NIS2 in Italia per le PMI: sono nel perimetro? Cosa chiede l’ACN e cosa fare in pratica

In Italia la direttiva europea NIS2 è stata recepita con il D.Lgs. 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024. L’autorità competente è l’ACN, l’Agenzia per la cybersicurezza nazionale. Molte PMI si chiedono se la cosa le riguardi. Questo articolo riassume cosa dicono le fonti ufficiali dell’ACN e propone un percorso pratico.

Avvertenza: questo testo è un’introduzione tecnica, non consulenza legale. Per un’interpretazione sul tuo caso specifico servono il testo del decreto, le determinazioni dell’ACN e, se serve, un legale. Le date indicate sono quelle pubblicate dall’ACN al momento della stesura; verificale sul portale NIS dell’ACN prima di agire.

Sono nel perimetro?

Il decreto elenca oltre 80 tipologie di soggetto, raggruppate in 18 settori: 11 altamente critici e 7 critici. L’ACN usa le espressioni «soggetti essenziali» e «soggetti importanti». Il perimetro include i soggetti riconducibili a queste tipologie che sono medie o grandi imprese ai sensi della raccomandazione europea 2003/361/CE. L’inclusione dipende da criteri oggettivi, non da una scelta dell’azienda.

L’ACN propone un’autovalutazione in tre passi:

• Giurisdizione: di norma si applica se l’organizzazione è stabilita in Italia, con alcune eccezioni per certi servizi digitali e di comunicazione.
• Dimensione: micro e piccole imprese (meno di 50 dipendenti e fatturato o bilancio sotto i 10 milioni di euro) sono escluse, salvo eccezioni come i fornitori di servizi DNS, i gestori di registri di nomi di dominio e i prestatori di servizi fiduciari.
• Tipologia: basta che almeno una tipologia degli allegati I e II del decreto sia applicabile, anche in forma residuale. Se hai dubbi, l’ACN suggerisce di registrarsi comunque.

Attenzione: una PMI sotto soglia può comunque essere coinvolta in modo indiretto. Se è fornitore di un soggetto NIS, il cliente potrà chiederle requisiti di sicurezza nel contratto. Questo non la rende soggetto NIS, ma cambia il modo di lavorare.

La registrazione sulla piattaforma ACN

I soggetti che si riconoscono in una tipologia dei due allegati devono registrarsi sulla piattaforma dell’ACN. Ogni persona giuridica si registra separatamente, anche se fa parte di un gruppo. Le date ufficiali sono queste:

• Registrazione: dal 1° gennaio al 28 febbraio di ogni anno.
• Elenco: l’ACN redige l’elenco dei soggetti essenziali e importanti entro il 31 marzo e ad aprile comunica a ciascun registrato, al domicilio digitale, se rientra nell’elenco.
• Aggiornamento annuale delle informazioni: dal 15 aprile al 31 maggio.
• Variazioni: vanno comunicate entro 14 giorni dalla modifica, secondo la determinazione ACN 379887/2025.

Se la tua azienda non si è ancora registrata e pensa di rientrare, la prossima finestra ordinaria si apre il 1° gennaio. Le FAQ dell’ACN non trattano la registrazione fuori finestra e non indicano le conseguenze della mancata registrazione: non darle per scontate in nessuna direzione. Il testo precisa però che gli organi di amministrazione sovrintendono a registrazione e aggiornamenti e ne rispondono, e che le dichiarazioni mendaci hanno conseguenze penali.

Notifica degli incidenti significativi

Gli incidenti significativi vanno notificati al CSIRT Italia. Il percorso è a più fasi:

• Pre-notifica: senza ingiustificato ritardo e comunque entro 24 ore da quando il soggetto ne è venuto a conoscenza.
• Notifica completa: entro 72 ore dalla pre-notifica, sempre senza ingiustificato ritardo.
• Relazione finale: entro un mese dalla trasmissione della notifica; se l’incidente è ancora in corso, sono previste relazioni intermedie.

Cosa conta come «significativo» è definito da una tassonomia dell’ACN, con casi diversi per soggetti importanti ed essenziali. Quando l’obbligo scatta dipende da quando sei entrato nell’elenco: per i soggetti inseriti nel 2025, nove mesi dalla comunicazione di inserimento; per i soggetti inseriti per la prima volta nel 2026, dal 1° gennaio 2027.

Le misure di sicurezza di base

Gli obblighi di sicurezza sono definiti dalla determinazione ACN 379907 del 19 dicembre 2025. I soggetti importanti applicano le misure dell’Allegato 1, quelli essenziali l’Allegato 2, che richiede qualche evidenza in più (ad esempio configurazioni di riferimento e flussi di rete). Le misure hanno una parte amministrativa (politiche, piani, ruoli) e una tecnica (ad esempio cifratura e autenticazione a più fattori).

I termini per le misure: per i soggetti inseriti nel 2025, diciotto mesi dalla comunicazione di inserimento; per quelli inseriti per la prima volta nel 2026, il 31 luglio 2027. L’ACN precisa inoltre che dal 1° gennaio 2026 applica un’attuazione graduale, calibrata sul principio di proporzionalità. Gli organi di amministrazione approvano le misure e ne rispondono.

Sanzioni

I poteri ispettivi e sanzionatori sono rafforzati e le sanzioni sono allineate a quelle del GDPR. Le cifre massime riportate dalla stampa specializzata sono fino a 10 milioni di euro o il 2% del fatturato mondiale per i soggetti essenziali, e fino a 7 milioni o l’1,4% per i soggetti importanti. Non ho verificato questi importi sul testo dell’articolo 38 in Gazzetta Ufficiale, quindi consideralo un ordine di grandezza da controllare, non un dato certo.

Cosa fare in pratica

Una checklist realistica per una PMI, in ordine di priorità:

1. Fai l’autovalutazione su giurisdizione, dimensione e tipologia, e conserva per iscritto il ragionamento e la data.
2. Se rientri o hai dubbi, pianifica la registrazione nella finestra dal 1° gennaio al 28 febbraio. Preparati prima: dati societari, codici ATECO, sedi, domini e indirizzi IP pubblici.
3. Nomina un referente per la piattaforma ACN e per il CSIRT, con un sostituto. Verifica che la PEC aziendale sia presidiata: le comunicazioni arrivano al domicilio digitale.
4. Coinvolgi la direzione. Le misure vanno approvate dagli organi di amministrazione, che ne rispondono.
5. Fai l’inventario di sistemi, servizi, domini e fornitori critici. Senza inventario non esiste né gestione del rischio né notifica corretta.
6. Applica le basi tecniche: autenticazione a più fattori, aggiornamenti, backup con ripristino provato (vedi Backup senza test di ripristino), cifratura dove serve, log conservati.
7. Scrivi un piano incidenti con chi decide, chi notifica e come si contatta il CSIRT. Il tempo di 24 ore parte da quando ne vieni a conoscenza, non da quando finisce l’analisi.
8. Prevedi un canale di emergenza fuori dal fornitore principale. Se posta e chat cadono insieme, non puoi avvisare nessuno: lo mostra il caso descritto in il giorno dopo l’interruzione di Microsoft 365.
9. Controlla i contratti con i fornitori IT e con i clienti NIS: chi segnala cosa, in quanto tempo, con quali garanzie.
10. Segna le date in calendario: finestra di registrazione, aggiornamento annuale, termini per notifica e misure del tuo gruppo di ingresso nell’elenco.

Per concludere

La NIS2 italiana non chiede di fare tutto subito, ma chiede di sapere dove si è e di poterlo dimostrare. Se non sei nel perimetro, le stesse basi restano utili. Se lo sei, la parte più rischiosa è non aver capito di esserci. Parti dall’autovalutazione e dalle date sul portale ufficiale, e per i casi dubbi chiedi un parere legale.