Se nelle ultime settimane hai sentito parlare di NIS2 più del solito, non è un caso. Il 31 ottobre 2026 scade il termine entro cui le aziende che rientrano nella normativa devono rendere operative le misure di sicurezza di base stabilite dall'Agenzia per la Cybersicurezza Nazionale (ACN). Da quel momento l'ACN può avviare i controlli.
E se pensi "la mia azienda è troppo piccola, non mi riguarda", leggi fino in fondo: la NIS2 sta arrivando anche a chi non è direttamente obbligato, attraverso i clienti.
In questa guida trovi chi è coinvolto, cosa chiede concretamente la scadenza e cosa puoi fare nei prossimi giorni.
Cos'è la NIS2, in due righe
La NIS2 è la direttiva europea 2022/2555 sulla sicurezza informatica, recepita in Italia con il D.Lgs. 138/2024 (il "Decreto NIS"). Impone a una lunga lista di aziende e enti di gestire il rischio informatico in modo strutturato, di notificare gli incidenti gravi e di rispondere delle proprie scelte di sicurezza, fino al consiglio di amministrazione.
Chi deve rispettare la NIS2
In linea generale rientrano le aziende medie e grandi (dal 50° dipendente in su, oppure con fatturato oltre 10 milioni di euro) che operano nei settori indicati dal decreto. Tra questi:
settori ad alta criticità: energia, trasporti, banche e mercati finanziari, sanità, acqua, infrastrutture digitali, servizi IT gestiti, pubblica amministrazione, spazio;
altri settori critici: servizi postali e corrieri, gestione dei rifiuti, chimica, alimentare, manifattura (dispositivi medici, elettronica, macchinari, autoveicoli e altri mezzi di trasporto), fornitori di servizi digitali come marketplace e motori di ricerca, ricerca.
Alcuni soggetti rientrano a prescindere dalle dimensioni, per esempio certi fornitori di servizi digitali e di telecomunicazioni.
Le aziende coinvolte si dividono in soggetti essenziali e soggetti importanti: cambiano il livello dei controlli e l'importo massimo delle sanzioni, non gli obblighi di base.
Cosa scade il 31 ottobre 2026
Per le aziende iscritte nell'elenco NIS nel 2025, entro il 31 ottobre 2026 devono essere operative le misure di sicurezza di base previste dalle determinazioni ACN (la n. 164179/2025, aggiornata dalla n. 379907/2025). In pratica, devi poter dimostrare di avere:
Autenticazione a più fattori sui sistemi critici, soprattutto per gli accessi amministrativi e da remoto.
Controllo degli accessi, con revisione periodica dei permessi e chiusura rapida degli account che non servono più.
Backup protetti e verificati, con procedure per ripristinare i servizi essenziali.
Gestione continua delle vulnerabilità: individuare e correggere le falle dei sistemi in modo periodico, non quando capita.
Procedure di risposta agli incidenti, con ruoli e passi decisi prima, anche per rispettare i tempi di notifica.
Coinvolgimento dei vertici: il consiglio di amministrazione deve approvare le misure, sorvegliarne l'attuazione e seguire una formazione in cybersicurezza.
Per chi è stato inserito nell'elenco nel 2026, la scadenza per le misure di base è il 31 luglio 2027.
I tempi di notifica degli incidenti
Dal 2026 è operativo anche l'obbligo di notificare gli incidenti significativi al CSIRT Italia:
preallarme entro 24 ore da quando te ne accorgi;
notifica completa entro 72 ore;
relazione finale entro un mese.
Se non hai una procedura scritta, rispettare le 24 ore nel mezzo di un attacco è quasi impossibile.
Le sanzioni
Le sanzioni previste dal decreto arrivano fino a:
10 milioni di euro o il 2% del fatturato mondiale per i soggetti essenziali;
7 milioni di euro o l'1,4% del fatturato mondiale per i soggetti importanti.
A questo si aggiunge la responsabilità personale degli amministratori, che nei casi più gravi possono essere interdetti dalle funzioni dirigenziali.
"Io non rientro nella NIS2": sei sicuro?
Qui sta la parte che molte PMI sottovalutano. Il decreto chiede alle aziende NIS2 di gestire la sicurezza della propria catena di fornitura: devono mappare i fornitori rilevanti, chiedere loro requisiti di sicurezza, scriverli nei contratti e controllarli nel tempo. Nel 2026 l'ACN ha reso operativa anche la comunicazione dell'elenco dei fornitori rilevanti.
Tradotto: se lavori per un'azienda NIS2 (fornisci componenti, software, manutenzione, servizi IT, logistica), è molto probabile che ti arrivi, o ti sia già arrivato, un questionario di sicurezza o una clausola nuova nel contratto. E chi non sa rispondere rischia di essere sostituito da un fornitore che sa farlo.
È lo stesso discorso che faccio alle aziende produttive che lavorano nel B2B: oggi il cliente ti sceglie anche in base a quanto sembri affidabile, e la sicurezza informatica è entrata in quella valutazione.
Cosa fare nei prossimi giorni
Che tu sia un soggetto NIS2 o un fornitore, l'ordine delle cose è lo stesso.
Fai il punto della situazione. Confronta quello che hai oggi con le misure di base elencate sopra. Ne esce una lista di cosa manca, in ordine di priorità.
Attiva subito l'autenticazione a più fattori su email, accessi remoti e pannelli amministrativi. È la misura più rapida e quella che blocca più attacchi.
Prova un ripristino da backup. Un backup mai testato non è un backup.
Fai un test di sicurezza dei sistemi esposti a internet (sito, e-commerce, VPN, posta). Un vulnerability assessment o un penetration test è il modo più concreto per dimostrare che le vulnerabilità le cerchi davvero, e ti dà un documento da mostrare a ispettori e clienti.
Scrivi la procedura per gli incidenti: chi chiama chi, chi decide, chi notifica, con quali tempi.
Porta tutto in consiglio di amministrazione e mettilo a verbale.
Se al 31 ottobre non avrai completato tutto, avere un'analisi fatta, delle priorità chiare e un piano con date è molto meglio di non avere nulla.
Il sito web è parte del problema
Quando si parla di NIS2 si pensa a server e reti aziendali, ma spesso il punto più esposto è proprio il sito web: è sempre online, è raggiungibile da chiunque e su molti siti aziendali gira un WordPress che nessuno aggiorna da anni.
Un sito compromesso può diventare la porta d'ingresso verso il resto dell'azienda, oppure un incidente da notificare. Se vuoi sapere come si riconosce e cosa fare, ho scritto una guida su cosa fare se il sito è stato hackerato. Per le basi, parti dalle migliori pratiche per la sicurezza su WordPress e da perché un sito risulta non sicuro.
E non dimenticare gli strumenti nuovi: anche i browser con intelligenza artificiale portano rischi nuovi, come ho raccontato parlando della vulnerabilità del browser Atlas di OpenAI.
Domande frequenti
Entro quando devo adeguarmi alla NIS2?
Se la tua azienda è stata inserita nell'elenco NIS nel 2025, le misure di sicurezza di base devono essere operative entro il 31 ottobre 2026. Se sei stato inserito nel 2026, hai tempo fino al 31 luglio 2027.
La NIS2 vale per le piccole imprese?
In generale no: si applica a medie e grandi imprese dei settori indicati, salvo eccezioni. Ma le piccole imprese che forniscono beni o servizi ad aziende NIS2 vengono coinvolte tramite i requisiti di sicurezza che i clienti devono chiedere ai fornitori.
Il penetration test è obbligatorio per la NIS2?
Le misure di base chiedono una gestione continua delle vulnerabilità, non un test con un nome preciso. Un vulnerability assessment o un penetration test periodico è però il modo più pratico per farlo e per documentarlo.
Cosa succede se non rispetto la scadenza?
Dal 31 ottobre 2026 l'ACN può avviare i controlli. Le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato per i soggetti essenziali, e a 7 milioni o all'1,4% per quelli importanti, con responsabilità personale degli amministratori.
Un cliente mi ha mandato un questionario NIS2: cosa faccio?
Non ignorarlo e non rispondere a caso. Fai prima un'analisi della tua situazione, sistema le misure più urgenti (autenticazione a più fattori, backup, aggiornamenti) e allega, se puoi, l'esito di un test di sicurezza.
Le informazioni di questo articolo sono aggiornate a ottobre 2026 e hanno scopo divulgativo. Per verificare se la tua azienda rientra nella NIS2 fai riferimento al D.Lgs. 138/2024 e alle determinazioni pubblicate sul sito dell'ACN.
