NIS2: cosa cambia per le PMI italiane

Il decreto legislativo 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024, ha recepito la direttiva (UE) 2022/2555 e ha cambiato il modo in cui l'ordinamento italiano guarda alla sicurezza informatica: non più un tema tecnico delegato al fornitore di servizi, ma un dovere di organizzazione che grava sull'ente e, in prima persona, sui suoi organi di governo.

Per molte medie imprese la domanda non è se la norma piaccia, ma se si applichi. E la risposta, sempre più spesso, è sì.

Il perimetro: chi è davvero obbligato

Il decreto si applica ai soggetti pubblici e privati che operano nei 18 settori degli allegati, di cui 11 ad alta criticità e 7 critici, seguendo il criterio dimensionale (la cosiddetta size-cap rule): in linea generale rientrano le medie e grandi imprese del settore, con eccezioni che portano dentro anche alcune piccole e microimprese, oltre a numerose pubbliche amministrazioni. L'Agenzia per la Cybersicurezza Nazionale è autorità nazionale competente e punto di contatto unico; accanto a lei operano nove ministeri come autorità di settore e l'Agenzia può individuare ulteriori soggetti da considerare critici.

La qualificazione come soggetto essenziale o importante non muta gli obblighi sostanziali: calibra l'intensità della vigilanza e il peso delle sanzioni.

Gli adempimenti, in ordine

• Registrazione e aggiornamento. L'iscrizione, o l'aggiornamento dei dati già comunicati, passa dalla piattaforma dell'Agenzia, con una finestra annuale che si apre il 1° gennaio e si chiude il 28 febbraio. Un'indicazione non aggiornata è di per sé un'inadempienza.
• Misure di gestione del rischio (art. 24). Analisi del rischio, gestione degli incidenti, continuità operativa e backup, sicurezza della catena di fornitura, gestione delle vulnerabilità, igiene informatica, crittografia, controllo degli accessi e autenticazione a più fattori. Non un prodotto da acquistare, ma un sistema da documentare.
• Governance (art. 23). Gli organi di amministrazione approvano e supervisionano le misure e seguono specifica formazione. È il punto che molte strutture non hanno ancora presidiato.
• Notifica degli incidenti (art. 25). Per gli incidenti significativi si attivano i tempi brevi verso il CSIRT Italia: pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese, con le modalità e la tassonomia definite dalle determinazioni dell'Agenzia.

Il termine che cade in queste settimane

Per le organizzazioni inserite negli elenchi nel corso del 2025, la fase transitoria si conclude proprio in questo scorcio d'anno: entro ottobre 2026 le misure di base devono essere effettivamente attuate, non soltanto programmate. È il momento di verificare se esiste un documento di valutazione del rischio aggiornato, se le policy sono state deliberate dall'organo competente, se i fornitori critici sono stati messi nelle condizioni di rispondere e se, stanotte, un incidente saprebbe essere gestito.

Un incidente, due binari

Nella pratica il medesimo evento attiva due percorsi distinti. Da un lato la notifica al CSIRT Italia secondo la disciplina NIS2; dall'altro, quando la violazione ha coinvolto dati personali, la notifica al Garante per la protezione dei dati personali entro 72 ore dalla conoscenza, ai sensi dell'art. 33 del Regolamento (UE) 2016/679, con eventuale comunicazione agli interessati in caso di rischio elevato (art. 34). Coordinare i due binari evita risposte incoerenti che, in sede di controllo, pesano più del singolo ritardo.

Le conseguenze di un governo assente

Il sistema sanzionatorio è parametrizzato al fatturato: per i soggetti essenziali si arriva a soglie pari a 10 milioni di euro o al 2% del fatturato mondiale annuo, per i soggetti importanti a 7 milioni o all'1,4%. Si aggiungono i profili di responsabilità dell'ente e le ricadute contrattuali verso i clienti che hanno, a loro volta, obblighi di sicurezza verso la propria catena di fornitura.

La conformità NIS2 non si dimostra con una policy firmata, ma con le evidenze di un processo che funziona.

Da dove partire

1. Verifica del perimetro: settore di appartenenza, allegato di riferimento, qualificazione come soggetto essenziale o importante, stato della registrazione.
2. Valutazione del rischio documentata e misure di base, dando priorità ad accessi, backup e catena di fornitura.
3. Piano di risposta agli incidenti con nomi, ruoli e tempi, seguito da una prova pratica di gestione.

Se vuoi una verifica immediata del posizionamento della tua organizzazione rispetto al perimetro NIS2, scrivi a info@adpo.it o chiama il +39 347 046 6287.