“Quanto ci costa la NIS2?” è la prima domanda che mi fanno gli imprenditori. La risposta onesta è che dipende da dove parti, ma le voci di spesa sono sempre le stesse. Conoscerle ti permette di fare un budget realistico e di non pagare due volte la stessa cosa.
I tre fattori che decidono il costo
- Soggetto essenziale o importante: gli essenziali hanno più misure da applicare (43 misure e 116 requisiti contro 37 misure e 87 requisiti, secondo la determinazione ACN in vigore dal 2026) e controlli più stringenti.
- Livello di partenza: chi ha già MFA, backup testati, firewall gestito e qualche procedura scritta spende molto meno di chi parte da zero. Se hai già un percorso ISO/IEC 27001, buona parte del lavoro è riutilizzabile.
- Complessità dell’azienda: numero di sedi, di sistemi e di fornitori ICT, presenza di produzione o di sistemi industriali, quanti servizi rientrano nel perimetro NIS2.
Le cinque voci di spesa
1. Verifica di assoggettabilità e gap analysis
È il punto di partenza: capire se e come sei soggetto alla NIS2, quali attività e servizi rientrano nel perimetro e quanto sei lontano dalle misure richieste. Il risultato è un elenco di interventi con priorità e stima dei costi. È la spesa più piccola, ma evita di sbagliare tutte le altre.
2. Governance e documentazione
Politiche di sicurezza, analisi dei rischi, ruoli e responsabilità, procedura di gestione e notifica degli incidenti, piano di continuità operativa, gestione dei fornitori. Serve tempo di consulenza e, soprattutto, tempo interno: i documenti devono descrivere come lavora davvero la tua azienda, non un modello copiato.
3. Misure tecniche
È la voce più variabile. Le misure di base riguardano tra l’altro autenticazione a più fattori, gestione degli accessi e dei privilegi, aggiornamenti e vulnerabilità, protezione della rete, backup, registrazione degli eventi. Spesso non serve comprare tutto nuovo: molte funzioni sono già incluse nelle licenze Microsoft 365 o nel firewall che hai, vanno solo configurate e documentate.
4. Formazione
La NIS2 chiede formazione specifica per gli organi di amministrazione, che rispondono in prima persona delle misure adottate, e una formazione periodica per il personale. Sessioni brevi e mirate funzionano meglio di un corso generico una volta ogni tanto.
5. Gestione nel tempo
La conformità non finisce con un progetto: ci sono l’aggiornamento annuale sulla piattaforma ACN, il riesame dei rischi, i test di ripristino e di sicurezza, la revisione degli accessi e dei fornitori. È un costo ricorrente da mettere a budget fin dall’inizio.
| Voce | Tipo di costo | Da cosa dipende |
|---|---|---|
| Gap analysis | Una tantum | Numero di sedi, sistemi e servizi nel perimetro |
| Governance e documenti | Una tantum + revisione annuale | Procedure già esistenti, certificazioni in corso |
| Misure tecniche | Investimento + canoni | Strumenti già presenti, licenze, infrastruttura |
| Formazione | Ricorrente | Numero di persone e di ruoli |
| Gestione e verifiche | Ricorrente | Livello di supporto esterno scelto |
Un ordine di grandezza
In Italia non esistono stime ufficiali. Un riferimento utile è quella del governo tedesco nella legge di recepimento: per un soggetto importante di dimensione media circa 1.100 ore di lavoro l’anno e circa 24.000 euro di costi materiali; per un soggetto essenziale circa 2.750 ore e circa 60.000 euro, con un primo anno più impegnativo. Sono medie su organizzazioni molto diverse: una PMI ben organizzata può stare sensibilmente sotto, un gruppo con più sedi sopra.
Cosa fa salire il conto
- Partire tardi: per i soggetti già in elenco dal 2025 le misure di base vanno adottate entro il 31 ottobre 2026 e da ottobre l’ACN passa alla fase di verifica. Fare tutto in fretta costa di più.
- Comprare strumenti prima dell’analisi: un software costoso che copre un requisito che avevi già soddisfatto è denaro perso.
- Documenti “da modello”: non reggono a una verifica e vanno rifatti.
- Non coinvolgere la direzione: le decisioni si bloccano e il progetto si allunga.
Come spendere il giusto
- Parti dalla gap analysis e affronta prima le misure con più rischio e più evidenza richiesta.
- Sfrutta ciò che hai: licenze Microsoft 365, firewall, antivirus e backup esistenti vanno prima configurati al meglio, poi eventualmente sostituiti.
- Valuta i voucher per la cybersecurity: il bando MIMIT copre il 50% di firewall, software di sicurezza e servizi cloud (non la consulenza normativa).
- Scegli un supporto continuativo proporzionato: per molte PMI bastano poche giornate l’anno di verifica e aggiornamento.
E il costo del non fare?
Le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali e fino a 7 milioni o all’1,4% per gli importanti. Ma il costo più probabile è un altro: un incidente che ferma l’azienda per giorni, e i clienti che chiedono garanzie di sicurezza ai loro fornitori. Anche chi non è obbligato direttamente si trova spesso a dover dimostrare le stesse misure.
Domande frequenti
Quanto costa una gap analysis NIS2?
Dipende dal perimetro: numero di sedi, sistemi e servizi coinvolti. Per una PMI si tratta di solito di poche giornate di lavoro. Dopo una call conoscitiva di 30 minuti ti preparo un preventivo a corpo, senza sorprese.
Se non sono soggetto NIS2 devo comunque spendere?
Non hai obblighi diretti, ma se lavori per clienti soggetti NIS2 riceverai questionari e clausole di sicurezza. Un adeguamento leggero alle misure di base è spesso il modo più economico per rispondere a tutti.
Posso usare un incentivo per pagare l’adeguamento?
Il voucher Cloud e Cybersecurity del MIMIT finanzia hardware, software e servizi cloud di sicurezza al 50%, mentre la formazione e la consulenza normativa sono escluse. Conviene quindi usarlo per la parte tecnica del progetto.
Fonti: D.Lgs. 4 settembre 2024, n. 138; Agenzia per la Cybersicurezza Nazionale, determinazione n. 379907/2025 sulle misure di base; stima dei costi del governo federale tedesco nel progetto di legge di recepimento della NIS2 (BT-Drs. 21/1501). Informazioni aggiornate a ottobre 2026: non sostituiscono la valutazione del caso specifico.
Vuoi sapere quanto costerebbe a te?
Con una gap analysis ti dico cosa manca, in che ordine intervenire e quanto spendere, partendo da ciò che hai già.