NIS2 e PMI: sei obbligato tu, o è il tuo cliente che te lo chiede?

La NIS2 è la direttiva europea sulla sicurezza delle reti e dei sistemi informativi, recepita in Italia con il D.lgs. 4 settembre 2024, n. 138. Non è una certificazione da comprare e non riguarda tutte le imprese: vale per i soggetti inseriti in un elenco nazionale tenuto dall'Agenzia per la Cybersicurezza Nazionale, che ogni anno devono registrarsi e aggiornare i propri dati su una piattaforma dedicata.

Ma la storia non finisce lì, ed è qui che quasi tutti gli articoli sulla NIS2 si fermano un passo troppo presto: anche se non sei nell'elenco, puoi comunque riceverne l'effetto — come fornitore di chi c'è dentro.

La NIS2 è la stessa cosa del GDPR?

No. Il GDPR protegge i dati personali e vale per chiunque li tratti; la NIS2 protegge la continuità dei servizi e vale solo per i soggetti inclusi nell'elenco NIS. Non coincide nemmeno con la ISO/IEC 27001, che è una certificazione volontaria: la NIS2 è un obbligo che nasce da una comunicazione ricevuta, non da una scelta dell'azienda.

Chi sente parlare per la prima volta di NIS2 tende a infilarla nello stesso cassetto del GDPR, o a confonderla con una certificazione da appendere in homepage. Sono tre cose diverse, e vale la pena separarle prima di andare avanti:

• GDPR — protegge i dati personali di clienti e dipendenti. Riguarda chiunque tratti quei dati, indipendentemente dalla dimensione dell'azienda. Ne abbiamo scritto negli obblighi che ha un sito che raccoglie dati.
• ISO/IEC 27001 — è una certificazione volontaria sulla gestione della sicurezza delle informazioni. Nessuno te la impone: la scegli, di solito perché un cliente grande la chiede come requisito.
• NIS2 — è un obbligo di legge, ma non per tutti: vale solo per chi è inserito nell'elenco nazionale dei soggetti NIS, dopo aver ricevuto una comunicazione dall'ACN.

La confusione più comune è pensare che, se sei in regola con il GDPR, sei automaticamente coperto anche sulla NIS2. Non è così: il GDPR guarda ai dati personali, la NIS2 guarda alla capacità dell'azienda di continuare a funzionare — backup, gestione degli incidenti, sicurezza della rete — indipendentemente dal fatto che i dati coinvolti siano personali o meno.

La NIS2 vale anche per un'azienda da dieci dipendenti?

Non lo decide la dimensione da sola. Si è soggetti NIS quando si rientra nei criteri di settore e dimensione della norma e si riceve la comunicazione di inserimento nell'elenco nazionale. Da quel momento scatta l'obbligo di registrarsi sulla piattaforma dell'ACN nella finestra annuale. Chi non rientra non è obbligato — ma può essere coinvolto come fornitore.

Come si verifica, in pratica: non esiste un modulo di autocandidatura né un test online che ti dice se sei dentro o fuori. È l'ACN a individuare i soggetti che rientrano nei criteri e a inviare la comunicazione di inserimento nell'elenco nazionale NIS. Se non l'hai mai ricevuta, oggi non sei un soggetto NIS — è un punto che vale la pena scrivere chiaro, perché è la domanda che genera più ansia immotivata.

I criteri esatti di settore e dimensione che fanno scattare l'inclusione nell'elenco non li elenchiamo qui in dettaglio: cambiano per settore e per soglie dimensionali, e riportarli senza averli letti sull'allegato tecnico rischierebbe di darti un criterio sbagliato su un tema dove sbagliare costa. Se hai un dubbio concreto sulla tua azienda, la fonte è la pagina dedicata dell'ACN, non un articolo di blog.

Quello che possiamo dirti con certezza: la dimensione da sola non ti esclude né ti include. Una microimpresa che fa un servizio critico in un settore regolato può rientrare; una media impresa in un settore non toccato dalla norma può restarne fuori del tutto. E anche restando fuori dall'elenco, la storia non finisce qui — è il tema della prossima domanda.

Il mio cliente mi ha mandato un questionario sulla sicurezza: devo rispondere?

Se non sei nell'elenco NIS, la legge non ti obbliga a rispondere. Il contratto sì. Un'azienda soggetta alla NIS2 deve tenere sotto controllo anche i rischi che le arrivano dai fornitori, e lo fa scaricando requisiti a valle: backup verificati, accessi personali, tempi di ripristino dichiarati, un referente reperibile. Non rispondere non produce una multa: fa saltare la fornitura.

È qui che la NIS2 smette di essere un problema teorico anche per chi non è mai stato inserito in nessun elenco. Nella pratica, chi vende alla Pubblica Amministrazione o a clienti industriali strutturati lo vede già: arriva un questionario di sicurezza prima della firma, o un allegato tecnico da compilare per restare fornitore qualificato. È il profilo di INNOVAFORNITURE, l'e-commerce B2B di forniture industriali — DPI, abbigliamento antinfortunistico, attrezzature professionali — che abbiamo costruito con integrazione MEPA/EMPULIA per la Pubblica Amministrazione e un programma Partner aziendale: un fornitore che tratta esattamente con il tipo di cliente che oggi chiede questi requisiti, prima ancora che esista un obbligo di legge diretto sul fornitore stesso.

Le quattro voci che tornano più spesso in questi questionari:

• Backup verificato, non solo presente — con una prova di ripristino recente da poter mostrare.
• Accessi nominali, non condivisi: si sa chi ha fatto cosa, e quando. È il tema di quando la password non basta più e serve una chiave fisica.
• Tempi di ripristino dichiarati in caso di incidente, non promessi a voce.
• Un referente reperibile, con un contatto scritto da prima che serva, non improvvisato al telefono la sera dell'incidente.

Nella pratica commerciale osserviamo che i committenti soggetti alla NIS2 chiedono sempre più spesso questi elementi ai propri fornitori, come parte della gestione dei rischi della catena di fornitura — è un'osservazione di mestiere, non una citazione della norma: il testo esatto dell'obbligo va verificato sull'allegato tecnico dell'ACN prima di scriverlo come regola generale. Quello che è già vero oggi, a prescindere dal dettaglio normativo, è che chi risponde bene a queste quattro voci si presenta meglio, e chi non le ha pronte le scopre nel peggior momento possibile: durante una gara o un rinnovo contrattuale.

Quali sono le scadenze della NIS2 e ogni quanto tornano?

Due finestre tornano ogni anno sul portale dell'ACN: la registrazione dal 1° dicembre al 28 febbraio e l'aggiornamento delle informazioni già dichiarate dal 15 aprile al 31 maggio. La terza scadenza non è una data uguale per tutti: le misure di sicurezza di base vanno adottate entro 18 mesi dalla comunicazione ricevuta da ciascun soggetto.

Le prime due sono finestre fisse, uguali per tutti i soggetti NIS: si aprono e si chiudono alla stessa data ogni anno, sul portale dell'ACN. La terza è diversa, ed è quella che genera più confusione: il termine dei 18 mesi decorre dalla comunicazione che ciascun soggetto riceve, non da una data comune a tutti. Un'azienda che ha ricevuto la comunicazione ad aprile 2025 ha una scadenza diversa da una che l'ha ricevuta a ottobre dello stesso anno — anche se sono nello stesso elenco, nello stesso settore, con lo stesso obbligo. Non esiste una data secca da segnare in agenda finché non conosci la data della tua comunicazione: da quella, e solo da quella, contano i diciotto mesi.

È il motivo per cui, se sei un soggetto NIS, conviene segnare il giorno stesso in cui arriva la comunicazione — non la scadenza che ne deriva, ma l'origine da cui si calcola. Un calendario condiviso in azienda, non nella testa di una sola persona, evita che il termine si perda per distrazione mesi dopo, quando nessuno ricorda più da quando si contano i diciotto mesi.

Cosa rischia chi non si registra?

La mancata registrazione ha una sanzione dichiarata dall'ACN sulla pagina stessa della registrazione: fino allo 0,1% del fatturato annuo mondiale. Essendo una percentuale non esiste una soglia sotto la quale convenga ignorarla: cresce con l'azienda. Il resto dell'impianto sanzionatorio sta nel D.lgs. 138/2024 e va letto caso per caso.

Registrarsi non è un modulo da compilare una volta e dimenticare: significa accedere al Portale dei servizi dell'ACN con le credenziali del legale rappresentante o di un suo delegato, e mantenere aggiornati i dati nella finestra di ogni anno. La scadenza non si perde per scelta — quasi sempre si perde per distrazione, perché la responsabilità è rimasta nella testa di una persona sola e in quei mesi era impegnata su altro. Il resto dell'impianto sanzionatorio del D.lgs. 138/2024 riguarda le violazioni sugli obblighi di sicurezza e sulla notifica degli incidenti, e va letto caso per caso: non lo riportiamo qui con altre cifre, perché nessun'altra soglia sanzionatoria risulta oggi verificata su fonte primaria.

Da dove parte una PMI che non sa se è dentro o fuori?

Da tre verifiche, in quest'ordine: se hai ricevuto una comunicazione dall'ACN, se un cliente ti ha già mandato requisiti per contratto, e quali controlli tecnici hai davvero attivi oggi. Le prime due dicono se hai un obbligo. La terza dice quanta distanza c'è fra quello che risponderesti al questionario e quello che succede davvero nei tuoi sistemi.

Le prime due verifiche si fanno in un pomeriggio: controlla la posta certificata e chiedi a chi in azienda gestisce le forniture se è mai arrivato un questionario di sicurezza da un cliente. La terza è quella che richiede più onestà, ed è dove la maggior parte delle PMI italiane senza reparto IT scopre la distanza reale: backup mai verificato, accessi condivisi, nessuno con il compito esplicito di controllare che tutto funzioni. Sono gli stessi dieci controlli — con il responsabile accanto a ciascuno — che mettiamo in fila nella guida su come proteggersi dagli attacchi senza diventare un esperto: è il punto di partenza pratico, obbligo NIS2 o no.

Se preferisci non doverci pensare da solo — verificare cosa hai davvero attivo, chiudere le distanze prima che arrivi un questionario o una comunicazione — è il lavoro che facciamo quando teniamo la manutenzione di sicurezza di un sito: aggiornamenti, backup verificati, e qualcuno che se ne accorge prima che lo chieda un cliente.

Domande frequenti

La NIS2 riguarda anche le partite IVA e le microimprese? Solo se rientrano nei criteri della norma e ricevono la comunicazione. Fuori dall'elenco non c'è obbligo di legge; restano i requisiti contrattuali di chi ti compra.

Chi mi dice se sono un soggetto NIS? L'ACN, con una comunicazione di inserimento nell'elenco nazionale. Non è un'autocandidatura e non lo stabilisce il fornitore informatico.

Serve una certificazione per essere in regola con la NIS2? No. La NIS2 chiede misure di sicurezza e adempimenti sul portale, non un certificato. La ISO/IEC 27001 è un'altra cosa, ed è volontaria.

La NIS2 non ti chiede di diventare un esperto di conformità: ti chiede di sapere in che casella sei — dentro l'elenco, fuori ma fornitore di chi c'è dentro, o semplicemente fuori — e di agire di conseguenza. La confusione costa più della verifica: bastano due controlli sulla posta e una domanda a chi gestisce le forniture per saperlo con certezza, prima che a chiederlo sia un cliente o una scadenza che hai perso di vista.

📚 Riferimenti

• Direttiva (UE) 2022/2555 (NIS2) — riferimento europeo, recepita in Italia dal decreto legislativo sotto
• D.lgs. 4 settembre 2024, n. 138 — Normattiva, recepimento italiano della direttiva NIS2
• Registrazione dei soggetti NIS — Agenzia per la Cybersicurezza Nazionale
• Obblighi dei soggetti NIS — Agenzia per la Cybersicurezza Nazionale
• Modalità e specifiche delle misure di sicurezza di base — Agenzia per la Cybersicurezza Nazionale, determinazione 379907/2025