La direttiva europea NIS2 ha allargato di molto il perimetro delle imprese tenute a garantire un livello minimo di sicurezza informatica. In Italia è stata recepita con il D.Lgs. 138/2024, e i settori interessati sono passati da 7 a 18. La domanda che si pongono quasi tutte le PMI è la stessa: riguarda anche me?
Il criterio: settore + dimensione
Per rientrare direttamente nell’ambito di applicazione servono due condizioni insieme:
- operare in uno dei settori individuati dalla norma (tra gli altri: energia, trasporti, sanità, acqua, infrastrutture digitali, pubblica amministrazione, gestione rifiuti, produzione e distribuzione di alimenti, fabbricazione di dispositivi, servizi postali);
- superare le soglie dimensionali: come regola generale, almeno 50 dipendenti oppure 10 milioni di euro di fatturato annuo.
Sotto quelle soglie, di norma l’obbligo non scatta. Ma ci sono due eccezioni importanti che riguardano proprio le imprese piccole.
Le due eccezioni che colpiscono le PMI
1. L’inclusione decisa dall’Autorità
L’Agenzia per la Cybersicurezza Nazionale può includere nell’elenco dei soggetti anche imprese sotto soglia, quando svolgono funzioni critiche per la sicurezza nazionale o per l’economia. La dimensione, da sola, non mette al riparo.
2. L’effetto catena sui fornitori
È il punto che sta cambiando davvero le cose. I soggetti obbligati devono presidiare la sicurezza della propria catena di fornitura: nella pratica, lo fanno inserendo requisiti di sicurezza nei contratti con i fornitori.
Risultato: molte PMI che non rientrano nella NIS2 si vedono comunque richiedere questionari di sicurezza, certificazioni o clausole contrattuali dai clienti più grandi. Non è un obbligo di legge diretto, ma diventa una condizione per lavorare.
Cosa comporta essere dentro
- Registrarsi sulla piattaforma dell’ACN come soggetto NIS.
- Adottare misure di gestione del rischio proporzionate: analisi dei rischi, gestione degli incidenti, continuità operativa, sicurezza della catena di fornitura, controllo degli accessi.
- Notificare gli incidenti significativi secondo i tempi e le modalità previsti.
- Coinvolgere gli organi di amministrazione: la NIS2 attribuisce responsabilità dirette al vertice aziendale sull’approvazione e sulla supervisione delle misure.
Le sanzioni previste sono rilevanti: per i soggetti «importanti» l’articolo 38 del D.Lgs. 138/2024 arriva fino a 7 milioni di euro o all’1,4% del fatturato annuo mondiale, con soglie più alte per i soggetti «essenziali».
Le finestre temporali per registrazione e adeguamento sono definite e aggiornate dall’ACN: sono l’unico riferimento da usare per le scadenze, che variano in base alla categoria di soggetto.
Dove entra l’assicurazione
Qui va detta una cosa con chiarezza: nessuna polizza rende conformi alla NIS2. La conformità è organizzativa e tecnica. L’assicurazione interviene su un piano diverso — cosa succede quando, nonostante le misure, l’incidente accade:
- Polizza cyber: costi di ripristino dei sistemi, interruzione dell’attività, gestione della crisi, notifica agli interessati, riscatti (dove contrattualmente previsto e nei limiti di legge), responsabilità verso terzi per la perdita di dati.
- Responsabilità degli amministratori: poiché la norma responsabilizza il vertice, cresce l’esposizione personale di chi amministra.
- Responsabilità verso i clienti: se sei fornitore di un soggetto obbligato e un tuo incidente si propaga a valle, la richiesta di danni arriva a te.
Le compagnie, dal canto loro, chiedono sempre più spesso requisiti minimi (backup, autenticazione a più fattori, gestione degli aggiornamenti) come condizione per assumere il rischio. Il lavoro fatto per la conformità, quindi, ha un effetto diretto anche sulla possibilità di assicurarsi e sulle condizioni ottenibili.
Da dove partire
- Verifica se il tuo settore rientra tra quelli indicati dalla norma.
- Controlla le soglie dimensionali della tua impresa.
- Se sei fornitore di aziende grandi o della PA, aspettati richieste contrattuali sulla sicurezza: conviene prepararsi prima che arrivino.
- Consulta l’ACN per registrazione e scadenze aggiornate della tua categoria.
- In parallelo, valuta la copertura cyber: è ciò che protegge il bilancio quando le misure non bastano.
Fonti: Direttiva (UE) 2022/2555 (NIS2); D.Lgs. 138/2024, in particolare art. 38 per le sanzioni; Agenzia per la Cybersicurezza Nazionale per elenco dei soggetti, registrazione e scadenze. Contenuto a carattere divulgativo, aggiornato ad agosto 2026: non costituisce consulenza legale né valutazione di conformità.