NIS2 e cybersecurity: cosa cambia per le piccole aziende

NIS2 è la direttiva europea sulla sicurezza informatica, recepita in Italia con il D.Lgs. 138/2024 e in vigore dal 16 ottobre 2024. Ha fatto notizia perché allarga di molto il numero di aziende tenute a proteggersi e a dimostrarlo, con sanzioni che possono arrivare a milioni di euro. Se hai una piccola azienda la domanda giusta è se ti riguarda davvero, e la risposta breve è questa: con ogni probabilità non sei obbligato in modo diretto, ma la NIS2 ti arriva comunque addosso per altre strade, e conviene sapere quali. Questa guida è aggiornata a ottobre 2026, cioè al momento in cui per molte aziende sono scaduti i primi termini.

Chi è obbligato e chi no

In linea generale il decreto si applica alle imprese medie e grandi che operano nei settori elencati nei suoi allegati: energia, trasporti, sanità, acqua, infrastrutture digitali, servizi informatici gestiti per altre aziende, pubblica amministrazione, ma anche servizi postali, gestione dei rifiuti, chimica, industria alimentare e diversi comparti manifatturieri, dai dispositivi medici all'elettronica, dalle apparecchiature elettriche ai macchinari e ai veicoli. Media impresa vuol dire, in sostanza, almeno 50 addetti, oppure fatturato e totale di bilancio entrambi sopra i 10 milioni, contando anche le società collegate. In un territorio come il Veneto, ricco di aziende meccaniche ed elettroniche di quella taglia, i soggetti NIS possono essere più numerosi di quanto si pensi.

Esistono poi eccezioni in entrambe le direzioni. Alcuni soggetti, come i fornitori di servizi DNS o di servizi fiduciari, rientrano a prescindere dalle dimensioni. E l'Agenzia per la Cybersicurezza Nazionale può designare anche un'impresa più piccola quando è un elemento davvero sistemico di una filiera, con una procedura specifica che parte dall'autorità di settore. Per la stragrande maggioranza delle micro e piccole imprese, però, l'obbligo diretto non c'è.

Il calendario, aggiornato a ottobre 2026

Chi rientra nel perimetro si registra ogni anno sulla piattaforma dell'ACN, tra il 1° gennaio e il 28 febbraio. Dopo la prima registrazione, l'Agenzia ha inviato dal 12 aprile 2025 le comunicazioni di inserimento nell'elenco dei soggetti NIS, e da quella data sono partiti due conti alla rovescia: nove mesi per l'obbligo di notificare gli incidenti, quindi da gennaio 2026, e diciotto mesi per adottare le misure di sicurezza di base, quindi entro ottobre 2026. Attenzione alla data del 31 ottobre che circola online: negli atti dell'ACN non c'è, perché il termine decorre dalla comunicazione ricevuta da ciascuna azienda.

Le misure di base oggi sono definite dalla determinazione ACN del 19 dicembre 2025, che ha sostituito quella dell'aprile precedente: 37 misure con 87 requisiti per i soggetti importanti, 43 misure con 116 requisiti per quelli essenziali. Chi è entrato nell'elenco solo nel 2026 ha tempi più lunghi: notifica degli incidenti dal 1° gennaio 2027, misure di sicurezza entro il 31 luglio 2027. Dal 2026, inoltre, nell'aggiornamento annuale delle informazioni (tra il 15 aprile e il 31 maggio) i soggetti NIS devono indicare anche i propri fornitori rilevanti. E a settembre 2026 l'Agenzia ha avviato la consultazione sulle misure rafforzate che integreranno quelle di base.

Quando un incidente significativo si verifica, il soggetto NIS deve inviare all'ACN una prima segnalazione entro 24 ore, una notifica entro 72 ore e una relazione finale entro un mese. Le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali e a 7 milioni o all'1,4% per quelli importanti, con responsabilità diretta degli organi di amministrazione.

Perché ti riguarda comunque

La prima strada è la filiera. I soggetti NIS devono gestire la sicurezza dei propri fornitori diretti e inserire requisiti precisi nei contratti nuovi o rinnovati, quindi se lavori per uno di loro è probabile che tu riceva un questionario di sicurezza o nuove clausole. Abbiamo dedicato una guida intera a cosa ti può chiedere un cliente soggetto NIS2 e a come rispondere senza promettere troppo.

La seconda strada sono le assicurazioni e i clienti in generale. La NIS2 sta diventando il metro con cui si giudica se un'azienda è "in sicurezza", e le compagnie che offrono coperture contro il rischio informatico chiedono quasi le stesse cose, come spieghiamo nella guida sulla polizza cyber.

La terza è la più concreta: il rischio. Il Rapporto Clusit 2026 conta 507 attacchi gravi andati a segno contro organizzazioni italiane nel 2025, contro i 357 dell'anno prima, e l'Osservatorio Cybersecurity del Politecnico di Milano assegna alle piccole e medie imprese un indice di maturità di appena 55 punti su 100, con quasi una PMI su quattro colpita da una violazione negli ultimi tre anni. Ransomware e truffe via email colpiscono soprattutto chi è meno protetto, cioè spesso proprio chi pensa di non essere un bersaglio interessante.

Cosa fare in pratica, anche se non sei obbligato

Le misure di base della NIS2 sono, nella sostanza, la buona igiene informatica che ogni azienda dovrebbe avere. Per una piccola impresa i punti che fanno la differenza sono questi:

• sapere quali computer, server, servizi cloud e account esistono, e chi vi accede;
• account personali e autenticazione a due fattori su posta, accessi remoti e servizi cloud;
• backup con almeno una copia fuori linea, e ripristini provati davvero;
• aggiornamenti di sicurezza applicati con regolarità, compreso l'abbandono dei sistemi non più supportati;
• una procedura minima per gli incidenti, con chi chiamare e cosa fare nelle prime ore;
• formazione del personale contro phishing e truffe via email.

Nessuno di questi punti richiede investimenti fuori portata, e sono anche le prime voci che controlla chiunque debba fidarsi della tua azienda, che sia un cliente, una banca o un assicuratore.

Come capire se sei dentro il perimetro

Se la tua azienda ha almeno 50 addetti, o fatturato e bilancio entrambi sopra i 10 milioni, o fa parte di un gruppo che supera queste soglie, vale la pena verificare con attenzione il settore di attività rispetto agli allegati del decreto: la classificazione non coincide sempre con il codice ATECO principale. Se hai ricevuto comunicazioni dall'ACN via PEC, il perimetro è già stato deciso e i termini decorrono da quella data. Nel dubbio, la prossima finestra di registrazione si apre il 1° gennaio 2027.

Come ti aiutiamo

Partiamo da una verifica concreta della tua situazione: accessi, backup, aggiornamenti, posta elettronica, dispositivi. Mettiamo in sicurezza le basi, formiamo il personale e, se sei fornitore di un soggetto NIS, ti aiutiamo a preparare le risposte e la documentazione che ti verranno chieste. È parte del lavoro che facciamo con l'assistenza informatica per le aziende di Padova e provincia, dove la prevenzione costa sempre meno del giorno dopo un attacco.

Nota: questa guida ha scopo informativo e non sostituisce una consulenza legale. Il perimetro di applicazione e i termini vanno verificati caso per caso sulla base del decreto e delle comunicazioni ACN.