NIS2 PMI italiane: chi deve adeguarsi e cosa fare nel 2026
La NIS2 riguarda le PMI italiane con almeno 50 dipendenti o 10 milioni di fatturato che operano in settori critici o importanti come energia, trasporti, sanità, manifattura, rifiuti, chimica e servizi digitali. Nel 2026 le scadenze chiave sono la registrazione sul portale ACN (gennaio-febbraio), la categorizzazione dei servizi (maggio-giugno) e l'adozione delle misure di sicurezza di base entro il 31 ottobre. Le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale.
Aggiornato a ottobre 2026
La Direttiva NIS2 è stata recepita in Italia con il D.Lgs. 138/2024 e ha ampliato in modo significativo il numero di imprese tenute a rispettare obblighi di cybersicurezza. Rispetto alla NIS1, che riguardava soprattutto grandi operatori di servizi essenziali, la NIS2 include molte PMI che lavorano in settori strategici o che forniscono servizi critici lungo la filiera. Questa guida spiega chi deve adeguarsi alla NIS2 in Italia nel 2026, quali scadenze rispettare e quali misure tecniche e organizzative mettere in campo[reference:0].
Chi rientra nel perimetro NIS2 in Italia
Il primo filtro per capire se una PMI è soggetta alla NIS2 è dimensionale. Le microimprese (meno di 10 dipendenti e fatturato sotto 2 milioni di euro) e le piccole imprese (meno di 50 dipendenti e fatturato sotto 10 milioni) sono generalmente escluse, salvo eccezioni legate a infrastrutture critiche o a settori specifici come DNS, TLD, cloud e data center, dove le soglie non si applicano[reference:1]. Il secondo filtro è settoriale: la NIS2 elenca 18 settori divisi tra "altamente critici" (energia, trasporti, sanità, acqua, infrastrutture digitali, spazio, pubblica amministrazione) e "critici" (servizi postali, gestione rifiuti, chimica, alimentare, manifattura, fornitori digitali)[reference:2].
Una media impresa (fino a 249 dipendenti e fatturato fino a 50 milioni di euro) che opera in un settore altamente critico è classificata come "soggetto importante". Se supera le soglie della grande impresa (250 dipendenti o 50 milioni di fatturato e 43 milioni di totale di bilancio) ed è in un settore altamente critico, diventa "soggetto essenziale"[reference:3]. Attenzione anche ai gruppi societari: se la PMI è collegata o associata a un'altra impresa, i dati vanno consolidati e le soglie possono essere superate anche se la singola società sembra sotto i limiti[reference:4]. Per rafforzare le difese di base, strumenti come gli antivirus aziendali per PMI sono un primo passo, ma la NIS2 richiede un approccio più strutturato.
In Italia oltre 20.000 soggetti pubblici e privati sono già coinvolti dagli obblighi NIS2, con impatti su governance, misure di sicurezza, notifiche di incidente e sanzioni[reference:5].
NIS2 scadenze 2026 e registrazione sul portale ACN
Il 2026 è l'anno in cui la NIS2 entra nella fase pienamente operativa. La prima scadenza è la registrazione annuale sul portale dell'Agenzia per la Cybersicurezza Nazionale (ACN): dal 1° gennaio al 28 febbraio 2026 tutte le organizzazioni che hanno verificato i presupposti di appartenenza al perimetro NIS2 devono registrarsi o aggiornare i dati già inseriti nel 2025[reference:6]. Non è un adempimento una tantum: la registrazione va rinnovata ogni anno tra gennaio e febbraio[reference:7].
Tra il 15 aprile e il 31 maggio 2026 è previsto l'obbligo di revisione o prima registrazione per i soggetti interessati, con verifica dei dati già inseriti e aggiornamento delle informazioni non più attuali[reference:8]. Dal 1° maggio al 30 giugno 2026 i soggetti essenziali e importanti devono aggiornare l'elenco delle proprie attività e dei servizi tramite la piattaforma ACN[reference:9]. La scadenza più importante è il 31 ottobre 2026: entro quella data le imprese soggette devono completare l'adozione delle "misure di sicurezza di base" previste dal Framework nazionale per la cybersicurezza[reference:10]. La gestione delle credenziali è parte integrante di queste misure: un gestore di password aziendale con autenticazione a due fattori riduce il rischio di accessi non autorizzati, uno dei vettori più sfruttati negli incidenti NIS.
NIS2 misure di sicurezza obbligatorie per le PMI
L'articolo 24 del D.Lgs. 138/2024 elenca le misure di sicurezza che i soggetti NIS2 devono adottare. Per una PMI le priorità pratiche sono cinque: autenticazione multi-fattore su tutti gli accessi critici, backup testati e segregati (meglio se offline o su cloud separato), gestione strutturata delle patch, segmentazione della rete e cifratura dei dati sensibili[reference:11]. Le misure devono essere proporzionate al rischio: una PMI manifatturiera con 60 dipendenti non ha le stesse esigenze di un operatore di infrastrutture critiche, ma deve comunque documentare le scelte fatte e i rischi residui accettati.
Il primo passo operativo è la mappatura degli asset digitali: hardware, software (ERP, gestionali, sistemi OT/SCADA se presenti), dati classificati per criticità, servizi cloud e accessi di terze parti[reference:12]. Senza questa mappa, qualsiasi valutazione del rischio è incompleta. Il secondo passo è una valutazione formale e documentata del rischio, aggiornata periodicamente, che identifichi minacce come ransomware, phishing, accessi non autorizzati e guasti, e definisca i rischi residui accettabili[reference:13]. Una checklist di hardening per aziende aiuta a tradurre questi requisiti in controlli concreti sui dispositivi aziendali.
NIS2 notifica degli incidenti entro 24 ore
La NIS2 impone tempi di notifica molto stringenti. Entro 24 ore dalla rilevazione va inviata una pre-notifica al CSIRT Italia, il team nazionale di risposta agli incidenti informatici. Entro 72 ore va inviata una notifica più dettagliata, e la chiusura dell'incidente richiede una relazione finale[reference:14]. L'obbligo di notifica degli incidenti significativi è operativo dal 1° gennaio 2026[reference:15]. Per una PMI senza un team di sicurezza dedicato, la soluzione pratica è definire in anticipo chi è il referente interno, quali sono i contatti del CSIRT e con quale fornitore IT esterno attivare il supporto in caso di incidente.
NIS2 supply chain: la PMI può essere esclusa anche se non è nel perimetro
Anche una PMI che non rientra direttamente nel perimetro NIS2 può subire conseguenze indirette. I clienti soggetti alla direttiva devono garantire la sicurezza della propria catena di approvvigionamento e sempre più spesso inseriscono clausole contrattuali che richiedono ai fornitori di dimostrare misure di cybersicurezza adeguate[reference:16]. Non adeguarsi, anche quando non c'è un obbligo diretto, può significare perdere commesse o non superare le qualifiche di fornitore. La raccomandazione per le PMI non soggette è di adottare comunque le misure minime di base e di poterle documentare, così da rispondere alle richieste dei clienti senza rincorse dell'ultimo momento.
NIS2 sanzioni e responsabilità per le PMI
Le sanzioni previste dalla NIS2 sono rilevanti. Per i soggetti essenziali si arriva fino a 10 milioni di euro o al 2% del fatturato annuo mondiale totale, a seconda di quale importo sia maggiore. Per i soggetti importanti la sanzione massima è di 7 milioni di euro o dell'1,4% del fatturato annuo mondiale[reference:17][reference:18]. Oltre alle multe, l'ACN può applicare sanzioni aggiuntive come la sospensione di licenze o l'inibizione temporanea di attività, e in casi gravi è previsto il divieto temporaneo per i dirigenti di ricoprire ruoli in altri organismi societari[reference:19].
La responsabilità non è solo dell'azienda come entità giuridica. Il consiglio di amministrazione e gli organi direttivi devono garantire che le misure di cybersicurezza siano adottate, governate e supervisionate con evidenze documentate. La mancata adozione di processi organizzativi e tecnici può configurare responsabilità amministrative e, in certi casi, anche personali per i vertici aziendali[reference:20]. Per una PMI, il costo di una multa o di un fermo operativo può mettere a rischio la continuità aziendale prima ancora che la reputazione. Investire in formazione e procedure di sicurezza sui dispositivi, come quelle descritte nella guida per proteggere il Mac da attacchi esterni, è parte di quel dovere di supervisione che la NIS2 richiede agli amministratori.
NIS2 come prepararsi: checklist per PMI
- Verifica formalmente se la tua PMI rientra nel perimetro NIS2 per settore e dimensione, documentando l'esito.
- Mappa asset digitali, dati, servizi cloud e accessi di terze parti.
- Esegui una valutazione del rischio documentata e aggiornata.
- Implementa le misure minime: MFA, backup testati, patch management, segmentazione, cifratura.
- Definisci le procedure di notifica degli incidenti e registrati sul portale ACN entro febbraio.
La sequenza consigliata è quella degli otto passi pubblicata dalle guide specializzate: verifica del perimetro, mappatura degli asset, valutazione del rischio, implementazione delle misure minime, procedure di gestione degli incidenti, formazione del personale e del management, sicurezza della supply chain, registrazione sulla piattaforma ACN[reference:21]. Per una PMI con risorse limitate, il modo più realistico è affrontare i primi tre passi con un supporto esterno qualificato e poi internalizzare la gestione ordinaria con un referente interno affiancato dal fornitore IT.
La registrazione sul portale ACN non è un adempimento facoltativo e non basta a dimostrare la conformità. La NIS2 richiede evidenze documentate di misure tecniche e organizzative. Un'azienda registrata ma priva di valutazione del rischio e di procedure di notifica resta esposta a sanzioni.
Tabella riepilogo: scadenze NIS2 2026 per le PMI
| Adempimento | Periodo 2026 | Cosa serve |
|---|---|---|
| Registrazione o aggiornamento sul portale ACN | 1 gennaio – 28 febbraio | Dati anagrafici, referenti, IP, domini |
| Revisione dati e prima registrazione | 15 aprile – 31 maggio | Verifica informazioni già inserite |
| Categorizzazione di attività e servizi | 1 maggio – 30 giugno | Elenco servizi erogati tramite sistemi di rete |
| Misure di sicurezza di base | Entro il 31 ottobre | MFA, backup, patch, segmentazione, cifratura |
| Notifica incidenti significativi | Operativo dal 1 gennaio | Pre-notifica 24h, notifica 72h al CSIRT |
Domande frequenti
Una PMI con meno di 50 dipendenti è sempre esclusa dalla NIS2?
Una PMI con meno di 50 dipendenti e fatturato sotto 10 milioni di euro è generalmente esclusa dalla NIS2, ma ci sono eccezioni. Le soglie non si applicano a fornitori di servizi DNS, gestori di TLD, provider cloud e data center. Inoltre, se la PMI fa parte di un gruppo societario con dati consolidati che superano le soglie, può rientrare nel perimetro anche se la singola società è piccola.
Quali sono le sanzioni NIS2 per una PMI italiana nel 2026?
Le sanzioni NIS2 per una PMI italiana dipendono dalla classificazione. Un soggetto essenziale rischia fino a 10 milioni di euro o il 2% del fatturato mondiale annuo. Un soggetto importante rischia fino a 7 milioni di euro o l'1,4% del fatturato mondiale. A queste si aggiungono sanzioni accessorie come la sospensione di licenze e, nei casi gravi, il divieto temporaneo per i dirigenti di ricoprire incarichi in altre società.
Cosa succede se una PMI non si registra sul portale ACN entro febbraio?
La mancata registrazione sul portale ACN entro il 28 febbraio 2026 costituisce un inadempimento agli obblighi NIS2. L'ACN può avviare un procedimento sanzionatorio e applicare le multe previste per la violazione degli obblighi di registrazione e comunicazione. La registrazione annuale è un requisito continuo, non un adempimento una tantum.
La NIS2 si applica anche a una PMI che non è nel perimetro ma fornisce una grande azienda?
La NIS2 non si applica direttamente a una PMI fuori perimetro, ma i clienti soggetti alla direttiva devono garantire la sicurezza della catena di approvvigionamento. Sempre più spesso le grandi aziende inseriscono clausole contrattuali che richiedono ai fornitori misure di cybersicurezza documentate. Non adeguarsi può comportare la perdita di commesse o l'esclusione da gare e qualifiche di fornitore.
Quanto tempo serve a una PMI per adeguarsi alla NIS2?
Il tempo di adeguamento a una PMI varia da 3 a 6 mesi, a seconda della dimensione e dello stato di partenza. Le attività più lunghe sono la mappatura degli asset, la valutazione del rischio e l'implementazione delle misure tecniche come MFA e backup segregati. La registrazione sul portale ACN richiede meno tempo, ma va completata entro febbraio per non perdere la finestra annuale.
Chiusura
La NIS2 non è una direttiva che si esaurisce con una registrazione. Richiede un cambio di passo nella governance della cybersicurezza, con responsabilità dirette per gli amministratori e scadenze annuali che non ammettono rinvii. Le PMI italiane che affrontano il 2026 con una mappatura degli asset, una valutazione del rischio documentata e le misure minime già in produzione arrivano a ottobre con un vantaggio concreto: non devono rincorrere l'ultima scadenza, e possono usare la conformità come argomento di affidabilità verso clienti e fornitori.
Se vuoi approfondire, leggi la nostra guida definitiva alla sicurezza del Mac per adattare i controlli anche ai dispositivi Apple dell'ufficio.
Fig. 1 — Le scadenze NIS2 2026 si concentrano tra gennaio e ottobre, con la registrazione ACN come primo adempimento.
Fig. 2 — Le misure minime NIS2 per una PMI partono da MFA, backup testati e gestione delle patch.
── 7. JSON-LD ──