NIS2 e cybersecurity: cosa cambia per le piccole aziende

NIS2 è la nuova direttiva europea sulla cybersecurity, recepita in Italia con il D.Lgs. 138/2024. Ha fatto notizia perché allarga di molto la platea di aziende tenute a proteggersi. Se hai una piccola azienda, la domanda giusta è: mi riguarda davvero? La risposta breve è: probabilmente non in modo diretto, ma ti tocca comunque.

Chi è obbligato e chi no

La NIS2 si applica ai soggetti "essenziali" e "importanti" in una lista di settori critici (energia, trasporti, sanità, digitale, alimentare e altri) sopra determinate soglie dimensionali, quindi soprattutto medie e grandi imprese. La maggior parte delle micro e piccole imprese non rientra direttamente nel perimetro.

Perché ti riguarda comunque

• Effetto catena di fornitura: se sei fornitore di un'azienda soggetta a NIS2, ti verrà chiesto di rispettare requisiti di sicurezza per continuare a lavorare con loro.
• Nuovo standard di fatto: NIS2 sta definendo cosa significhi "essere in sicurezza". Diventa il metro con cui clienti, banche e assicurazioni ti valutano.
• Il rischio reale: ransomware e phishing colpiscono soprattutto chi è meno protetto, spesso proprio le piccole aziende, che pensano di non essere un bersaglio.

I numeri dicono che il bersaglio sei tu

Il Rapporto Clusit 2026 conta 507 attacchi gravi andati a segno contro organizzazioni italiane, contro i 357 dell'anno precedente: da sola, l'Italia assorbe circa il 9,6% degli incidenti gravi rilevati nel mondo, una quota enormemente superiore al suo peso economico. Sul fronte delle piccole imprese il quadro è ancora più esplicito: secondo l'Osservatorio Cybersecurity & Data Protection del Politecnico di Milano il Cyber Index PMI si ferma a 55 punti su 100, e negli ultimi tre anni quasi una PMI su quattro ha subito una violazione informatica.

Sono i numeri che spiegano meglio di qualsiasi normativa perché il tema si è spostato dalla lista dei "prima o poi" a quella delle cose da sistemare adesso.

Le scadenze che si sono viste nel 2025-2026

Per i soggetti nel perimetro il calendario è stato serrato: registrazione presso l'Agenzia per la Cybersicurezza Nazionale (finestre a febbraio 2025 e febbraio 2026), misure tecniche di base definite da una determinazione ACN in vigore da gennaio 2026, e implementazione delle misure entro fine 2026. Le sanzioni per gli obbligati possono arrivare fino al 2% del fatturato annuo.

Cosa fare, in pratica (anche se non sei obbligato)

Le misure di base che la NIS2 chiede sono, in fondo, la buona igiene informatica che ogni azienda dovrebbe avere:

• Backup regolari, testati e conservati anche offline.
• Autenticazione a più fattori (MFA) sugli accessi importanti.
• Aggiornamenti e gestione delle password e dei permessi.
• Formazione del personale contro phishing e truffe.
• Un piano minimo di risposta: sapere cosa fare se succede un incidente.

Sono anche, non per caso, le stesse voci che ti chiede una compagnia assicurativa prima di emettere una polizza contro il rischio informatico. Chi le ha già sistemate si trova il questionario mezzo compilato.

Come ti aiutiamo

Facciamo un check della tua situazione, mettiamo in sicurezza le basi (backup, accessi, aggiornamenti, monitoraggio), formiamo il personale e, se sei fornitore di un'azienda NIS2, ti aiutiamo a rispondere ai requisiti che ti vengono richiesti.

Nota: il perimetro esatto di applicazione va verificato caso per caso; questa guida ha scopo informativo.