NIS2 PMI italiane: guida operativa completa al D.Lgs 138/2024 (art. 21, sanzioni, ruoli)

La direttiva NIS2 (UE 2022/2555) è stata recepita in Italia con il D.Lgs 138/2024 entrato in vigore il 16 ottobre 2024. Le PMI italiane in scope hanno avuto un anno (fino al 17 ottobre 2025) per registrarsi presso l’ACN (Agenzia per la Cybersicurezza Nazionale) e devono adempiere progressivamente agli obblighi tecnici e organizzativi nel 2025-2027. Le sanzioni amministrative sono significative (fino a 10 M€ per soggetti essenziali, 7 M€ per soggetti importanti) ma soprattutto comportano responsabilità personale degli amministratori.

Questa guida operativa è la risorsa unica di riferimento per il responsabile compliance (CISO, DPO, IT manager) di una PMI italiana che deve gestire la conformità NIS2 nel 2026. Copre perimetro applicativo, scadenze, art. 21 misure tecniche specifiche, ruoli organizzativi richiesti, rapporto con ACN, sanzioni, audit, sovrapposizione con GDPR. Per la visione di alto livello su timeline e perimetro vedi anche NIS2 timeline e perimetro.

Questa guida è aggiornata a maggio 2026. La normativa NIS2 evolve — verificare ACN per aggiornamenti.

Indice

1. Cos’è NIS2 e perché importa
2. Chi è in scope NIS2 (perimetro applicativo)
3. Scadenze operative 2025-2027
4. Art. 21 misure tecniche minime obbligatorie
5. Sanzioni e responsabilità personale degli amministratori
6. Ruoli organizzativi richiesti
7. Rapporto con ACN: registrazione e notifiche
8. Sovrapposizione con GDPR e AI Act
9. Roadmap di conformità per una PMI italiana
10. Checklist NIS2 in 30 punti

Cos’è NIS2 e perché importa

NIS2 (Network and Information Security 2) è la direttiva europea che sostituisce la NIS1 del 2016. Estende drasticamente il perimetro delle entità obbligate alla cyber security: passa da circa 600 aziende italiane (NIS1) a stimati 18.000-25.000 enti (NIS2). Per la prima volta entrano nel perimetro molte PMI italiane mid-market.

Le tre differenze principali rispetto a NIS1:

1. Perimetro ampliato: nuovi settori (food, manifattura digitale, gestione rifiuti, servizi postali, ricerca, social media, datacenter, MSP/ICT, ecc.) e soglia dimensionale più bassa (50 dipendenti o 10 M€ fatturato).
2. Obblighi tecnici puntuali: l’art. 21 elenca 10 misure tecniche minime specifiche (in NIS1 erano principi generici).
3. Sanzioni significative + responsabilità personale: amministratori personalmente responsabili (non solo l’ente).

L’obiettivo politico è rendere l’ecosistema digitale europeo significativamente più resiliente verso attacchi cyber che hanno crescito di 5-7x dal 2018.

Chi è in scope NIS2 (perimetro applicativo)

NIS2 distingue due categorie:

Soglia dimensionale chiave per la PMI italiana: 50 dipendenti o 10 M€ fatturato è il cut-off per entrare nello scope (per i settori applicabili). Sotto questa soglia, NIS2 non si applica direttamente — ma può applicarsi indirettamente come fornitore di un’entità in scope (cfr. art. 21 comma 2 lettera d).

Settori inclusi nelle PMI italiane più frequenti:

• Manifattura (chimica, farmaceutica, automotive, elettronica, dispositivi medici, food processing)
• Healthcare privato (case di cura, laboratori analisi, cliniche)
• MSP/system integrator IT (in quanto provider digitali)
• Software house / ISV (se serve clienti in settori critici)
• Food processing (manifattura alimentare, packaging food, distribuzione)
• Gestione rifiuti (raccolta, trasporto, smaltimento)
• Trasporti (logistica, autotrasporti, hub intermodali)

Per autovalutare lo scope: l’ACN ha pubblicato un tool di self-assessment e linee guida settoriali. In caso di dubbio, registrarsi è prudente — il rischio di non-registrarsi mentre in scope è sanzionato.

Scadenze operative 2025-2027

Il punto chiave operativo: nel 2026 le PMI italiane in scope devono essere già registrate presso ACN e devono avere implementato (o pianificato) le 10 misure art. 21.

Art. 21 misure tecniche minime obbligatorie

L’art. 21 del D.Lgs 138/2024 elenca 10 misure tecniche minime che ogni soggetto in scope deve implementare. Sintesi operativa:

1. Politiche di analisi del rischio e sicurezza informatica

Documento formale che identifica gli asset critici, le minacce rilevanti, le contromisure. Aggiornato almeno annualmente. Per una PMI italiana: documento 10-30 pagine prodotto da CISO interno o consulente esterno. Include: inventario asset (server, endpoint, applicazioni), mappa minacce settoriali, risk matrix probabilità × impatto, contromisure prioritizzate.

2. Gestione degli incidenti

Procedura formale per identificare, contenere, eradicare e ripristinare in caso di incident cyber. Include: piano di response, ruoli (incident commander, comunicazioni, legal, tech response), runbook per scenari tipici, post-mortem documentato. Per una PMI italiana: documento procedurale 5-10 pagine + simulazione (tabletop exercise) annuale.

3. Continuità operativa e gestione delle crisi

Business Continuity Plan + Disaster Recovery Plan formali. Include RTO/RPO per servizi critici, backup immutable, sito alternativo (cloud o secondario), procedura attivazione. Per una PMI italiana: BCP con copertura M365 + ERP + dati produzione, test ripristino annuale documentato. Vedi backup Microsoft 365.

4. Sicurezza della supply chain

Valutazione del rischio cyber dei fornitori critici (MSP IT, cloud provider, vendor software business-critical). Include: clausole contrattuali, audit periodici, gestione end-of-life. Per una PMI italiana: assessment fornitori critici (5-10 vendor principali), questionario security, clausole NIS2 nei nuovi contratti.

5. Sicurezza nell’acquisizione, sviluppo e manutenzione dei sistemi

Security by design nel ciclo di sviluppo software (anche custom interno). Include: secure coding, vulnerability management, gestione patch. Per una PMI italiana: policy patch management documentata, vulnerability scan periodico, secure development se software custom è prodotto internamente.

6. Valutazione dell’efficacia delle misure

Misurare l’efficacia delle contromisure implementate. Include: penetration test, vulnerability assessment, audit security, metriche KPI security. Per una PMI italiana: pen test annuale (esterno), VA trimestrale (interno con tool), report mensile metriche al management.

7. Pratiche di base di igiene cyber e formazione

Formazione cyber per tutti i dipendenti. Include: awareness training, phishing simulation, password management, gestione dispositivi mobile. Per una PMI italiana: training annuale obbligatorio (2-4 ore/dipendente), phishing simulation trimestrale, policy device aziendali documentata.

8. Crittografia e gestione delle chiavi

Crittografia di dati a riposo e in transito. Include: TLS 1.2+ per traffico, encryption disk endpoint, key management. Per una PMI italiana: TLS 1.3 su web + email, BitLocker su tutti gli endpoint Windows, FileVault su Mac, gestione chiavi via M365 / Azure Key Vault.

9. Sicurezza delle risorse umane, controllo degli accessi e gestione degli asset

Identity & Access Management formale. Include: MFA, principio least-privilege, joiners-movers-leavers, gestione privileged accounts. Per una PMI italiana: MFA su tutti gli account (obbligatorio admin), Conditional Access (Entra ID P1+), procedura disabilitazione account ex-dipendenti entro 24h. Vedi confronto Entra ID vs Okta.

10. Uso di soluzioni di autenticazione multifattore o di autenticazione continua

MFA mandatory per tutti gli accessi privilegiati e per accessi remoti. Include: phishing-resistant MFA per admin (FIDO2, Authenticator), authentication continua dove possibile. Per una PMI italiana: MFA Microsoft Authenticator (free), FIDO2 token per gli admin, niente SMS-based MFA (vulnerabile a SIM swap).

Sanzioni e responsabilità personale degli amministratori

Le sanzioni amministrative previste dal D.Lgs 138/2024:

Aspetto critico: responsabilità personale degli amministratori. L’art. 38 del D.Lgs prevede:

• Sospensione dell’incarico fino a 6 mesi se l’amministratore non implementa le misure NIS2 ripetutamente
• Responsabilità civile personale per danni causati da non-conformità
• Possibili profili di responsabilità penale in caso di dolo o colpa grave nella violazione

Questo è il punto che genera attenzione nei consigli di amministrazione 2025-2026: NIS2 non è più “un problema tecnico dell’IT manager”, è una responsabilità del board.

Ruoli organizzativi richiesti

NIS2 richiede strutturazione organizzativa specifica:

CISO (Chief Information Security Officer)

Figura raccomandata ma non strettamente obbligatoria per PMI. Per soggetti essenziali di dimensioni significative diventa di fatto necessaria. Per PMI italiane medie spesso ruolo “frazionale” o esternalizzato (vCISO). Responsabilità: governance security, reporting al CdA, interfaccia con ACN.

DPO (Data Protection Officer)

Già obbligatorio per molte PMI sotto GDPR. Sotto NIS2 il DPO non sostituisce il CISO ma può lavorare in tandem (GDPR + NIS2 sovrapposti su privacy + security).

Responsabile NIS2 / Contact point ACN

Persona designata come punto di contatto con ACN per registrazione, notifiche, audit. Obbligatorio designarlo all’atto della registrazione presso ACN. Può coincidere con il CISO o essere figura dedicata.

Comitato sicurezza (se applicabile)

Per organizzazioni complesse, comitato multi-funzione (CISO + DPO + Legal + IT + Operations) che si riunisce trimestralmente per governance security. Non strettamente obbligatorio NIS2 ma best practice consolidata.

Rapporto con ACN: registrazione e notifiche

L’Agenzia per la Cybersicurezza Nazionale (ACN) è l’autorità di vigilanza italiana NIS2. Tre interazioni principali con ACN:

Registrazione (one-time)

Da effettuare entro il 17 ottobre 2025 per chi era già in scope al recepimento. Per nuovi soggetti che entrano in scope dopo (es. crescono oltre soglia), registrazione entro 3 mesi dall’evento.

Procedura: piattaforma ACN online, compilazione modulo con dati aziendali + perimetro + responsabile NIS2 + contatto incident response. Conferma in 30-60 giorni.

Notifica incident

Obbligatoria per incident significativi (impatto disservizio servizio essenziale, comprensione dati personali, perdita finanziaria > soglia). Tempistica:

• Early warning: entro 24 ore dalla rilevazione (preavviso senza dettagli)
• Notifica: entro 72 ore (descrizione incident + impatto stimato + mitigation)
• Rapporto finale: entro 1 mese (root cause analysis + lessons learned)

Audit ACN

Audit di compliance NIS2 attivati gradualmente dal 2026. ACN può richiedere:

• Documentazione policy/procedure (art. 21)
• Evidenza implementazione misure (log, configurazioni, training records)
• Audit on-site con campionamento controlli

Best practice: mantenere “evidence file” aggiornato con tutti i documenti richiesti.

Sovrapposizione con GDPR e AI Act

NIS2 non sostituisce GDPR né AI Act, si aggiunge. Convergenza pratica:

Per il responsabile compliance di una PMI italiana, il pattern consolidato è:

• Pacchetto documentale unico che soddisfa tutti e tre (registro trattamenti, policy security, policy AI, registro fornitori, ecc.)
• Audit integrati (un solo audit copre GDPR + NIS2 + AI Act)
• DPO + CISO + responsabile AI possono coincidere o lavorare in stretto coordinamento

Per AI Act vedi guida AI Act 2026.

Roadmap di conformità per una PMI italiana

Per una PMI italiana 80 dipendenti nel settore manifattura (esempio tipico):

Costo totale tipico PMI 80 dipendenti: 40.000-100.000 € one-time + 15.000-30.000 €/anno ongoing (tooling, formazione, audit).

Investimento significativo, ma proporzionato alle sanzioni potenziali (fino a 7 M€) e al rischio reale di incident (ransomware medio in PMI italiana = 50-300 k€ tra riscatto, danno operativo, recovery).

Checklist NIS2 in 30 punti

Lista operativa autoverificabile per il responsabile NIS2:

Governance (1-6)

1. ☐ Identificazione perimetro NIS2 (soggetto essenziale o importante)
2. ☐ Registrazione presso ACN completata
3. ☐ Responsabile NIS2 designato e formalizzato
4. ☐ Reporting trimestrale al board su stato compliance
5. ☐ Documento “Politica di sicurezza” approvato dal CdA
6. ☐ Risk assessment formale annuale completato

Identità e accessi (7-12)

7. ☐ MFA enforced su tutti gli account utenti
8. ☐ MFA phishing-resistant (FIDO2) su admin
9. ☐ Conditional Access policy attive (almeno 5 baseline)
10. ☐ Procedura joiners-movers-leavers documentata
11. ☐ Account dormienti disabilitati ricorrentemente
12. ☐ Privileged accounts inventariati e monitorati

Protezione endpoint (13-17)

13. ☐ EDR deployato su 100% endpoint (Defender for Business o equivalente)
14. ☐ Disk encryption (BitLocker/FileVault) su tutti i device aziendali
15. ☐ MDM policy attiva su tutti i device (Intune o equivalente)
16. ☐ Patch management policy con SLA documentato (es. critici < 7gg)
17. ☐ Vulnerability scan periodico (tipicamente mensile)

Backup e continuità (18-21)

18. ☐ Backup immutable di tutti i dati critici (M365 + ERP + file server)
19. ☐ RPO e RTO documentati per ogni servizio critico
20. ☐ Test di ripristino documentato (almeno annuale)
21. ☐ BCP / DRP formalizzato e testato

Incident response (22-25)

22. ☐ Piano incident response documentato
23. ☐ Tabletop exercise annuale completato
24. ☐ Canale notifica ACN configurato (contact point)
25. ☐ Runbook per scenari tipici (ransomware, phishing massivo, BEC)

Supply chain (26-28)

26. ☐ Inventario fornitori critici (top 10)
27. ☐ Clausole NIS2 nei nuovi contratti
28. ☐ Questionario security per onboarding nuovi fornitori

Formazione (29-30)

29. ☐ Training awareness security annuale completato (100% dipendenti)
30. ☐ Phishing simulation trimestrale attiva

Da rivedere ogni 6 mesi. Per una PMI italiana ben strutturata, i 30 punti sono raggiungibili in 12-18 mesi con investment proporzionato.

Per un assessment NIS2 specifico sulla tua organizzazione (gap analysis vs art. 21, roadmap di conformità prioritizzata, business case quantificato), contattaci: valutazione gratuita iniziale, supporto operativo fino a conformità completa.

Vedi anche: NIS2 timeline e perimetro, Cyber security PMI italiane 2026, AI Act PMI italiane.