NIS2 per le PMI: cosa cambia davvero e da dove partire
Se la tua PMI rientra nella NIS2, ecco cosa richiede la direttiva in concreto e i primi passi operativi — senza allarmismi e senza promesse di conformità automatica.
La direttiva NIS2 — Direttiva (UE) 2022/2555, recepita in Italia con il D.Lgs 4 settembre 2024, n. 138 — ha ampliato in modo netto la platea dei soggetti obbligati. Non riguarda più solo grandi operatori di infrastrutture critiche: oggi coinvolge migliaia di PMI che prima erano fuori dal perimetro normativo sulla cybersicurezza.
Se la tua azienda ha ricevuto la comunicazione dell'ACN, o se operi in uno dei settori degli Allegati I e II, questa guida ti spiega cosa cambia in concreto e da dove conviene partire.
Cosa chiede davvero la NIS2 a una PMI
La NIS2 non è una checklist di prodotti da comprare. Chiede tre cose, in ordine:
- Governance della sicurezza. Gli organi di gestione devono approvare le misure di gestione del rischio, verificarne l'attuazione e ricevere formazione adeguata. La responsabilità non è delegabile all'IT: è dell'organo direttivo.
- Misure tecniche e organizzative adeguate al rischio, elencate all'art. 21 della direttiva (art. 24 del decreto): analisi dei rischi, gestione degli incidenti, continuità operativa, sicurezza della catena di fornitura, crittografia, controllo degli accessi, igiene informatica e formazione. Le abbiamo spiegate una per una nell'articolo sulle 10 misure minime dell'art. 21.
- Notifica degli incidenti significativi al CSIRT Italia, con scadenze precise: preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro un mese. Il dettaglio è nell'articolo dedicato alla notifica degli incidenti.
Il primo passo: definire il perimetro
L'errore più comune è partire dagli strumenti — un antivirus nuovo, un firewall, un corso. Ma senza sapere quali servizi sono critici e quali asset li sostengono, ogni misura è costruita sul vuoto.
Il perimetro risponde a domande semplici ma decisive:
- Quali sono i servizi la cui interruzione causa un danno reale (ai clienti, ai cittadini, al fatturato)?
- Quali sistemi, applicazioni e fornitori li sostengono?
- Chi è il referente per la sicurezza e chi lo sostituisce in sua assenza?
È da qui che nasce tutto il resto: l'inventario degli asset, il registro dei rischi, il piano di trattamento, i documenti e le evidenze.
Prima capisci in che categoria sei
Non tutti i soggetti hanno gli stessi obblighi. La NIS2 distingue tra soggetti essenziali e soggetti importanti, con regimi di vigilanza e sanzioni diversi. Capire in quale categoria rientri cambia le priorità: lo spieghiamo nell'articolo su soggetti essenziali e importanti.
Readiness, non "conformità al 100%"
Nessuno strumento e nessun consulente possono renderti "automaticamente conforme" alla NIS2, e va diffidato di chi lo promette. La conformità è un giudizio che richiede decisioni umane, revisione e — quando serve — validazione legale.
Quello che puoi costruire è la readiness: uno stato in cui sai dove sei, cosa manca e puoi dimostrarlo con evidenze. È un concetto diverso e più onesto della "percentuale di conformità", come argomentiamo in readiness vs compliance.
Da dove iniziare oggi
Un percorso pragmatico per una PMI:
- Verifica se e come rientri e registrati sul portale ACN nelle finestre previste.
- Definisci il perimetro e i servizi critici.
- Fai un assessment onesto del punto di partenza: quali misure hai davvero, quali solo sulla carta.
- Pianifica il trattamento dei rischi prioritari, con owner e scadenze.
- Raccogli le evidenze man mano: sono ciò che distingue una misura "dichiarata" da una "dimostrabile".
Se vuoi partire dal punto 3, il nostro Readiness Self-Assessment gratuito ti dà in cinque minuti una fotografia del punto in cui sei e dei gap principali, senza registrazione.
Questo contenuto ha finalità informative e non costituisce consulenza legale. Gli obblighi specifici dipendono dal settore, dalla dimensione e dalla determinazione dell'ACN: verifica sempre i riferimenti ufficiali e, quando serve, il parere di un professionista.