NIS2 per le PMI nel 2026: cosa cambia per le aziende soggette e per i loro fornitori

La NIS2 per le PMI conta in due modi: alcune piccole e medie imprese sono soggette direttamente al D.Lgs. 138/2024, che ha recepito in Italia la direttiva europea; molte altre ne sono toccate in quanto fornitrici di aziende obbligate, che devono garantire la sicurezza della propria catena di approvvigionamento. In entrambi i casi, nel 2026 servono misure di sicurezza concrete e la capacità di dimostrarle.

Da quando la norma è in vigore, molti titolari si sono posti la stessa domanda: riguarda anche noi? In questa guida vediamo chi è soggetto, cosa chiede la legge, perché coinvolge anche chi non è obbligato e da dove conviene partire.

Chi deve rispettare la NIS2?

Devono rispettare la NIS2 le organizzazioni che operano nei settori elencati dal decreto e che superano determinate soglie dimensionali, più alcune categorie individuate a prescindere dalle dimensioni. Il decreto le divide in due gruppi: soggetti essenziali e soggetti importanti, con obblighi simili ma controlli e sanzioni di intensità diversa.

Quali settori sono coinvolti

Fra i settori ad alta criticità ci sono energia, trasporti, banche e mercati finanziari, sanità, acqua potabile e reflue, infrastrutture digitali, gestione dei servizi ICT per conto di altre aziende, pubblica amministrazione e spazio. Fra gli altri settori critici rientrano servizi postali e di corriere, gestione dei rifiuti, sostanze chimiche, produzione e distribuzione di alimenti, alcune attività manifatturiere, fornitori di servizi digitali e ricerca.

Conta la dimensione dell'azienda

In linea generale sono interessate le medie e grandi imprese di questi settori, mentre le microimprese e le piccole imprese ne restano escluse, salvo casi specifici. Per capire se la tua azienda rientra nel perimetro vanno considerati attività effettivamente svolta, numero di dipendenti, fatturato e appartenenza a un gruppo. È una verifica da fare con attenzione, partendo dalle indicazioni pubblicate dall'Agenzia per la Cybersicurezza Nazionale (ACN).

Cosa cambia con la NIS2 nel 2026?

Nel 2026 per molte aziende la NIS2 passa dalla fase di registrazione a quella operativa. Le organizzazioni nel perimetro si registrano sulla piattaforma dell'ACN e, dalla comunicazione di inserimento nell'elenco dei soggetti NIS, hanno nove mesi per attivare la notifica degli incidenti e diciotto mesi per adottare le misure di sicurezza di base. Per chi ha ricevuto la comunicazione nel corso del 2025, questi termini arrivano a maturazione proprio quest'anno.

In pratica significa che non basta più sapere di essere soggetti alla norma: bisogna avere procedure attive, misure adottate e documentazione pronta.

Quali obblighi introduce il D.Lgs. 138/2024?

Il D.Lgs. 138/2024 introduce tre gruppi di obblighi: gestione del rischio, notifica degli incidenti e responsabilità dei vertici aziendali.

Gestione del rischio

Le aziende soggette devono adottare misure tecniche e organizzative proporzionate ai rischi. Fra queste:

• analisi dei rischi e politiche di sicurezza dei sistemi informativi;
• gestione degli incidenti e continuità operativa, compresi backup e ripristino;
• sicurezza della catena di approvvigionamento;
• controllo degli accessi e autenticazione a più fattori;
• gestione delle vulnerabilità e degli aggiornamenti;
• cifratura dove appropriata;
• formazione del personale e buone pratiche di igiene informatica.

Notifica degli incidenti significativi

Quando si verifica un incidente significativo, la sequenza è fissata dalla norma: una preallerta al CSIRT Italia entro 24 ore da quando se ne viene a conoscenza, una notifica entro 72 ore con una prima valutazione di gravità e impatto, una relazione finale entro un mese. Sono tempi stretti, che si rispettano solo se la procedura è stata preparata prima.

Responsabilità dei vertici

Gli organi di amministrazione approvano le misure di sicurezza, ne sorvegliano l'attuazione, seguono una formazione specifica e ne rispondono. Le sanzioni previste sono rilevanti e calcolate anche in proporzione al fatturato. Ma ridurre la NIS2 a un problema di multe sarebbe un errore: in buona parte la norma descrive ciò che un'azienda ben organizzata dovrebbe già fare per proteggersi.

Perché la NIS2 riguarda anche i fornitori?

La NIS2 riguarda anche i fornitori perché fra gli obblighi delle aziende soggette c'è la sicurezza della catena di approvvigionamento. Un soggetto NIS deve valutare i rischi che arrivano da chi accede ai suoi sistemi, tratta i suoi dati o fornisce componenti e servizi critici.

Questo si traduce in richieste che molte PMI stanno già ricevendo: questionari di sicurezza, clausole contrattuali sulla notifica degli incidenti, domande puntuali su backup, autenticazione e aggiornamenti, a volte veri e propri audit. Un'officina che produce componenti per un'azienda energetica, uno studio che gestisce dati per una struttura sanitaria, una software house che fornisce un gestionale: nessuno di loro è necessariamente un soggetto NIS, ma tutti possono trovarsi a dover dimostrare di lavorare in modo sicuro.

Chi saprà rispondere con ordine avrà un vantaggio concreto nei rapporti con i clienti. Chi non saprà farlo rischia di essere considerato un fornitore a rischio, con le conseguenze che è facile immaginare al momento del rinnovo dei contratti.

Come rispondere a un questionario di sicurezza

Un questionario di sicurezza si affronta bene quando le risposte descrivono ciò che l'azienda fa davvero e sono supportate da evidenze. Le domande ricorrenti riguardano quasi sempre gli stessi temi:

• chi può accedere ai sistemi e con quale tipo di autenticazione;
• come e con quale frequenza vengono installati gli aggiornamenti;
• dove sono conservati i backup, se sono separati dalla rete e se il ripristino viene provato;
• come viene gestito e comunicato un incidente, e in quanto tempo;
• quale formazione ricevono le persone.

Rispondere «sì» a tutto senza poterlo dimostrare è il modo più rapido per perdere credibilità. Meglio un quadro onesto, con un piano chiaro per colmare ciò che manca.

Quali sono i primi passi della NIS2 per le PMI?

Il punto di partenza è lo stesso sia per chi è soggetto sia per chi deve rispondere ai clienti: capire dove si è, mettere in sicurezza le basi e documentare. Questi i passi, nell'ordine in cui conviene affrontarli.

1. Verifica la tua posizione. Settore, attività, dimensioni e gruppo determinano se sei soggetto. Se lavori per aziende che lo sono, elenca quali e che cosa fornisci loro.
2. Fai l'inventario. Sistemi, dati, servizi critici, persone che vi accedono, fornitori coinvolti. Senza questa mappa ogni misura successiva è un tentativo.
3. Valuta i rischi e le vulnerabilità. Un vulnerability assessment mostra in modo oggettivo dove sono i punti deboli dei sistemi esposti e interni.
4. Metti in sicurezza le basi. Autenticazione a più fattori su posta e accessi remoti, aggiornamenti regolari, account amministrativi distinti da quelli quotidiani, backup e piano di disaster recovery verificati.
5. Prepara la gestione degli incidenti. Chi decide, chi comunica, chi chiama chi. Con tempi di 24 e 72 ore la procedura va scritta e provata prima.
6. Documenta. Politiche, procedure e registri sono la prova di ciò che fai e ciò che clienti e autorità ti chiederanno di vedere.

Come affrontare l'adeguamento senza sprechi?

L'adeguamento alla NIS2 rende di più quando è costruito sulla realtà dell'azienda, non su un pacchetto di documenti standard. Le misure devono essere proporzionate ai rischi effettivi, e un questionario compilato senza un'organizzazione coerente alle spalle non regge alla prima verifica.

Un percorso su misura parte dai sistemi e dai processi reali, individua le priorità e mette in fila gli interventi in modo sostenibile. Produce misure che restano utili nel tempo e che si aggiornano con meno fatica, ed è anche il modo più efficiente di spendere: le cose fatte bene una volta non vanno rifatte a ogni nuova richiesta di un cliente. Il nostro servizio di compliance NIS2 e GDPR segue questo approccio, affiancando l'azienda dall'analisi iniziale alla documentazione.

Per la parte tecnica e di gestione degli incidenti, VAY lavora con Cybernix, la propria divisione dedicata alla cybersecurity.

Se vuoi capire come la NIS2 tocca la tua azienda, direttamente o attraverso i tuoi clienti, scrivici: possiamo partire insieme da una prima lettura della tua situazione.

Domande frequenti

Le piccole imprese devono rispettare la NIS2?

In generale la NIS2 si applica alle medie e grandi imprese dei settori elencati dal decreto, ma per alcune categorie vale a prescindere dalle dimensioni. Una piccola impresa può comunque ricevere richieste di sicurezza dai clienti soggetti, perché questi devono controllare la propria catena di fornitura.

Entro quanto tempo va notificato un incidente secondo la NIS2?

Il D.Lgs. 138/2024 prevede una preallerta al CSIRT Italia entro 24 ore da quando si viene a conoscenza di un incidente significativo e una notifica entro 72 ore con una prima valutazione. Segue una relazione finale entro un mese dalla notifica.

Chi controlla l'applicazione della NIS2 in Italia?

L'autorità nazionale competente è l'Agenzia per la Cybersicurezza Nazionale (ACN). I soggetti interessati si registrano sulla sua piattaforma e, dalla comunicazione di inserimento nell'elenco, hanno nove mesi per attivare la notifica degli incidenti e diciotto mesi per adottare le misure di sicurezza di base.

Cosa può chiedere un cliente soggetto NIS2 a un suo fornitore?

Le richieste più comuni sono questionari di sicurezza, clausole contrattuali sulla notifica degli incidenti ed evidenze su backup, autenticazione a più fattori e aggiornamenti. Nei rapporti più delicati il cliente può chiedere anche verifiche o audit.

I vertici aziendali hanno responsabilità dirette nella NIS2?

Sì. Gli organi di amministrazione e direttivi devono approvare le misure di gestione del rischio, sovrintenderne l'attuazione e seguire una formazione in materia di sicurezza. Ne rispondono in caso di violazioni.