La direttiva europea NIS2 ha cambiato le regole della sicurezza informatica per migliaia di aziende italiane, comprese molte PMI di Brescia e provincia che fino a ieri consideravano la cybersecurity un tema riservato alle grandi imprese. Recepita in Italia con il D.Lgs. 138/2024 ed entrata in vigore il 16 ottobre 2024, la NIS2 introduce obblighi concreti, scadenze precise e sanzioni pesanti. In questo articolo spieghiamo, senza tecnicismi, chi è coinvolto, cosa bisogna fare e soprattutto entro quando.
Cos’è la NIS2 e perché riguarda anche la tua azienda
La NIS2 (direttiva UE 2022/2555) è la nuova normativa europea che alza il livello minimo di sicurezza informatica per i settori considerati critici o rilevanti per l’economia e i servizi. L’obiettivo è ridurre il rischio di attacchi informatici, garantire la continuità dei servizi essenziali e rendere le aziende capaci di reagire in modo rapido e strutturato agli incidenti.
Rispetto alla precedente NIS, la portata è enormemente più ampia: in Italia il perimetro comprende ormai oltre 20.000 organizzazioni. Molte sono piccole e medie imprese che scoprono solo ora di rientrare tra i soggetti obbligati, spesso perché fornitrici di aziende più grandi.
Chi è obbligato: settori e dimensioni
La NIS2 si applica alle organizzazioni che soddisfano due condizioni contemporaneamente: appartenere a uno dei 18 settori individuati dalla direttiva e superare le soglie dimensionali previste. In linea generale sono coinvolte le imprese con almeno 50 dipendenti oppure con un fatturato annuo superiore a 10 milioni di euro.
I settori interessati includono, tra gli altri:
- energia, trasporti, sanità, acqua potabile e reflue;
- infrastrutture digitali, servizi ICT gestiti e cloud;
- produzione manifatturiera (macchinari, apparecchiature elettriche ed elettroniche, autoveicoli);
- produzione e distribuzione alimentare;
- gestione dei rifiuti, prodotti chimici, servizi postali.
Per il tessuto industriale bresciano, fatto di aziende manifatturiere e meccaniche, questo significa che una parte consistente delle imprese del territorio rientra nel perimetro, anche quando non se ne rende conto.
Le scadenze da segnare sul calendario
La NIS2 non è un obbligo “immediato e tutto insieme”, ma un percorso con tappe ben definite. Ecco le principali:
- Registrazione al portale ACN: i soggetti obbligati devono iscriversi al registro dell’Agenzia per la Cybersicurezza Nazionale nella finestra annuale 1° gennaio – 28 febbraio. Chi si è registrato nel 2025 deve confermare e aggiornare i propri dati entro il 28 febbraio 2026.
- Obblighi di notifica degli incidenti: diventano pienamente operativi dai primi mesi del 2026.
- Misure di sicurezza di base: per i soggetti già inseriti nell’elenco ACN dal 2025, devono essere operative e documentabili entro il 31 ottobre 2026.
Il messaggio è chiaro: il 2026 è l’anno in cui la conformità passa dalla carta ai fatti. Arrivare impreparati significa esporsi a controlli e sanzioni.
Cosa chiede concretamente la NIS2
La direttiva non impone un singolo prodotto o una tecnologia specifica, ma un insieme di misure minime di gestione del rischio. In pratica, ogni azienda coinvolta deve dotarsi di:
- politiche di sicurezza e analisi dei rischi informatici;
- procedure di gestione degli incidenti;
- piani di business continuity, backup e disaster recovery;
- sicurezza della supply chain (fornitori e servizi esterni);
- gestione delle vulnerabilità e degli aggiornamenti;
- autenticazione a più fattori e uso della crittografia;
- formazione del personale sulla cybersecurity;
- controllo degli accessi e sicurezza delle risorse umane.
Molte di queste misure coincidono con le buone pratiche che consigliamo da sempre in tema di cybersecurity aziendale: la NIS2 le rende obbligatorie e verificabili. Una infrastruttura IT ben progettata è il punto di partenza per rispettarle senza stravolgere l’operatività.
Notifica degli incidenti: i termini da rispettare
Uno degli aspetti più delicati riguarda la gestione degli incidenti significativi. In caso di attacco o violazione rilevante, i tempi imposti dalla NIS2 sono stringenti:
- entro 24 ore: pre-allerta (early warning) al CSIRT Italia;
- entro 72 ore: notifica completa con prima valutazione dell’impatto;
- entro 1 mese: relazione finale dettagliata.
Rispettare queste tempistiche è possibile solo se l’azienda ha predisposto in anticipo procedure, strumenti di monitoraggio e responsabilità chiare. Improvvisare durante un attacco, con l’orologio che corre, è la ricetta per sbagliare e aggravare le conseguenze.
Sanzioni e responsabilità personale dei vertici
La NIS2 fa sul serio anche sul piano delle sanzioni. Per i soggetti essenziali le multe possono arrivare fino a 10 milioni di euro o al 2% del fatturato mondiale annuo; per i soggetti importanti fino a 7 milioni di euro o all’1,4% del fatturato.
Novità di grande impatto: la responsabilità della conformità ricade direttamente sugli organi di amministrazione. Amministratori e vertici aziendali rispondono in prima persona dell’adozione delle misure di sicurezza, con un obbligo che non può essere semplicemente “delegato e dimenticato”.
Anche se non sei obbligato: l’effetto supply chain
C’è un punto che molti imprenditori sottovalutano. Anche un’azienda troppo piccola per rientrare direttamente nella NIS2 può esserne coinvolta di riflesso: chi fornisce prodotti o servizi a un soggetto obbligato dovrà spesso dimostrare un adeguato livello di sicurezza per continuare a lavorarci. La sicurezza della supply chain è infatti una delle misure richieste dalla direttiva.
In concreto, sempre più clienti chiederanno ai propri fornitori questionari, certificazioni e garanzie sulla cybersecurity. Mettersi in regola per tempo diventa così un vantaggio competitivo, non solo un adempimento.
Come prepararsi (senza farsi cogliere impreparati)
Il percorso verso la conformità NIS2 può sembrare complesso, ma è gestibile se affrontato per gradi. I passi essenziali sono:
- verificare se l’azienda rientra nel perimetro (settore e dimensioni);
- completare la registrazione al portale ACN nei termini;
- fare una valutazione dei rischi e individuare le lacune rispetto alle misure richieste;
- rafforzare backup, autenticazione a più fattori, aggiornamenti e monitoraggio;
- definire procedure di gestione e notifica degli incidenti;
- formare il personale e coinvolgere i fornitori critici.
Affrontare tutto internamente, soprattutto per una PMI, è spesso poco realistico. Affidarsi a un partner IT del territorio permette di trasformare la NIS2 da obbligo burocratico a occasione per rendere l’azienda più sicura e resiliente. Il nostro servizio di assistenza IT accompagna le imprese di Brescia, Val Trompia e provincia in questo percorso.
Domande frequenti
La mia azienda con 30 dipendenti è soggetta alla NIS2?
In linea generale la NIS2 riguarda le imprese con almeno 50 dipendenti o oltre 10 milioni di euro di fatturato che operano nei settori indicati. Un’azienda più piccola di norma non rientra direttamente, ma può essere coinvolta come fornitrice di un soggetto obbligato. Conviene comunque fare una verifica puntuale del proprio caso.
Cosa rischio se non mi metto in regola entro il 2026?
Oltre alle sanzioni amministrative, che per i casi più gravi arrivano a milioni di euro, i vertici aziendali rispondono personalmente. A questo si aggiunge il rischio di perdere clienti che pretendono fornitori conformi e, non ultimo, il danno di un attacco informatico subito senza difese adeguate.
Da dove conviene iniziare?
Il primo passo è capire se si rientra nel perimetro e completare la registrazione ACN. Subito dopo serve una valutazione dei rischi che fotografi lo stato attuale della sicurezza e indichi le priorità di intervento. Da lì si costruisce un piano realistico, spalmato sulle scadenze del 2026.
Vuoi sapere se la tua azienda è soggetta alla NIS2 e cosa fare per metterti in regola in tempo? Contattaci: il team PCLab di Villa Carcina affianca le PMI di Brescia e provincia nella cybersecurity e nella conformità normativa, con soluzioni concrete e su misura.
