NIS2: cosa rischia in 5 punti una PMI italiana in ritardo

La prima scadenza operativa del D.Lgs. 138/2024 (recepimento italiano della direttiva NIS2) è il 31 ottobre 2026: entro quella data le misure di sicurezza di base devono essere attive e documentate, e da lì in avanti ACN può avviare l’attività ispettiva. Ne abbiamo scritto in dettaglio in NIS2: misure di base entro il 31 ottobre.

Fino a oggi le PMI classificate come essenziali o importanti hanno avuto un margine implicito: registrazione sulla piattaforma ACN effettuata, piano di adeguamento in costruzione, verifiche rimandate. Quel margine si chiude, e il 2027 è l’anno in cui le conseguenze di un ritardo diventano concrete su più fronti insieme.

Questa analisi mette in fila i cinque rischi che una PMI in ritardo si troverà davanti. Una distinzione va fatta subito, perché le due cose non hanno lo stesso peso: alcuni di questi rischi sono pattern che osserviamo già fra i nostri clienti e nelle richieste che riceviamo; altri sono scenari attesi, cioè proiezioni ragionevoli su come si muoveranno autorità, assicuratori e committenti. Dove si tratta di una previsione lo diciamo, invece di presentarla come un fatto — anche perché su una normativa in attuazione le previsioni sbagliate hanno vita breve.

1. Sanzioni amministrative pecuniarie (entrate in vigore)

Le sanzioni amministrative del D.Lgs 138/2024 stanno all’art. 38, e i massimali dipendono dalla categoria di soggetto. Questi sono i tetti della fascia alta, quella che copre gli obblighi degli organi di amministrazione, la gestione del rischio e la notifica degli incidenti (art. 38, comma 9):

⚠️ Tre precisazioni, perché questa parte circola sbagliata. La prima: non esiste una griglia di importi diversi per la mancata notifica e per la gestione del rischio — l’art. 38 le mette entrambe, insieme agli obblighi degli organi di amministrazione dell’art. 23, nel medesimo comma 8, e per tutte vale il massimale della tabella. La seconda: un secondo livello però esiste, molto più basso. Le violazioni del comma 10 — mancata registrazione o aggiornamento delle informazioni, mancata comunicazione dell’elenco delle attività e dei servizi, obblighi su schemi di certificazione e previsioni settoriali, mancata collaborazione con l’Autorità nazionale NIS e con il CSIRT Italia — sono punite fino allo 0,1% del fatturato annuo mondiale per i soggetti essenziali e allo 0,07% per gli importanti. La terza: non esiste alcuna «amnistia» o moratoria che sposti l’applicabilità delle sanzioni al 1° gennaio 2027. La gradualità sta nei termini di adempimento, che decorrono dalla comunicazione di inserimento nell’elenco dei soggetti NIS, non in una sospensione delle sanzioni.

Un importo atteso per la prima sanzione, invece, non lo pubblichiamo: ACN non ha reso pubblica alcuna prassi sanzionatoria, quindi qualunque cifra sarebbe una nostra invenzione travestita da stima. I massimali sopra sono il tetto di legge, non una previsione di quanto verrà comminato.

2. Responsabilità diretta degli amministratori

Cosa cambia: l’art. 23 D.Lgs 138/2024 introduce responsabilità personale degli amministratori di soggetti essenziali per violazioni significative dei loro obblighi NIS2. Non è più solo l’azienda a essere sanzionata: gli amministratori rispondono direttamente, anche nel proprio patrimonio personale.

Implicazioni concrete:

• Polizze D&O (Directors & Officers) tradizionali non coprono automaticamente violazioni NIS2 a meno di addendum esplicito
• Pattern osservato: amministratori di PMI essential che non hanno ricevuto formazione sulla gestione del rischio cyber documentata (art. 23.4) sono nel mirino delle prime ispezioni
• Le azioni di rivalsa verso amministratori e dirigenti sono uno scenario possibile, non un fenomeno che stiamo osservando: lo segnaliamo perché è il rischio che le polizze D&O coprono male, non perché abbiamo casi da citare

Pattern di mitigazione che vediamo fra i clienti che si sono attrezzati: (1) integrazione della polizza D&O con una cyber extension specifica NIS2, (2) formazione degli amministratori sulla gestione del rischio cyber con attestato formale, dimensionata in pratica intorno alle 8 ore/anno, (3) review verbalizzata da CdA o organo equivalente delle policy di sicurezza su base trimestrale.

⚠️ Una precisazione sulle 8 ore, perché è una domanda che ci arrivano spesso: non sono un minimo di legge. L’art. 23 richiede formazione “adeguata e continua” senza fissare né ore né programma — le 8 ore sono la prassi che osserviamo fra chi si è organizzato, non una soglia normativa. Il criterio con cui la norma si valuta, e le evidenze che servono a dimostrarla, sono in cosa deve contenere la formazione per gli amministratori e come si documenta.

3. Requisiti di sicurezza nelle gare pubbliche e nei contratti PA

Cosa sta cambiando: i requisiti di cybersicurezza stanno entrando nei capitolati delle gare per servizi IT, cloud e software come condizioni di ammissione o criteri premianti, e AgID mantiene e aggiorna le regole tecniche per la gestione degli appalti pubblici. La NIS2 accelera il fenomeno per una ragione indiretta ma diretta nelle conseguenze: l’art. 24, comma 2 del decreto — art. 21 della direttiva, ed è il numero che tutti sbagliano — obbliga i soggetti in perimetro — e gli enti pubblici centrali e regionali lo sono — a gestire il rischio della propria catena di fornitura. Un ente che deve rispondere dei propri fornitori finisce per chiedere garanzie nei bandi.

⚠️ Attenzione a come viene raccontato. Non esiste, a oggi, una norma che imponga a una data stabilita una dichiarazione di conformità NIS2 come requisito generalizzato di partecipazione. Abbiamo verificato il testo della direttiva NIS2, la pagina della Commissione europea e l’indice della normativa NIS di ACN: nessuna delle tre introduce quell’obbligo. Una direttiva europea sulla cybersicurezza, del resto, non disciplina il codice degli appalti italiano.

La conseguenza pratica per chi fornisce la PA è quindi diversa, e più insidiosa: i requisiti non arrivano a una data, arrivano bando per bando. Non c’è una scadenza da segnare in calendario — c’è un capitolato alla volta che alza l’asticella, senza preavviso e con i tempi di gara.

Chi è più esposto:

• Software house che lavorano per ministeri, regioni, comuni medio-grandi
• Service provider IT in fornitura continuativa a enti pubblici
• Hosting e cloud provider italiani con clientela mista privata e PA
• Manutenzione hardware in convenzione Consip / SDA

Per una PMI con una quota PA significativa l’esposizione è proporzionale a quella quota: se un terzo del fatturato dipende da clienti istituzionali, un requisito che non si riesce a soddisfare non fa perdere una gara, fa perdere una linea di business. Il calcolo lo può fare solo l’azienda, sui propri numeri — ma è un calcolo che conviene fare adesso e non alla pubblicazione del prossimo bando.

Cosa fare, concretamente: invece di attendere una scadenza, leggere i capitolati recenti del proprio settore — quelli degli ultimi sei o dodici mesi, anche di gare non partecipate. Dicono con precisione quali requisiti stanno già comparendo e con quale formulazione, che è un’informazione più utile di qualsiasi previsione.

Anche fuori dalla PA vale lo stesso meccanismo: le grandi imprese stanno introducendo clausole di sicurezza nei contratti B2B, perché a loro volta devono rispondere della propria filiera. È l’effetto che abbiamo trattato in NIS2 e fornitori: gli obblighi che arrivano alle PMI non soggette — anche se non sei tu il soggetto obbligato, lo è il tuo cliente.

4. Polizza cyber: il rischio prima del prezzo e l’assicurabilità

Cosa cambia: la conformità normativa sta entrando fra i criteri con cui gli assicuratori selezionano il rischio, prima ancora che nel prezzo. Non è una previsione nostra: già a inizio 2026 un’analisi su Cyber Security 360 descriveva l’adeguamento alla NIS2 e la sicurezza della catena di approvvigionamento come «filtro preliminare per la selezione del rischio», e osservava che la fragilità organizzativa rende molte aziende «non assicurabili agli occhi dei sottoscrittori».

⚠️ Qui non troverete percentuali di aumento del premio, e vale la pena dire perché: non siamo broker assicurativi e non vediamo i premi del mercato. Nessuna indagine pubblica segmenta i premi cyber italiani per stato di adeguamento NIS2, quindi qualunque forbice percentuale su questa pagina sarebbe costruita a tavolino. Quello che possiamo descrivere è il meccanismo assuntivo, che è anche l’informazione utile.

Cosa cambia in fase di sottoscrizione, nei tre casi tipici:

• Azienda senza misure documentate: il problema non è il prezzo, è l’assicurabilità. Senza evidenze da allegare al questionario il sottoscrittore non ha materiale su cui valutare il rischio, e la pratica si chiude più facilmente con un diniego che con un premio alto.
• Azienda con piano di adeguamento in corso: la copertura si ottiene, ma i gap ancora aperti entrano nella trattativa — quello che il questionario non trova documentato si paga in condizioni.
• Azienda con adeguamento completato e documentato: la discussione si sposta dal se coprire al a quali condizioni, perché le evidenze richieste sono già pronte.

Un dettaglio che spiega perché questo capitolo conta più di quanto sembri: le richieste dei questionari assuntivi non sono nate con la NIS2. Autenticazione multifattore, protezione degli endpoint, backup con copie non riscrivibili, gestione documentata degli incidenti circolavano nei questionari italiani già prima del recepimento. Le evidenze che servono per l’adeguamento sono in larga parte le stesse su cui l’assicuratore decide — il lavoro si fa una volta e serve due volte. Ed è il motivo per cui in molte aziende il primo a sollevare il tema NIS2 non è ACN: è il broker, al rinnovo.

5. Effetto domino sui fornitori (NIS2 supply chain)

Cosa cambia: l’art. 24, comma 2, lettera d) del D.Lgs 138/2024 mette fra le misure obbligatorie la «sicurezza della catena di approvvigionamento», compresi gli aspetti dei rapporti fra ciascun soggetto e i suoi fornitori diretti. In pratica: chi è in perimetro deve poter rispondere anche del proprio fornitore, e per riuscirci lo interroga. Ecco perché anche una PMI non direttamente obbligata riceve richieste di conformità dai clienti che invece lo sono.

Come arriva, concretamente: sotto forma di questionario di sicurezza allegato al rinnovo contrattuale, oppure di clausola nuova in un contratto in scadenza. Non pubblichiamo un numero tipico di domande né una percentuale di fornitori coinvolti, perché non abbiamo una rilevazione su cui basarli. Quello che conta è un’altra cosa: la richiesta non arriva da ACN ma dal cliente, e la risposta ha una scadenza commerciale, che di norma è più vicina di quella normativa.

Implicazione strategica: la NIS2 non si esaurisce nei soggetti direttamente obbligati. Per effetto della sicurezza di filiera tocca una platea più ampia — quanto più ampia non lo quantifichiamo, perché non esiste un censimento pubblico dei fornitori coinvolti — e per molti di loro la conformità non è una scelta strategica: è la condizione per restare nell’elenco fornitori.

Le azioni minime prima del 31 ottobre 2026

Se sei un soggetto essenziale o importante che non ha completato il percorso, queste sono le azioni che contano per arrivare al 31 ottobre 2026 — la data entro cui le misure di base devono essere attive e documentate — con qualcosa da mostrare:

1. Inventario degli asset IT e OT — è la base di tutto il resto: senza l’elenco di cosa hai, nessuna misura è dimostrabile.
2. Analisi del rischio formale, costruita sull’inventario e non a parte.
3. Implementazione delle misure dell’art. 24, in parallelo dove le dipendenze lo permettono.
4. Piano di risposta agli incidenti testato, con almeno un’esercitazione documentata.
5. Dossier di evidenze datate e firmate, pronto per un’eventuale verifica ispettiva.

⚠️ Sui tempi una precisazione onesta, perché altrove si legge il contrario: partendo da zero il percorso completo non entra in poche settimane. La scelta realistica non è comprimerlo fino a farlo stare, è decidere quali azioni chiudere davvero entro la scadenza e quali documentare come piano in corso, con date e responsabili. È comunque una posizione diversa dal non avere nulla, e in una verifica si vede.

Sui costi non pubblichiamo un range complessivo: dipende troppo da quanto esiste già e da quali strumenti sono già coperti dalle licenze in casa — due aziende della stessa dimensione possono distare un ordine di grandezza. Per l’ordine di grandezza delle singole fasi il riferimento è la guida operativa completa.

Il rischio di non fare niente

Non pubblichiamo una tabella di costi attesi per scenario, e la ragione è semplice: nessuna prassi sanzionatoria ACN è pubblicata, quindi un importo atteso non è ricavabile da nulla. Sarebbe un numero inventato con l’aria di essere una stima. Quello che si può dire, perché sta nel testo del decreto, è dove il rischio si concentra.

E non si concentra dove la maggior parte si aspetta. L’errore più caro previsto dalla norma non è un adeguamento incompleto: è non registrarsi. L’art. 38, comma 13 stabilisce che in caso di mancata o tardiva registrazione siano comunque contestate tutte le violazioni dei commi 8 e 10, applicando la sanzione della violazione più grave aumentata fino al triplo. Il massimale di riferimento non è quindi lo 0,1% previsto per la sola registrazione omessa: è quello della fascia alta, moltiplicato.

Detto al contrario, ed è la cosa più utile di questo articolo: registrarsi con un piano incompleto è una posizione strutturalmente migliore che non registrarsi affatto. Non perché la registrazione metta al riparo, ma perché la sua assenza fa scattare un meccanismo sanzionatorio diverso e più severo.

Resta un’asimmetria che vale la pena guardare da vicino: il costo dell’adeguamento è noto in anticipo e si mette a budget; quello del ritardo dipende da un massimale di legge, dall’esito di un rinnovo assicurativo e dai capitolati che l’azienda si troverà davanti. Delle due voci, è l’unica che un consiglio di amministrazione non può preventivare.

Cosa offre SynSphere

SynSphere ha accompagnato 15+ PMI italiane nel percorso di adeguamento al D.Lgs 138/2024, fino al dossier di evidenze pronto per un’eventuale verifica. È un conteggio nostro, sui nostri progetti, non una quota di mercato.

⚠️ Una precisazione, perché il mercato la racconta male: nessuno rilascia a un’azienda un certificato di conformità NIS2, né ACN né un organismo terzo. Il decreto prevede registrazione, dichiarazione con autovalutazione e verifica ispettiva — non un attestato da esibire in gara. Se qualcuno vi propone di «certificarvi NIS2», sta vendendo una cosa che non esiste.

Il pacchetto NIS2 SynSphere include:

• Discovery + gap analysis sul perimetro reale, con preventivo sul caso concreto
• Implementation roadmap personalizzata su settore + dimensione
• Setup Microsoft Sentinel + Defender for IoT + Purview quando applicabile
• Tabletop exercise con scenario settore-specifico
• Audit DPO esterno accompagnato + dossier documentazione

Per chi è in ritardo e vuole arrivare alla scadenza del 31 ottobre 2026 con un dossier difendibile, organizziamo percorsi compressi: si sceglie cosa chiudere davvero e cosa documentare come piano in corso, invece di far finta che entri tutto.

Vedi NIS2 guida operativa completa per il dettaglio art. 24 + scadenze + obblighi, e Microsoft Sentinel quando ha senso per la scelta del SIEM cloud.

Contattaci per discovery gratuita 60 minuti.