Scopri come adeguarti alla normativa NIS2 con il nostro piano d'azione step-by-step
Panoramica in 20 secondi
La normativa NIS2, recepita in Italia con il decreto legislativo 138 del 2024, rappresenta una sfida importante per le PMI italiane, perché estende gli obblighi di cybersecurity a molti più settori rispetto alla prima direttiva NIS. Per capire se la tua azienda è soggetta alla normativa devi valutare alcuni fattori chiave.
Il primo è il settore: energia, trasporti, sanità, acque, infrastrutture digitali, gestione rifiuti, produzione alimentare, chimica, dispositivi medici, manifattura di elettronica e macchinari, servizi postali e digitali rientrano tra gli ambiti coperti. Il secondo è la dimensione: se hai più di 50 dipendenti oppure un fatturato annuo superiore a 10 milioni di euro, e operi in uno dei settori elencati, è molto probabile che tu rientri nel perimetro.
Il terzo è la categoria di appartenenza, essenziale o importante, che determina l'intensità della vigilanza e l'entità delle sanzioni. Per i soggetti essenziali le multe arrivano fino a 10 milioni di euro o al 2 per cento del fatturato mondiale.
Questa valutazione iniziale è la base per capire quali misure di sicurezza dovrai implementare e con quale priorità.
Il self-assessment, cioè l'autovalutazione scritta della tua posizione rispetto alla norma, è il passaggio operativo con cui trasformi questa valutazione in evidenze concrete. Conviene rispondere per iscritto ad alcune domande precise: in quale settore opero e con quale codice ATECO?
Quanti dipendenti ho e qual è il fatturato annuo consolidato? Fornisco servizi a soggetti essenziali o importanti, entrando quindi nella loro catena di fornitura? La mia azienda si è registrata sul portale dell'Agenzia per la Cybersicurezza Nazionale entro le scadenze previste?
Rispondere con dati verificabili, e non a memoria, evita l'errore più frequente che si osserva nelle PMI: presumere di essere fuori perimetro perché nessuno ha mai notificato nulla. La direttiva funziona al contrario, è l'azienda che deve autoclassificarsi e registrarsi.
Un self-assessment ben fatto richiede in genere una o due giornate di lavoro tra direzione e responsabile IT. Il risultato è un documento che indica se sei soggetto diretto, soggetto indiretto tramite clienti che ti chiedono garanzie contrattuali, oppure realmente fuori ambito. Da questo esito dipendono il budget, le tempistiche e la profondità del piano di adeguamento.
Dopo il self-assessment arriva la gap analysis tecnica, cioè il confronto puntuale tra le misure di sicurezza che la NIS2 richiede e quelle realmente in essere nella tua azienda. L'articolo 21 della direttiva elenca le aree da coprire: gestione dei rischi, gestione degli incidenti, continuità operativa e backup, sicurezza della catena di fornitura, sicurezza nell'acquisizione e sviluppo dei sistemi, cifratura, controllo degli accessi, autenticazione a più fattori e formazione del personale.
Per ciascuna area la gap analysis assegna uno stato: assente, parziale o conforme, con una stima dello sforzo necessario per colmare la distanza. Nella pratica delle PMI italiane emergono quasi sempre gli stessi vuoti: backup mai testati con un ripristino reale, assenza di autenticazione a più fattori sugli accessi amministrativi, nessuna procedura scritta di gestione degli incidenti e fornitori IT mai valutati sotto il profilo della sicurezza.
Il risultato della gap analysis è una lista di interventi ordinata per rischio e per costo, che diventa la spina dorsale del piano d'azione e permette di discutere con la direzione numeri concreti invece di principi astratti.
Raccontaci il processo in mezz'ora e ti diciamo cosa si automatizza per primo, con i numeri della tua azienda.
Una volta completati self-assessment e gap analysis, devi trasformare gli esiti in un piano d'azione con responsabili, scadenze e budget. Un piano credibile per una PMI si sviluppa in genere su sei-dodici mesi e procede per priorità di rischio.
Prima vengono le misure che riducono la probabilità di un incidente grave: autenticazione a più fattori, segmentazione della rete (cioè dividerla in zone separate, così un attacco non si propaga ovunque), backup verificati e aggiornamento dei sistemi esposti su internet. Poi arrivano le misure organizzative, come le procedure di gestione degli incidenti con i tempi di notifica richiesti dalla norma: 24 ore per il preallarme e 72 ore per la notifica dettagliata.
Infine la parte documentale e la formazione ricorrente del personale. Ogni intervento del piano deve avere un responsabile interno, anche quando l'esecuzione è affidata a un fornitore esterno.
La responsabilità verso l'organo di gestione non è delegabile: la NIS2 prevede infatti che gli amministratori approvino le misure e rispondano personalmente delle omissioni. Un buon piano include anche momenti di verifica trimestrali, in cui si misura l'avanzamento e si riallocano le risorse sugli interventi rimasti indietro.
Nella costruzione del piano devi considerare con realismo costi e tempi, che dipendono dalla dimensione dell'azienda, dal settore e dal livello di partenza. Per un'azienda intorno ai 50 dipendenti con un'infrastruttura IT ordinata, l'adeguamento complessivo si colloca tipicamente tra 15.000 e 30.000 euro nel primo anno, tra tecnologie, consulenza e formazione.
Per una realtà da 100 dipendenti con sistemi più articolati la forbice sale tra 30.000 e 60.000 euro. A questi importi va aggiunto un costo ricorrente annuo, in genere tra il 20 e il 30 per cento dell'investimento iniziale, per monitoraggio, aggiornamenti e audit periodici.
I tempi medi osservati nelle PMI italiane vanno dai quattro ai nove mesi, con la parte tecnica che procede più rapidamente di quella organizzativa: scrivere e far vivere davvero una procedura di gestione degli incidenti richiede più iterazioni dell'installazione di un sistema di monitoraggio. Pianificare per fasi permette anche di distribuire la spesa su due esercizi di bilancio e di sfruttare eventuali incentivi per l'innovazione digitale disponibili nel 2026.
Per evitare gli errori più comuni, il primo principio è non adottare un approccio puramente documentale: produrre faldoni di regole scritte senza sostanza tecnica non supera un'ispezione e soprattutto non ferma un attacco ransomware, cioè il blocco dei sistemi con richiesta di riscatto. Il secondo errore frequente è ignorare la catena di fornitura: la NIS2 ti chiede di valutare la sicurezza dei fornitori critici.
Devi quindi censire chi accede ai tuoi sistemi, dai software gestionali in cloud allo studio che gestisce le paghe, e inserire clausole di sicurezza nei contratti al momento del rinnovo. Il terzo è considerare l'adeguamento un progetto una tantum, quando la direttiva richiede un processo continuo con riesami periodici e notifiche tempestive degli incidenti significativi.
Un partner tecnologico con esperienza su infrastrutture e sviluppo sicuro può accorciare sensibilmente il percorso. Italy Soft affianca le PMI italiane nella gap analysis, nella definizione del piano d'azione e nell'implementazione delle misure tecniche, integrando la sicurezza nei sistemi gestionali esistenti invece di sovrapporre strumenti scollegati.
In questo modo l'adeguamento NIS2 diventa anche un'occasione per rendere più solida e ordinata l'intera infrastruttura IT aziendale.
Questa checklist NIS2 copre i vuoti più frequenti nelle PMI italiane: ogni voce mancante è un punto della gap analysis da trasformare in intervento con responsabile, scadenza e budget.
Valuta la sicurezza della tua azienda e identifica le lacune da colmare prima di un'ispezione o di un attacco
Crea un piano d'azione personalizzato per adeguarti alla normativa NIS2
Implementa le misure di sicurezza necessarie per proteggere i dati della tua azienda
Ricevi supporto e consulenza da Italy Soft per creare un piano d'azione personalizzato e implementare le misure di sicurezza necessarie
Redazione a cura di Italy Soft, con il supporto di strumenti di intelligenza artificiale e revisione editoriale umana.
Italy Soft
In 30 minuti di audit gratuito analizziamo i tuoi processi e calcoliamo il ROI concreto. Nessun impegno.