NIS2 per le PMI: cosa cambia e come mettersi in regola

La direttiva NIS2 estende gli obblighi di cybersecurity a molte PMI italiane che prima ne erano escluse. In pratica, se hai almeno 50 dipendenti o 10 milioni di fatturato e operi in un settore "importante" (es. manifatturiero, alimentare, logistica, servizi digitali), devi registrarti, gestire i rischi informatici e notificare gli incidenti gravi entro tempi stretti. Le sanzioni arrivano a milioni di euro.

Che cos'è la NIS2 e perché riguarda anche le piccole imprese

La NIS2 (Direttiva UE 2022/2555) è la normativa europea sulla sicurezza delle reti e dei sistemi informativi. Sostituisce la vecchia NIS del 2016 e in Italia è stata recepita con il D.lgs. 138/2024, entrato in vigore il 16 ottobre 2024. L'Autorità competente è l'ACN — Agenzia per la Cybersicurezza Nazionale.

Il cambio di rotta rispetto al passato è netto. La prima direttiva NIS coinvolgeva quasi solo grandi operatori di infrastrutture critiche (energia, banche, sanità). La NIS2 allarga enormemente il perimetro: molte PMI che non si sono mai occupate di compliance in materia di sicurezza informatica oggi rientrano tra i soggetti obbligati. È questo il punto che, nella nostra esperienza sul campo con aziende del territorio, coglie di sorpresa la maggior parte degli imprenditori.

La logica è semplice: la catena di fornitura è fatta di piccole e medie imprese. Attaccare un fornitore per arrivare al cliente grande è la tecnica preferita dei gruppi ransomware. Per questo la direttiva chiede a tutta la filiera un livello minimo di igiene informatica.

Quali PMI rientrano nella NIS2

Non tutte le PMI sono coinvolte. La NIS2 usa due criteri combinati: la dimensione dell'azienda e il settore di attività.

Il criterio dimensionale

Rientrano di norma le imprese "medie" e "grandi", cioè quelle con:

• almeno 50 dipendenti, oppure
• fatturato annuo o bilancio superiore a 10 milioni di euro.

Le microimprese e le piccole imprese sotto queste soglie sono generalmente escluse, salvo eccezioni per soggetti considerati critici a prescindere dalle dimensioni (ad esempio fornitori di servizi fiduciari, registri di nomi a dominio, alcune infrastrutture digitali).

Il criterio settoriale

Il tuo settore deve rientrare tra quelli elencati negli allegati della direttiva, divisi in:

• Settori ad alta criticità (soggetti "essenziali"): energia, trasporti, banche, infrastrutture finanziarie, sanità, acqua potabile e reflue, infrastrutture digitali, PA, spazio.
• Altri settori critici (soggetti "importanti"): servizi postali, gestione dei rifiuti, produzione e distribuzione di sostanze chimiche, produzione alimentare, manifatturiero (dispositivi medici, elettronica, macchinari, autoveicoli), fornitori di servizi digitali (marketplace, motori di ricerca, social), ricerca.

È proprio nel manifatturiero, nella logistica e nell'agroalimentare che troviamo la maggior parte delle PMI lombarde ora obbligate. Se hai dubbi sulla tua posizione, ne parliamo volentieri: contattaci per una verifica preliminare gratuita.

Cosa cambia in concreto: i nuovi obblighi

Chi rientra nel perimetro deve rispettare tre gruppi di adempimenti.

1. Registrazione presso l'ACN

I soggetti obbligati devono registrarsi sulla piattaforma dell'Agenzia per la Cybersicurezza Nazionale, comunicando i propri dati e tenendoli aggiornati. Le finestre di registrazione sono definite dall'ACN con scadenze precise: chi non si registra è comunque considerato soggetto alla normativa e rischia sanzioni per la mancata comunicazione.

2. Misure di gestione del rischio

Questo è il cuore della NIS2. La direttiva impone un approccio "multi-rischio" con misure tecniche e organizzative proporzionate. In pratica devi presidiare almeno:

• Analisi e gestione del rischio e politiche di sicurezza dei sistemi informativi.
• Gestione degli incidenti (rilevamento, risposta, ripristino).
• Continuità operativa: backup, disaster recovery e gestione delle crisi. Qui entrano in gioco architetture affidabili — dai server aziendali ridondati alla replica dei dati, fino ai backup immutabili offline.
• Sicurezza della catena di approvvigionamento, valutando i fornitori diretti.
• Sicurezza nell'acquisizione, sviluppo e manutenzione di reti e sistemi, con gestione delle vulnerabilità.
• Igiene informatica di base e formazione del personale.
• Crittografia e cifratura dove opportuno.
• Controllo degli accessi e gestione degli asset.
• Autenticazione a più fattori (MFA) e comunicazioni sicure.

Un dettaglio spesso trascurato: la NIS2 introduce la responsabilità diretta degli organi di gestione. Amministratori e dirigenti devono approvare le misure, vigilare sulla loro attuazione e seguire formazione specifica. Non è più solo un problema dell'ufficio IT.

3. Notifica degli incidenti

In caso di incidente significativo scattano tempistiche stringenti verso il CSIRT Italia:

• entro 24 ore: pre-allerta (early warning);
• entro 72 ore: notifica con una prima valutazione dell'incidente;
• entro 1 mese: relazione finale con analisi dettagliata.

Avere procedure di rilevamento e log centralizzati non è un lusso: senza monitoraggio non ti accorgi dell'incidente in tempo per rispettare le 24 ore.

Le sanzioni: quanto rischia una PMI

La NIS2 fa sul serio anche sul piano economico. Il D.lgs. 138/2024 prevede sanzioni amministrative differenziate:

• per i soggetti essenziali, fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, a seconda dell'importo maggiore;
• per i soggetti importanti, fino a 7 milioni di euro o all'1,4% del fatturato mondiale annuo.

A ciò si aggiungono possibili misure verso i vertici aziendali. Il messaggio è chiaro: la compliance non è una formalità da rimandare.

Come si prepara una PMI: i passi pratici

Nella nostra attività di system integrator seguiamo un percorso in cinque tappe, calibrato sulle risorse reali di una piccola-media impresa.

Passo 1 — Verifica di applicabilità

Prima di tutto stabilisci se e come rientri: dimensione, settore, classificazione essenziale o importante. È un'analisi documentale che evita sia di sottovalutare gli obblighi sia di spendere per adempimenti non dovuti.

Passo 2 — Gap analysis

Si confronta lo stato attuale della tua sicurezza con quanto richiede la NIS2. Emergono le lacune: manca la MFA? I backup non sono testati? Non esiste un piano di risposta agli incidenti? Il risultato è una fotografia onesta del punto di partenza.

Passo 3 — Piano di adeguamento

Dalle lacune nasce un piano con priorità, tempi e budget. Chi ha già una certificazione ISO 27001 parte avvantaggiato, perché molte misure NIS2 si sovrappongono al Sistema di Gestione della Sicurezza delle Informazioni. In TN Solutions siamo certificati ISO 9001 e ISO 27001 e conosciamo bene questa sovrapposizione.

Passo 4 — Implementazione tecnica

Qui si mette mano all'infrastruttura: segmentazione della rete, MFA, backup 3-2-1 con copia immutabile, hardening dei server, sistemi di monitoraggio e log. Approfondiamo le soluzioni concrete nella nostra pagina dedicata alla sicurezza informatica per le aziende, dove trovi anche i temi di continuità operativa e protezione dei server.

Passo 5 — Governance e formazione continua

La sicurezza non è un progetto con una data di fine: è un processo. Servono revisioni periodiche del rischio, aggiornamento delle procedure e formazione del personale, dagli amministratori agli operatori.

NIS2 e monitoraggio intelligente

Uno degli aspetti più impegnativi per una PMI è accorgersi dell'incidente in tempo. Con reparti IT ridotti, il controllo manuale dei log è impraticabile. Per questo abbiamo sviluppato Hector, la nostra piattaforma di monitoraggio basata su intelligenza artificiale che sorveglia server e infrastrutture, individua anomalie e segnala comportamenti sospetti prima che diventino un incidente grave. È un supporto concreto proprio dove la NIS2 chiede rilevamento tempestivo e continuità operativa.

Mettiti in regola con la NIS2, con un partner del territorio

La NIS2 non è un adempimento burocratico da subire, ma l'occasione per rendere la tua azienda davvero resiliente. Da oltre 25 anni affianchiamo le PMI di Melzo e della Lombardia nella protezione di server e infrastrutture, con la concretezza di chi lavora sul campo (Google 4.7/5 su 37 recensioni).

Chiama TN Solutions allo 02 9517550 per una verifica di applicabilità NIS2 e una gap analysis sulla tua infrastruttura, oppure scrivici dalla pagina contatti. Ti diciamo con chiarezza cosa devi fare e cosa no.