La direttiva europea NIS2, recepita in Italia con il D.Lgs. 138/2024, ha esteso gli obblighi di cybersicurezza a un numero molto più ampio di imprese rispetto alla precedente NIS. Nel 2026 il percorso entra nella fase più concreta: per i soggetti già notificati dall’Agenzia per la Cybersicurezza Nazionale (ACN), il termine per adottare le misure di sicurezza di base è il 31 ottobre 2026.
In questo articolo vediamo in modo pratico come capire se la tua azienda è coinvolta e da dove partire, con una checklist in 20 punti.
Chi è soggetto alla NIS2
In linea generale la NIS2 si applica alle medie e grandi imprese (indicativamente da 50 dipendenti o 10 milioni di euro di fatturato in su) che operano nei settori elencati negli allegati del decreto. Alcuni soggetti rientrano a prescindere dalla dimensione.
- Settori ad alta criticità (Allegato I): tra gli altri energia, trasporti, banche e mercati finanziari, sanità, acqua, infrastrutture digitali, gestione dei servizi ICT per altre imprese, spazio.
- Altri settori critici (Allegato II): tra gli altri servizi postali e di corriere, gestione dei rifiuti, chimica, alimentare, manifattura di dispositivi medici, elettronica, apparecchiature elettriche, macchinari e veicoli, fornitori di servizi digitali, ricerca.
C’è poi un effetto indiretto molto importante: i soggetti NIS2 devono gestire la sicurezza della propria catena di fornitura. Per questo anche le PMI che non sono obbligate direttamente ricevono sempre più spesso questionari e clausole di sicurezza dai propri clienti.
Le scadenze principali
- Registrazione sulla piattaforma ACN e aggiornamento annuale delle informazioni.
- Notifica degli incidenti significativi: pre-notifica entro 24 ore, notifica entro 72 ore e relazione finale entro un mese.
- Misure di sicurezza di base: da adottare entro il 31 ottobre 2026 per i soggetti notificati, secondo le determinazioni dell’ACN.
Le sanzioni
Il decreto prevede sanzioni amministrative fino a 10 milioni di euro o al 2% del fatturato annuo mondiale per i soggetti essenziali e fino a 7 milioni di euro o all’1,4% per i soggetti importanti. Gli organi di amministrazione sono chiamati a rispondere direttamente dell’approvazione e della supervisione delle misure.
Checklist NIS2 in 20 punti
Rispondi con un sì o con un no. Ogni “no” è un’area su cui intervenire.
Assoggettabilità
- Hai verificato se il tuo settore rientra negli Allegati I o II del D.Lgs. 138/2024?
- Hai verificato la dimensione dell’azienda (dipendenti, fatturato, bilancio) anche a livello di gruppo?
- Sai se tra i tuoi clienti ci sono soggetti NIS2 che ti chiederanno requisiti di sicurezza?
- Se sei soggetto NIS2, hai effettuato la registrazione sulla piattaforma ACN e l’aggiornamento annuale?
Governance
- Gli organi di amministrazione hanno approvato le misure di gestione del rischio e ne seguono l’attuazione?
- Gli amministratori e il personale hanno ricevuto una formazione specifica sulla sicurezza informatica?
- Sono definiti ruoli e responsabilità (punto di contatto, referente CSIRT, responsabili interni)?
- Esiste un inventario aggiornato di sistemi, dati e servizi critici?
Misure tecniche
- L’autenticazione a più fattori (MFA) è attiva per posta, accessi remoti e account amministrativi?
- Gli accessi seguono il principio del minimo privilegio e vengono rivisti periodicamente?
- I sistemi e i dispositivi vengono aggiornati con regolarità e le vulnerabilità sono monitorate?
- Il firewall è configurato correttamente e la rete è segmentata?
- PC e server hanno una protezione endpoint gestita centralmente?
- Esistono backup secondo la regola 3-2-1, con almeno una copia fuori sede o immutabile?
- Il ripristino dai backup è stato testato negli ultimi mesi?
- I dati sensibili sono cifrati, a riposo e in transito?
Incidenti e fornitori
- Esiste una procedura per rilevare, gestire e notificare gli incidenti (24 ore, 72 ore, 30 giorni)?
- È presente un piano di continuità operativa e di disaster recovery?
- I fornitori ICT critici sono censiti e valutati dal punto di vista della sicurezza?
- I contratti con i fornitori includono clausole di sicurezza e di notifica degli incidenti?
Da dove partire
Se hai risposto “no” a più di qualche domanda, il primo passo è una verifica di assoggettabilità e gap analysis NIS2: in poco tempo capisci se sei obbligato, cosa manca e con quali priorità intervenire. Se invece vuoi partire dalla parte tecnica, il check-up di sicurezza ti dà una fotografia chiara del tuo livello di protezione.
Fonti: D.Lgs. 4 settembre 2024, n. 138; Agenzia per la Cybersicurezza Nazionale (acn.gov.it), determinazioni attuative. Le informazioni sono aggiornate a ottobre 2026 e non sostituiscono una valutazione del caso specifico.
Vuoi sapere se la tua azienda è pronta?
Scarica la checklist in PDF o prenota una call di 30 minuti per una prima verifica.