativo:

• Soggetti essenziali: fino a 10 milioni di euro o il 2% del fatturato mondiale annuo.
• Soggetti importanti: fino a 7 milioni di euro o l'1,4% del fatturato mondiale annuo.

L'ACN può inoltre disporre la sospensione temporanea delle autorizzazioni o delle certificazioni dell'impresa.

Cosa fare adesso: checklist operativa

1. Verificare l'ambito: controllare se l'impresa rientra nei settori degli Allegati I e II del D.Lgs. 138/2024, o se è fornitrice di soggetti in perimetro.
2. Completare la registrazione: se non ancora fatto, registrarsi sulla piattaforma ACN (il termine era il 28 febbraio 2025, ma la registrazione resta accessibile).
3. Analisi dei rischi: condurre o aggiornare l'analisi dei rischi sulle reti e i sistemi informativi.
4. Policy di sicurezza: adottare o aggiornare le policy di gestione incidenti, backup, controllo accessi e formazione.
5. Formazione CdA: programmare la formazione obbligatoria per gli organi direttivi.
6. Procedura di notifica: predisporre la procedura interna per la notifica degli incidenti al CSIRT Italia nelle tempistiche previste.
7. Audit fornitori: valutare i rischi di cybersecurity legati ai fornitori critici.

Questo articolo è redatto con il supporto di strumenti di intelligenza artificiale (AI Act, Reg. UE 2024/1689, art. 50). Titolare del trattamento: Andrea Torresi, Torresi & Associati S.r.l., Corso Umberto I° 161, 62012 Civitanova Marche (MC).