Dal 15 ottobre 2024, la Direttiva NIS2 è realtà anche in Italia. Se la tua PMI supera i 50 dipendenti o 10 milioni di euro di fatturato, rientra negli obblighi di conformità. Non adeguarsi costa fino a 20 milioni di euro.
Panoramica in 20 secondi
La confusione più comune tra le PMI italiane riguarda il perimetro della NIS2. Non tutte le aziende hanno gli stessi obblighi. La Direttiva distingue due categorie: i soggetti essenziali e i soggetti importanti.
Un soggetto essenziale è un grande operatore che gestisce infrastrutture critiche per il Paese: pensiamo a un provider di energia elettrica, una rete di trasporto pubblico, un ospedale, un gestore di acque, un fornitore di servizi di infrastruttura digitale (cloud, hosting, gestione dei domini internet). Sono imprese che, se colpite da un attacco informatico, mettono a rischio la stabilità economica e la sicurezza pubblica dell'Italia.
I soggetti importanti sono invece imprese di medie dimensioni che operano in settori specifici elencati nell'Allegato II della Direttiva: manifatturiero di dispositivi medici, chimico, alimentare, servizi postali, fornitori di servizi digitali come software house, web hosting, società di registrazione di domini internet. La soglia dimensionale è chiara: la tua azienda rientra se ha almeno 50 dipendenti oppure un fatturato annuale di 10 milioni di euro.
Se sei una PMI che produce software per il settore sanitario, ad esempio, o fornisci servizi cloud anche a clienti civili, probabilmente sei un soggetto importante e devi adeguarti. La registrazione nel Registro Nazionale dei Soggetti Essenziali e Importanti (RNSECI) presso l'Agenzia per la Cybersicurezza Nazionale è obbligatoria.
La scadenza precisa sarà definita dalle circolari ACN ancora da pubblicare. Non è una formalità: è il primo controllo che l'autorità usa per verificare la conformità.
Come verificare concretamente se la tua azienda è soggetta? L'ACN (Agenzia per la Cybersicurezza Nazionale) ha messo online uno strumento di autodiagnosi interattivo. Rispondi a poche domande: quanti dipendenti hai, qual è il tuo settore principale, quali servizi fornisci.
Lo strumento ti dirà se sei essenziale, importante o fuori dal perimetro. Prendiamo un esempio reale: una piccola software house milanese con 45 dipendenti che sviluppa gestionali per farmacie non è soggetta (sotto soglia dimensionale).
La stessa azienda con 55 dipendenti che sviluppa anche software per ospedali? Ecco, quella sì, diventa soggetto importante. La differenza di 10 persone genera obblighi completamente diversi.
Un'altra situazione comune: un'azienda di consulenza IT che gestisce infrastrutture critiche per conto di clienti importanti può essere classificata come soggetto essenziale o importante anche con meno di 50 dipendenti, se la sua attività è strategica per il Paese. La chiave è non fare supposizioni: usa lo strumento ACN, documenta tutto, registrati dove necessario.
Le sanzioni per non adeguarsi non sono simboliche. Per un soggetto importante, le multe arrivano fino a 10 milioni di euro oppure al 2% del fatturato globale annuale (vale l'importo più alto).
Per un soggetto essenziale, le sanzioni raddoppiano: fino a 20 milioni o il 4% del fatturato. Non è solo una questione economica: il mancato adeguamento espone l'azienda a ispezioni, sospensione di contratti pubblici, perdita di credibilità con clienti e partner.
Molte PMI hanno già subito ispezioni preparatorie da parte dell'ACN nel biennio passato. L'autorità non ha ancora usato il pugno duro, ma il periodo di tolleranza si è ormai esaurito: nel 2026 le verifiche diventano sistematiche.
Documenta oggi la tua conformità: crea un registro dei rischi cyber, fotografa il tuo stato attuale di sicurezza, inizia a implementare le misure obbligatorie. Se l'ACN ti contatta, dovrai mostrare che hai fatto uno sforzo serio, non che hai ignorato il problema.
Molte aziende scoprono solo durante la prima ispezione che le evidenze richieste vanno raccolte con mesi di anticipo, non ricostruite a posteriori in fretta e furia.
Raccontaci il processo in mezz'ora e ti diciamo cosa si automatizza per primo, con i numeri della tua azienda.
La NIS2 impone dieci misure di sicurezza specifiche. Non sono linee guida vaghe, sono requisiti concreti che devi implementare e documentare. Misura uno: gestione del rischio informatico con un metodo documentato.
Non basta dire 'abbiamo considerato i rischi'. Serve un piano di gestione del rischio scritto: quali dati e sistemi sono vitali per l'azienda, quali minacce li riguardano, quali protezioni hai messo in campo.
Misura due: gestione degli incidenti, con notifica all'ACN entro 24 ore da un incidente significativo. Se i tuoi sistemi vengono compromessi, hai un giorno per avvertire l'autorità.
Servono quindi una procedura pronta, un responsabile della sicurezza reperibile e un sistema che registri gli eventi importanti. Misura tre: continuità operativa e gestione dei backup, cioè delle copie di sicurezza dei dati.
I dati critici devono avere copie protette, testate e recuperabili in tempi accettabili. La copia settimanale sul disco di rete in ufficio non basta: servono copie conservate in luoghi diversi, cifrate e con più versioni nel tempo.
Misura quattro: sicurezza dei fornitori. Valuta chi ti fornisce servizi informatici: accede ai tuoi dati? Gestisce sistemi importanti per te? Chiedi loro, per contratto, standard di sicurezza paragonabili ai tuoi.
Misure cinque e sei: aggiornamenti di sicurezza e ricerca delle vulnerabilità. Installa gli aggiornamenti correttivi entro 30 giorni dal rilascio, entro 7 se il difetto è critico. Fai controllare periodicamente i sistemi per trovare le falle prima che le trovino gli attaccanti.
Misura sette: autenticazione forte, nota come MFA (Multi-Factor Authentication), cioè la verifica dell'identità in due passaggi. Ogni accesso privilegiato (amministratori, responsabili dei dati, tecnici informatici) deve usare due fattori di autenticazione, non solo la password.
Uno smartphone con un'app di autenticazione va bene. Misura otto: cifratura dei dati, sia quando viaggiano sia quando sono archiviati. I dati sensibili non devono mai circolare in chiaro sulla rete: servono connessioni protette.
E quando sono conservati su database, backup e server, devono essere cifrati con algoritmi solidi. Misura nove: formazione obbligatoria del personale. Almeno una volta all'anno, tutti i tuoi dipendenti devono seguire una formazione sulla sicurezza informatica.
Non basta una lezione di 30 minuti: deve essere pratica, specifica per il tuo settore, con verifiche di apprendimento. Misura dieci: monitoraggio continuo. Tutti gli eventi di sicurezza (accessi, modifiche ai dati, installazione di software) devono essere registrati in modo non alterabile e analizzati per individuare anomalie.
Come organizzare il tutto in 90 giorni? Fase uno (giorni 1-30): diagnosi. Valuta dove sei oggi. Documenta i tuoi sistemi, intervista chi gestisce l'informatica, individua le distanze rispetto alle dieci misure: un consulente specializzato può guidarti in questa fase con una valutazione rapida.
Fase due (giorni 31-60): pianificazione dettagliata e primi risultati. Decidi cosa attivare subito (MFA, cifratura, formazione) e cosa richiede più tempo, come i nuovi strumenti di monitoraggio o la revisione dei contratti con i fornitori.
Fase tre (giorni 61-90): attuazione e documentazione. Attiva le misure, traccia tutto su un registro, prepara la documentazione per l'ACN.
Un esempio concreto: una PMI del settore chimico con 70 dipendenti ha iniziato ad adeguarsi all'inizio dello scorso anno. In 30 giorni ha completato la diagnosi con un consulente, scoprendo che il 40% dei server non riceveva aggiornamenti di sicurezza da più di 6 mesi e che nessun backup era stato testato negli ultimi due anni.
In 60 giorni ha abilitato la MFA per tutti gli account amministrativi, attivato un servizio di aggiornamento automatico dei sistemi, creato un piano di ripristino dei backup e completato la prima sessione di formazione per i dipendenti. Al giorno 90, ha documentato tutto in un dossier di conformità, creato una riunione trimestrale per monitorare la sicurezza e nominato un referente per l'ACN.
Costo totale: circa 15.000 euro in consulenza e 8.000 euro all'anno in strumenti. Se non si fosse adeguata e fosse stata ispezionata, le sanzioni avrebbero potuto raggiungere i 3-5 milioni (il 2% del fatturato per un'azienda di quelle dimensioni). Il conto è presto fatto: investire oggi in conformità salva dalla catastrofe domani.
Se valgono le prime due voci siete con ogni probabilità nel perimetro; le ultime tre misurano quanto siete lontani dalla conformità. Un gap assessment, cioè un'analisi delle lacune rispetto ai requisiti, fotografa la distanza dalle dieci misure obbligatorie e produce il piano dei 90 giorni con costi certi.
Uno strumento online messo a disposizione dall'ACN per verificare se la tua PMI rientra negli obblighi di conformità. Rispondi a domande su dipendenti, fatturato e settore. Ottieni in pochi minuti la classificazione ufficiale: essenziale, importante o fuori perimetro.
Un documento formale che identifica i tuoi dati e sistemi critici, le minacce informatiche, le protezioni già attive e le lacune da colmare. È il fondamento della conformità NIS2 e il primo documento che l'ACN esamina durante un'ispezione.
Dal gap assessment iniziale all'implementazione delle dieci misure obbligatorie: Italy Soft supporta PMI italiane nel percorso di conformità NIS2 con piani operativi realistici, integrazione con i tuoi sistemi esistenti e documentazione pronta per l'ACN.
Un sistema centralizzato che registra tutti gli eventi di sicurezza in tempo reale. Consente di identificare anomalie prima che diventino violazioni, e di notificare l'ACN entro le 24 ore richieste in caso di incidente significativo.
Redazione a cura di Italy Soft, con il supporto di strumenti di intelligenza artificiale e revisione editoriale umana.
Italy Soft
In 30 minuti di audit gratuito analizziamo i tuoi processi e calcoliamo il ROI concreto. Nessun impegno.