NIS2 dal 2026: gli obblighi in arrivo per le PMI.

Chi è interessato dalla NIS2?

La NIS2 distingue tra soggetti ‘essenziali’ e ‘importanti’. Sono determinanti il settore e le dimensioni dell'azienda. In linea generale, le medie imprese con almeno 50 dipendenti o oltre 10 milioni di euro di fatturato annuo che operano in uno dei settori contemplati rientrano nel suo ambito di applicazione.

Tra i settori contemplati rientrano:

- Energia, trasporti, banche e infrastrutture dei mercati finanziari

- Sanità, acqua potabile e acque reflue

- Infrastrutture digitali, fornitori di servizi IT e data center

- Industria manifatturiera (tra cui macchinari, veicoli e dispositivi medici)

- Servizi postali e di corriere, gestione dei rifiuti, chimica e alimentare

Importante: anche chi non rientra direttamente nella NIS2 può essere coinvolto attraverso la catena di fornitura. Le aziende interessate devono valutare la sicurezza dei fornitori e trasferire loro i relativi requisiti.

Gli obblighi principali ai sensi dell'art. 21

Il cuore della NIS2 è l'art. 21: i soggetti interessati devono adottare ‘misure tecniche, operative e organizzative adeguate e proporzionate’ per gestire i rischi per i sistemi informatici e di rete. In concreto, la direttiva richiede tra l'altro:

- Politiche di analisi dei rischi e sicurezza dei sistemi informatici

- Procedure per la gestione degli incidenti di sicurezza (incident response)

- Business continuity, gestione dei backup e gestione delle crisi

- Sicurezza della catena di fornitura e dei fornitori di servizi

- Sicurezza nell'acquisizione, nello sviluppo e nella manutenzione dei sistemi e gestione delle vulnerabilità

- Procedure per valutare l'efficacia delle misure

- Formazione, igiene informatica e uso della crittografia e della cifratura

- Controllo degli accessi, gestione degli asset e autenticazione a più fattori

L'approccio basato sul rischio è decisivo: le misure devono essere adeguate al rischio effettivo dell'azienda. Un pacchetto standard preconfezionato, di norma, non soddisfa i requisiti.

Obblighi di segnalazione e registrazione

La NIS2 introduce termini brevi per segnalare gli incidenti di sicurezza significativi, articolati in più fasi:

- Entro 24 ore: un primo preallarme all'autorità competente o al CSIRT;

- Entro 72 ore: una segnalazione più completa dell'incidente con una prima valutazione;

- Entro un mese: una relazione finale su cause, misure e impatto.

Si aggiunge l'obbligo di registrazione: i soggetti interessati devono registrarsi presso l'organismo nazionale competente e mantenere aggiornati i dati di contatto. Ignorare questi obblighi espone a sanzioni, anche se non si verifica alcun incidente.

Responsabilità della direzione

Una delle novità principali è che la NIS2 chiama espressamente in causa i vertici aziendali. La direzione deve approvare le misure di gestione del rischio, sorvegliarne l'attuazione e può essere ritenuta personalmente responsabile delle violazioni. Sono inoltre previste formazioni periodiche per gli organi direttivi.

Le sanzioni sono considerevoli: per i soggetti essenziali possono raggiungere 10 milioni di euro o il 2% del fatturato annuo mondiale; per i soggetti importanti 7 milioni di euro o l'1,4%. Si aggiungono possibili danni reputazionali e, nei casi gravi, conseguenze personali per i responsabili.

Cosa fare ora

Anche se lo stato del recepimento varia da Paese a Paese, non c'è motivo di aspettare. Questi passi sono utili indipendentemente dalla data esatta di entrata in vigore:

- Chiarire l'applicabilità: verificate in base a settore e dimensioni se e come la NIS2 si applica alla vostra azienda.

- Valutare la situazione attuale: una gap analysis mostra quali misure dell'art. 21 sono già presenti e dove restano lacune.

- Creare una roadmap: date priorità alle misure in base a rischio e impegno, senza affrontare tutto contemporaneamente.

- Definire i processi: incident response, canali di segnalazione e strategie di backup devono essere documentati e collaudati.

- Coinvolgere la direzione: assicurate le decisioni e la formazione necessarie a livello direttivo.

Conclusione

La NIS2 non è un fastidio burocratico, ma una risposta giustificata a una minaccia reale. Per le PMI significa soprattutto iniziare per tempo, procedere in modo strutturato e implementare la sicurezza sul piano tecnico, non soltanto documentarla. Chi inizia presto distribuisce l'impegno, evita costosi progetti dell'ultimo minuto ed è in grado di agire in caso di incidente.