NIS2, l'autunno del redde rationem: perché ti riguarda anche se non sei nel perimetro

Una direttiva europea che sta diventando un requisito commerciale

Se segui la cronaca normativa solo per sentito dire, probabilmente hai già archiviato la NIS2 come "una cosa per le grandi aziende dei settori critici". Non è più così, e il motivo non è legale: è commerciale.

La Direttiva (UE) 2022/2555 è stata recepita in Italia con il D.Lgs. 4 settembre 2024, n. 138. Le aziende comprese nei 18 settori indicati dalla norma, tra cui manifatturiero, energia, sanità, servizi digitali e logistica, devono avere operative le misure di sicurezza di base definite dall'Agenzia per la Cybersicurezza Nazionale entro il 31 ottobre 2026. Meno di due mesi da oggi.

Il punto che la maggior parte delle PMI sottovaluta

Anche se la tua azienda non rientra formalmente nel perimetro NIS2, la direttiva impone ai soggetti obbligati di valutare e monitorare la sicurezza di tutta la loro catena di fornitura. In pratica, se lavori come fornitore IT, logistico, di manutenzione o di qualsiasi servizio critico per un'azienda soggetta alla NIS2, il tuo cliente sarà tenuto a:

• Inserire clausole di sicurezza informatica nei contratti
• Chiederti documentazione tecnica sulle tue misure di protezione
• Effettuare audit periodici sui tuoi sistemi

È lo stesso meccanismo che negli anni 2000 ha diffuso la certificazione ISO 9001 tra le piccole imprese italiane: nessuna legge la imponeva direttamente a loro, ma senza non entravano in certe forniture. La differenza è la velocità con cui sta succedendo questa volta.

Le misure minime richieste

Le linee guida operative pubblicate dall'ACN indicano un set di misure che, per una PMI strutturata, è realistico completare in 90-120 giorni se ci si muove ora:

• Autenticazione a più fattori su tutti gli accessi amministrativi
• Backup immutabile, con test di ripristino periodico documentato
• Vulnerability assessment almeno semestrale sui sistemi esposti
• Piano di incident response scritto, con tempi di notifica al CSIRT Italia entro 24 ore dall'evento

Perché non conviene aspettare il questionario del cliente

C'è una differenza pratica tra subire un requisito e anticiparlo. Se aspetti che sia il tuo cliente più grande a mandarti un questionario di autovalutazione o un'appendice contrattuale con requisiti minimi di sicurezza, ti trovi a rincorrere una scadenza che non controlli. Se ti muovi ora, puoi usare la conformità come argomento di vendita verso quegli stessi clienti, invece che come ostacolo da superare quando arriva la richiesta.

Ne avevamo parlato anche a proposito dei 507 attacchi gravi subiti dalle PMI italiane nel 2025: la sicurezza informatica non è più un costo accessorio, è diventata parte della postura commerciale di un'azienda.

Cosa fare da qui a fine mese

1. Verifica se rientri direttamente nel perimetro: controlla i 18 settori indicati dal D.Lgs. 138/2024 sul portale ACN
2. Anche se non rientri, chiediti chi sono i tuoi clienti più grandi: se lavorano in settori NIS2, la richiesta arriverà comunque
3. Fai una gap analysis rapida su MFA, backup e piano di incident response: sono le tre voci più spesso mancanti nelle PMI
4. Centralizza l'accesso ai tuoi dati critici in un sistema unico invece che su strumenti scollegati: riduce la superficie d'attacco e rende più semplice dimostrare la conformità in caso di audit

Il tempo per rimandare è finito. Non perché arrivi una multa, ma perché la sicurezza informatica sta diventando un requisito per fare affari, non solo un obbligo di legge.

Se il tuo gestionale è ancora sparso tra più sistemi scollegati e vuoi capire da dove iniziare per essere pronto a un audit di sicurezza, contattaci: possiamo aiutarti a capire cosa manca davvero, senza vendere soluzioni che non ti servono.