Il D.Lgs. 138/2024, che recepisce la direttiva europea NIS2, entra pienamente in vigore il 31 ottobre 2026. L'Agenzia per la Cybersicurezza Nazionale (ACN) ha già individuato oltre 20.000 soggetti rientranti nel perimetro applicativo, di cui più di 5.000 classificati come "essenziali". Molte di queste aziende non sono grandi gruppi quotati, ma PMI e aziende medio-grandi che fanno parte di filiere critiche — energia, sanità, manifattura, servizi digitali, pubblica amministrazione.

Chi è davvero coinvolto

La direttiva individua due categorie di soggetti, "essenziali" e "importanti", in base a settore di attività, dimensione dell'organizzazione e ruolo nella filiera. Un errore comune è pensare che NIS2 riguardi solo le grandi infrastrutture critiche: in realtà molte PMI rientrano nel perimetro in quanto fornitori di soggetti essenziali, oppure operano direttamente in settori regolati (energia, trasporti, sanità, gestione delle acque, infrastrutture digitali, servizi finanziari).

Se la vostra azienda fornisce prodotti o servizi a un'organizzazione già classificata come essenziale, è probabile che gli obblighi si estendano anche a voi lungo la catena di fornitura.

Cosa richiede concretamente la norma

NIS2 non si limita a chiedere "più sicurezza": definisce obblighi operativi precisi, con responsabilità che ricadono esplicitamente sull'organo amministrativo.

  • Misure di sicurezza dimostrabili — gestione del rischio, politiche di controllo degli accessi, crittografia, sicurezza della supply chain.
  • Gestione degli incidenti — procedure di rilevazione, notifica e risposta, con tempistiche di segnalazione stringenti (una prima notifica entro 24 ore dalla scoperta di un incidente significativo).
  • Formazione obbligatoria del personale, incluso il vertice aziendale.
  • Responsabilità dell'organo amministrativo, che deve approvare e supervisionare le misure di sicurezza, non solo delegarle all'IT.

Le sanzioni

Il massimale sanzionatorio per i soggetti essenziali arriva fino a 7 milioni di euro o l'1,4% del fatturato globale annuo, se superiore. Ma il rischio più concreto, nel breve periodo, non è la sanzione: è arrivare al 31 ottobre 2026 senza un piano, con misure di sicurezza non dimostrabili e senza una procedura di gestione degli incidenti testata.

Il punto non è comprare più strumenti di sicurezza. È dimostrare che esiste un processo — e che qualcuno ne risponde.

Da dove iniziare, in pratica

  1. Verificate se rientrate nel perimetro — direttamente, per settore, o indirettamente, come fornitori di un soggetto essenziale.
  2. Mappate cosa avete già — policy di sicurezza esistenti, fornitori IT, contratti di supporto, procedure di backup e disaster recovery.
  3. Individuate i vuoti — dove manca una procedura documentata, dove la responsabilità non è chiara, dove la formazione non è mai stata fatta.
  4. Costruite un piano con priorità e tempi, partendo da ciò che riduce il rischio più alto nel tempo più breve.

Non serve affrontare tutto insieme. Serve sapere, con priorità chiare, cosa fare per primo — ed essere in grado di dimostrarlo se richiesto.