Cos'è la NIS2 e chi coinvolge
La NIS2 è la direttiva europea sulla sicurezza delle reti e dei sistemi informativi (Direttiva UE 2022/2555), recepita in Italia con il D.Lgs. 138/2024, in vigore dal 16 ottobre 2024. Aggiorna e amplia la precedente NIS estendendo il perimetro a molti più settori e abbassando le soglie dimensionali. L'autorità competente in Italia è l'ACN (Agenzia per la Cybersicurezza Nazionale).
Il messaggio operativo per una PMI è duplice: si può essere coinvolti direttamente (per dimensione e settore) o indirettamente, come fornitori critici di un soggetto essenziale o importante — un rischio supply chain che i clienti più strutturati riversano nei capitolati.
Sei nel perimetro? Soglie ed effetto supply chain
Sono direttamente nel perimetro le medie imprese — con più di 50 dipendenti oppure più di 10 milioni di euro di fatturato annuo — che operano in uno dei 18 settori critici individuati dalla direttiva. La normativa distingue due categorie: soggetti essenziali e soggetti importanti, con obblighi e sanzioni proporzionalmente diversi.
Anche una piccola impresa sotto soglia può rientrare se è fornitore critico di un soggetto essenziale o importante: in quel caso gli obblighi arrivano per via contrattuale, attraverso i requisiti di sicurezza che il cliente è tenuto a riversare nella propria supply chain.
<!-- DA COMPLETARE: Joel — se vuoi inserire la mappatura completa dei 18 settori critici e l'elencazione puntuale soggetti essenziali vs importanti del D.Lgs. 138/2024, va aggiunto qui un riquadro dedicato. -->Gli obblighi: misure di sicurezza (Art. 24) e notifica incidenti
I soggetti nel perimetro devono adottare misure tecniche, operative e organizzative adeguate a gestire i rischi cyber (Art. 24 del D.Lgs. 138/2024): policy di sicurezza, gestione degli incidenti, business continuity e disaster recovery, sicurezza della supply chain, gestione delle vulnerabilità, formazione del personale, crittografia, controlli di accesso, autenticazione multifattore.
Per gli incidenti significativi la notifica al CSIRT Italia segue tempistiche scandite:
- 24 ore dalla conoscenza dell'incidente per il pre-allarme (early warning);
- 72 ore per la notifica vera e propria dell'incidente;
- 30 giorni per la relazione finale.
Sanzioni e responsabilità personale dei dirigenti
Le sanzioni amministrative sono significative:
- Soggetti essenziali: fino a 10 milioni di euro o 2% del fatturato mondiale annuo.
- Soggetti importanti: fino a 7 milioni di euro o 1,4% del fatturato mondiale annuo.
L'Art. 23 del D.Lgs. 138/2024 introduce la responsabilità personale degli organi di amministrazione e dei dirigenti, fino alla possibile sospensione temporanea dalle funzioni: la cybersecurity esce dal perimetro puramente IT e diventa materia di governance.
Adempimenti 2026: registrazione ACN, supply chain, misure
Per il 2026 ci sono adempimenti operativi specifici. Le scadenze precise sono fissate da provvedimenti ACN: verificare sempre la versione vigente prima di pianificare.
- Registrazione sulla piattaforma ACN con aggiornamento annuale dei dati del soggetto.
- Comunicazione dei fornitori rilevanti nella finestra 15 aprile – 31 maggio 2026 prevista dalla Determinazione ACN 127437/2026.
- Adeguamento alle misure di sicurezza dell'Art. 24 entro i termini fissati da ACN: orientativamente Q3-Q4 2026, corrispondenti a circa 18 mesi dalla notifica di inclusione nel perimetro. La scadenza puntuale dipende dal singolo provvedimento applicabile e va verificata.
Cosa fare: gap analysis, registrazione ACN, misure
Il percorso tipico di adeguamento si articola in fasi:
- Verifica perimetro — soggetto essenziale, importante, oppure fuori ma fornitore critico di un soggetto in perimetro.
- Gap analysis rispetto alle misure dell'Art. 24.
- Piano di rimedio con priorità, responsabili e milestone.
- Implementazione tecnica — MFA, EDR, backup verificato e ripristinato, segmentazione di rete, hardening email, gestione vulnerabilità.
- Documentazione — policy, registro asset, registro incidenti, piano di continuità operativa.
- Formazione di organi di amministrazione e personale (l'Art. 23 rende non più delegabile la responsabilità al solo IT).
- Registrazione su piattaforma ACN e comunicazione fornitori nelle finestre previste.
- Procedura di notifica incidenti allineata ai tempi 24h / 72h / 30 giorni.
Come ti affianca TENDEOAI
L'adeguamento NIS2 è la spina dorsale del nostro servizio di cybersecurity per PMI. Lavoriamo con misure proporzionate alle dimensioni reali dell'azienda: niente complessità enterprise dove non serve, ma copertura completa sui requisiti normativi.
Tipicamente affianchiamo:
- verifica perimetro e gap analysis Art. 24;
- implementazione misure tecniche (MFA, EDR, backup, segmentazione, policy email);
- redazione policy, registri e piano di continuità;
- procedura di notifica incidenti coerente coi tempi 24h / 72h / 30 giorni;
- formazione organi di amministrazione e personale operativo;
- registrazione sulla piattaforma ACN e gestione della comunicazione fornitori.