Da quando la direttiva europea NIS2 è diventata legge in Italia, molte imprese ricevono email, circolari di associazioni e questionari di clienti che ne parlano. La domanda è sempre la stessa: "Riguarda anche me?". La risposta dipende da tre fattori: il settore in cui operi, la dimensione dell'azienda e alcuni casi particolari previsti dalla legge. C'è poi un quarto caso, che interessa moltissime PMI lombarde: non essere soggetto NIS, ma lavorare per qualcuno che lo è. In questa guida trovi un percorso semplice per orientarti, gli obblighi principali e le scadenze aggiornate al 12 novembre 2026 secondo le indicazioni dell'Agenzia per la Cybersicurezza Nazionale (ACN). Non è una consulenza legale: per l'inquadramento definitivo serve il tuo consulente, ma arriverai alla conversazione con le idee chiare.
La NIS2 in poche righe
La NIS2 è la Direttiva (UE) 2022/2555 sulla sicurezza delle reti e dei sistemi informativi. L'Italia l'ha recepita con il Decreto Legislativo 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024. Lo scopo è alzare il livello di sicurezza informatica delle organizzazioni che forniscono servizi importanti per la società e l'economia. Rispetto alla prima direttiva NIS, il campo si è allargato molto: secondo l'ACN, che in Italia è l'autorità competente, oggi i settori coinvolti sono 18 e le tipologie di soggetti pubblici e privati più di 80, elencate negli allegati I, II, III e IV del decreto.
Il test in tre domande
1. Il tuo settore è fra quelli elencati?
Il decreto distingue settori ad alta criticità e altri settori critici. Ecco un riepilogo, da usare come primo filtro.
| Settori ad alta criticità (Allegato I) | Altri settori critici (Allegato II) |
|---|---|
| Energia (elettricità, gas, petrolio, idrogeno, teleriscaldamento) | Servizi postali e di corriere |
| Trasporti (aereo, ferroviario, marittimo, stradale) | Gestione dei rifiuti |
| Settore bancario e infrastrutture dei mercati finanziari | Fabbricazione, produzione e distribuzione di sostanze chimiche |
| Sanità | Produzione, trasformazione e distribuzione di alimenti |
| Acqua potabile e acque reflue | Fabbricazione di dispositivi medici, computer ed elettronica, apparecchiature elettriche, macchinari, autoveicoli e altri mezzi di trasporto |
| Infrastrutture digitali e gestione dei servizi informatici fra imprese | Fornitori di servizi digitali (mercati online, motori di ricerca, social network) |
| Spazio | Ricerca |
Le pubbliche amministrazioni sono trattate nell'Allegato III, mentre l'Allegato IV aggiunge ulteriori categorie scelte dal legislatore italiano. Attenzione alle parole: "produzione di alimenti" o "fabbricazione di macchinari" coprono una parte importante del tessuto industriale del Nord Italia, dal caseario alla meccanica. Il riferimento preciso sono i codici di attività descritti negli allegati: confrontali con quelli della tua visura camerale.
2. Sei almeno una media impresa?
Come regola generale la NIS2 si applica alle imprese di media e grande dimensione dei settori elencati. Per la dimensione si usa la Raccomandazione europea 2003/361/CE. In pratica non sei una piccola impresa, e quindi rientri nel criterio, se hai almeno 50 occupati, oppure se sia il fatturato annuo sia il totale di bilancio superano i 10 milioni di euro. Due attenzioni:
- Contano le società collegate. Se fai parte di un gruppo o hai partecipazioni importanti, i dati vanno sommati secondo le regole della Raccomandazione. Una società piccola dentro un gruppo grande può superare le soglie.
- La dichiarazione è tua. La dimensione si autodichiara sulla piattaforma ACN e la valutazione va documentata.
3. Sei in un caso che non dipende dalla dimensione?
Alcuni soggetti rientrano anche se sono piccoli: per esempio i fornitori di reti e servizi di comunicazione elettronica accessibili al pubblico, i prestatori di servizi fiduciari, i gestori di domini di primo livello e i fornitori di servizi DNS, le pubbliche amministrazioni indicate dal decreto e i soggetti che l'autorità individua perché unici fornitori di un servizio essenziale o perché un loro blocco avrebbe effetti rilevanti. Se la tua attività è vicina a questi ambiti, approfondisci con il consulente.
In sintesi: settore elencato + almeno media impresa = quasi certamente soggetto NIS. Settore elencato ma piccola impresa = di norma no, salvo i casi speciali. Settore non elencato = no come soggetto diretto, ma leggi la sezione sui fornitori.
Soggetti essenziali e soggetti importanti
Chi rientra viene classificato in due categorie. In linea generale sono essenziali le grandi imprese dei settori ad alta criticità e alcune categorie indicate direttamente dalla legge; gli altri soggetti NIS sono importanti. La differenza conta per il livello di vigilanza e per le sanzioni: per le violazioni più gravi il decreto prevede fino a 10 milioni di euro o il 2% del fatturato annuo mondiale per gli essenziali, e fino a 7 milioni o l'1,4% per gli importanti, se superiore. Anche le misure di sicurezza di base sono definite in due allegati diversi a seconda della categoria.
Cosa deve fare un soggetto NIS
- Registrarsi sulla piattaforma ACN e indicare un punto di contatto. La registrazione, o il suo aggiornamento, si fa ogni anno dal 1° gennaio al 28 febbraio.
- Aggiornare ogni anno le informazioni richieste: secondo il calendario pubblicato dall'ACN, la finestra va dal 15 aprile al 31 maggio.
- Adottare le misure di sicurezza di base. Sono definite dalla determinazione ACN n. 379907 del 19 dicembre 2025, applicabile dal 15 gennaio 2026, e riguardano fra l'altro gestione del rischio, ruoli e responsabilità, continuità operativa, controllo degli accessi, backup e sicurezza della catena di fornitura.
- Notificare gli incidenti significativi al CSIRT Italia: una pre-notifica entro 24 ore da quando se ne viene a conoscenza e una notifica entro 72 ore, seguite da una relazione finale.
- Coinvolgere i vertici. Gli organi di amministrazione approvano le misure, ne sovrintendono l'attuazione, ne rispondono e devono seguire una formazione in materia. La sicurezza non si può più delegare tutta "al tecnico".
Le scadenze, aggiornate al 12 novembre 2026
Le date dipendono dall'anno in cui l'azienda è stata inserita nell'elenco dei soggetti NIS. Quelle che seguono sono riportate dall'ACN nelle sue pagine e nelle determinazioni pubblicate.
| Chi | Cosa | Termine |
|---|---|---|
| Tutti i soggetti | Registrazione o aggiornamento sulla piattaforma ACN | Ogni anno dal 1° gennaio al 28 febbraio (prossima finestra: 1° gennaio – 28 febbraio 2027) |
| Tutti i soggetti | Aggiornamento annuale delle informazioni | Dal 15 aprile al 31 maggio |
| Soggetti inseriti in elenco nel 2025 | Notifica degli incidenti significativi di base | Entro 9 mesi dalla comunicazione di inserimento (in pratica da gennaio 2026) |
| Soggetti inseriti in elenco nel 2025 | Misure di sicurezza di base | Entro 18 mesi dalla comunicazione di inserimento (in pratica entro ottobre 2026) |
| Soggetti inseriti per la prima volta nel 2026 | Designazione del referente CSIRT | Entro la fine del 2026 |
| Soggetti inseriti per la prima volta nel 2026 | Notifica degli incidenti significativi di base | Dal 1° gennaio 2027 |
| Soggetti inseriti per la prima volta nel 2026 | Misure di sicurezza di base | Entro il 31 luglio 2027 |
I termini per i nuovi soggetti del 2026 sono fissati dalla determinazione ACN n. 127434 del 13 aprile 2026. L'Agenzia aggiorna spesso determinazioni e FAQ: prima di ogni scadenza controlla le pagine NIS sul sito ufficiale acn.gov.it.
Non rientri? Potresti esserci come fornitore
È il caso più frequente fra le piccole imprese. Un soggetto NIS deve gestire la sicurezza della propria catena di approvvigionamento: valutare i rischi che arrivano dai fornitori, fissare requisiti di sicurezza e verificarli. Nel 2026 l'ACN ha pubblicato FAQ dedicate alla sicurezza della catena di fornitura e ha introdotto l'elencazione, da parte dei soggetti NIS, dei loro fornitori rilevanti, anche per individuare quelli che, per il ruolo che hanno, potrebbero essere considerati a loro volta soggetti NIS.
Tradotto: se fai manutenzione sugli impianti di un'azienda energetica, produci componenti per un grande stabilimento alimentare, gestisci la logistica di un ospedale o il software di un'azienda di trasporti, è probabile che il tuo cliente ti chieda di dimostrare un livello minimo di sicurezza. Se offri servizi informatici gestiti ad altre imprese, controlla anche il primo punto: la gestione dei servizi informatici fra imprese è essa stessa un settore NIS.
Cosa può chiederti un cliente soggetto NIS
- la compilazione di un questionario sulla sicurezza (chi accede ai sistemi, come, con quali controlli);
- l'uso del doppio controllo all'accesso per chi si collega ai suoi sistemi;
- la garanzia di backup regolari e verificati dei dati che tratti per suo conto;
- l'impegno a segnalargli rapidamente gli incidenti che potrebbero riguardarlo;
- clausole contrattuali su riservatezza, sicurezza e possibilità di verifica;
- l'elenco dei tuoi subfornitori che hanno accesso ai suoi dati o sistemi.
Non serve una certificazione per rispondere: la legge non la impone ai fornitori in generale. Serve poter dimostrare con fatti e documenti che le misure ci sono. Nella maggior parte dei casi sono le stesse descritte nella guida sulla sicurezza informatica per piccole aziende; se un incidente arriva davvero, la guida su cosa fare in caso di ransomware aiuta a rispettare i tempi di segnalazione al cliente.
Come prepararsi senza farsi travolgere
- Fai l'autovalutazione per iscritto: codice di attività, dimensione con le società collegate, eventuali casi speciali. Conservala, anche se la conclusione è "non rientriamo".
- Fai l'elenco dei clienti che potrebbero essere soggetti NIS e preparati alle loro richieste.
- Metti ordine nei sistemi: inventario di dispositivi e account, aggiornamenti, backup provati, accessi esterni protetti.
- Scrivi chi fa cosa: responsabile interno, fornitore informatico, procedura in caso di incidente con i tempi.
- Verifica il contratto con chi ti segue l'informatica: deve dire con chiarezza chi si occupa di aggiornamenti, backup, registri e risposta agli incidenti. Su cosa guardare, vedi la guida al contratto di assistenza informatica.
Dove possiamo aiutarti
Siamo tecnici, non avvocati: l'inquadramento giuridico va fatto con il tuo consulente. Il nostro lavoro è la parte pratica, cioè mettere in piedi e documentare le misure tecniche che un soggetto NIS o un suo fornitore devono poter dimostrare: inventario, doppio controllo all'accesso, backup con prove di ripristino, aggiornamenti, firewall e VPN, registro degli interventi. Faberweb lavora da Lodi Vecchio dal 2001 per aziende ed enti, in sede entro circa 100 km e da remoto; il lavoro è conteggiato a 43 € + IVA all'ora, con l'uscita calcolata a chilometri per gli interventi in sede. Se hai ricevuto un questionario da un cliente, mandacelo: vediamo insieme a quali domande puoi già rispondere. Gli altri servizi sono nella pagina Informatica e assistenza.
Domande frequenti
Sono una piccola impresa con 15 dipendenti: la NIS2 non mi riguarda?
Di norma non sei soggetto NIS, anche se il tuo settore è elencato, salvo i casi che la legge prevede indipendentemente dalla dimensione o un'individuazione specifica da parte dell'autorità. Verifica però le società collegate e i tuoi clienti: se lavori per soggetti NIS, ti chiederanno comunque garanzie di sicurezza.
Chi decide se la mia azienda è soggetto NIS?
Il primo passo è tuo: valuti settore e dimensione e, se rientri, ti registri sulla piattaforma dell'ACN. L'Agenzia verifica le informazioni, redige l'elenco dei soggetti NIS e comunica l'inserimento e la categoria, essenziale o importante. L'ACN può anche individuare direttamente soggetti che non si sono registrati.
Mi accorgo adesso di dover essere registrato: cosa faccio?
Parlane subito con il tuo consulente e prepara i dati per la prossima finestra di registrazione, dal 1° gennaio al 28 febbraio 2027. Nel frattempo inizia dalle misure tecniche essenziali, che servono comunque e richiedono tempo. Le regole sulle dichiarazioni fuori termine sono nelle determinazioni ACN: verificale con il consulente.
La certificazione ISO/IEC 27001 è obbligatoria per la NIS2?
No, la NIS2 non impone una certificazione. Un sistema di gestione della sicurezza conforme a una norma riconosciuta può aiutare a organizzare e dimostrare le misure, ma gli obblighi da rispettare sono quelli del decreto e delle determinazioni ACN.
Che differenza c'è fra NIS2 e GDPR?
Il GDPR protegge i dati personali e vale per chiunque li tratti; la NIS2 riguarda la sicurezza e la continuità dei servizi dei soggetti elencati, anche quando non ci sono dati personali in gioco. Un ransomware in un'azienda NIS può far scattare entrambe le segnalazioni: al Garante entro 72 ore e al CSIRT Italia con i tempi previsti dalla NIS.
Un cliente mi chiede di firmare clausole di sicurezza: devo accettarle tutte?
Leggile con attenzione e accetta solo ciò che puoi davvero rispettare: tempi di segnalazione degli incidenti, misure tecniche, verifiche. Se una richiesta è sproporzionata rispetto al servizio che fornisci, si può discutere. Prima di firmare conviene sapere con precisione quali misure hai già e quali vanno introdotte.