NIS2: si applica alla tua azienda? Guida pratica

La domanda che ricevo più spesso sulla NIS2 è la più semplice: “ma riguarda anche me?”. La risposta onesta è: dipende da tre cose — settore, dimensione e clienti. Questa guida le passa in rassegna nell’ordine giusto.

Vuoi la risposta rapida? Il check NIS2 gratuito te la dà in sei domande, senza lasciare l’email. Questa guida spiega il perché dietro quelle domande.

Cos’è la NIS2, in una frase

La NIS2 è la direttiva europea sulla cybersicurezza (2022/2555), recepita in Italia con il D.lgs. 138/2024: impone alle organizzazioni che erogano servizi rilevanti per l’economia e la società misure di gestione del rischio informatico, obblighi di notifica degli incidenti e responsabilità dirette per chi amministra.

Primo filtro: il settore

La normativa elenca i settori in due allegati:

• Allegato I — settori ad alta criticità: energia, trasporti, banche e infrastrutture finanziarie, sanità, acqua potabile e acque reflue, infrastrutture digitali, gestione dei servizi ICT B2B, spazio, pubblica amministrazione.
• Allegato II — altri settori critici: servizi postali e corrieri, gestione rifiuti, chimica, alimentare, fabbricazione di prodotti critici (dispositivi medici, elettronica, macchinari, autoveicoli), fornitori di servizi digitali (marketplace, motori di ricerca, social network), ricerca.

Se non operi in nessuno di questi settori, con ogni probabilità non sei soggetto direttamente — ma non chiudere la pagina: il capitolo sulla supply chain riguarda proprio te.

Secondo filtro: la dimensione

La regola generale (il cosiddetto size-cap) è che la NIS2 si applica alle organizzazioni dei settori elencati che siano almeno medie imprese: da 50 dipendenti in su, oppure oltre 10 milioni di euro di fatturato annuo. Sopra i 250 dipendenti o i 50 milioni di fatturato si tende a ricadere tra i soggetti essenziali; sotto, tra i soggetti importanti.

Ci sono però casi speciali in cui la dimensione non conta: fornitori di servizi DNS, registri dei nomi di dominio, prestatori di servizi fiduciari, fornitori di reti di comunicazione — e chi è fornitore unico nazionale di un servizio essenziale. In questi casi si può rientrare anche da micro-impresa.

Essenziale o importante: cosa cambia

Le due categorie hanno gli stessi obblighi di fondo, ma cambiano vigilanza e sanzioni:

• i soggetti essenziali sono sottoposti a vigilanza anche preventiva e rischiano sanzioni fino a 10 milioni di euro o al 2% del fatturato annuo mondiale (il maggiore dei due);
• i soggetti importanti sono vigilati soprattutto a posteriori, con sanzioni fino a 7 milioni di euro o all’1,4%.

In entrambi i casi il decreto prevede responsabilità dirette per gli organi di amministrazione: la cybersicurezza smette di essere un problema “dell’IT” e diventa un tema da consiglio di amministrazione.

Il filtro che sorprende: la supply chain

Qui cascano molte piccole aziende convinte di essere fuori. Tra le misure richieste ai soggetti NIS2 c’è la sicurezza della catena di approvvigionamento: chi è in perimetro deve valutare e gestire il rischio dei propri fornitori. In pratica, questo si traduce in requisiti contrattuali — questionari di sicurezza, clausole, audit — che scendono lungo la filiera.

Tradotto: se fornisci software, servizi IT, logistica o componenti a un’azienda soggetta alla NIS2, è realistico che prima o poi ti vengano chieste garanzie di sicurezza documentate. Non sei “soggetto NIS2”, ma i suoi effetti ti arrivano lo stesso — e chi si fa trovare pronto ha un vantaggio commerciale concreto sui concorrenti.

Se sei in perimetro: gli obblighi principali

1. Registrazione sul portale ACN (l’Agenzia per la Cybersicurezza Nazionale), nelle finestre temporali previste.
2. Misure di gestione del rischio (art. 24 del decreto): analisi dei rischi, gestione degli incidenti, continuità operativa e backup, sicurezza della supply chain, cifratura, controllo degli accessi, formazione, MFA dove appropriato.
3. Notifica degli incidenti significativi: preallarme entro 24 ore dalla conoscenza dell’incidente e notifica entro 72 ore, con relazione finale successiva.
4. Formazione degli organi di amministrazione, che devono approvare e sorvegliare l’approccio alla gestione del rischio.

L’adeguamento è graduale: l’ACN ha definito un calendario a tappe, con le prime scadenze operative già in corso. Il punto non è fare tutto subito, ma sapere dove sei rispetto al percorso.

Da dove partire, in pratica

• Verifica il perimetro: settore + dimensione + casi speciali. Il check gratuito è un buon primo passo.
• Se sei dentro: registrazione ACN se non l’hai fatta, poi una gap analysis sulle misure dell’art. 24 per capire distanza e priorità.
• Se sei fornitore di chi è dentro: portati avanti sulle misure di base (MFA, backup testati, gestione accessi, patch): sono le stesse cose che i tuoi clienti ti chiederanno per contratto.

Questa guida è un orientamento generale, non un parere legale: la determinazione formale del perimetro va fatta sulla situazione specifica della singola organizzazione. Se vuoi un parere sulla tua, parliamone.