Molti titolari di studi e piccole imprese hanno sentito parlare della NIS2 e hanno concluso: “Non mi riguarda, sono troppo piccolo”. In senso stretto è spesso vero. In pratica, però, la NIS2 arriva anche alle PMI e ai fornitori attraverso i clienti più grandi. Vediamo come.
Cos’è la NIS2?
La NIS2 è la direttiva (UE) 2022/2555, che fissa regole comuni per la sicurezza informatica di aziende ed enti che svolgono attività importanti per l’economia e la società. In Italia è stata recepita con il decreto legislativo 4 settembre 2024, n. 138, pubblicato in Gazzetta Ufficiale il 1° ottobre 2024 e in vigore dal 16 ottobre 2024. L’autorità di riferimento è l’Agenzia per la Cybersicurezza Nazionale (ACN).
Rispetto alla prima direttiva NIS, la NIS2 allarga molto il numero di settori e di organizzazioni coinvolte (energia, trasporti, sanità, acqua, digitale, manifattura di alcuni prodotti, rifiuti, alimentare, servizi postali e altri) e le distingue in soggetti essenziali e soggetti importanti.
La NIS2 si applica alle piccole imprese?
In generale non direttamente: il criterio principale è la dimensione, e le soglie escludono la maggior parte delle micro e piccole imprese. Esistono però eccezioni per alcune attività considerate critiche indipendentemente dalle dimensioni.
Il punto per una PMI è un altro. Tra le misure che i soggetti obbligati devono adottare c’è la sicurezza della catena di approvvigionamento (articolo 24 del decreto). In pratica i soggetti NIS2 devono:
- mappare i fornitori critici;
- inserire nei contratti clausole di sicurezza e obblighi di notifica degli incidenti;
- verificare periodicamente i fornitori, spesso con questionari e richieste di evidenze.
Se il tuo studio o la tua azienda lavora per un’azienda sanitaria, una multiutility, un’industria, un operatore di trasporti o un fornitore digitale, è probabile che tu riceva, o abbia già ricevuto, uno di questi questionari.
Le date da ricordare
| Cosa | Quando |
|---|---|
| Entrata in vigore del D.Lgs. 138/2024 | 16 ottobre 2024 |
| Registrazione dei soggetti sulla piattaforma ACN | Ogni anno dal 1° gennaio al 28 febbraio |
| Adozione delle misure di sicurezza di base | Entro 18 mesi dalla comunicazione di inserimento nell’elenco NIS: per i soggetti notificati nella primavera 2025, entro ottobre 2026 |
| Notifica degli incidenti significativi | Preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro un mese |
Tradotto: proprio in questi mesi molte aziende obbligate stanno completando le misure di base, e la verifica dei fornitori è una di quelle.
Cosa chiedono di solito i questionari di sicurezza ai fornitori?
Ogni azienda ha il suo modello, ma le domande tipiche si somigliano:
- Avete un referente per la sicurezza informatica?
- Usate l’autenticazione a più fattori per posta e accessi remoti?
- Fate backup regolari, separati e testati?
- I sistemi vengono aggiornati regolarmente?
- Avete un firewall e un sistema di monitoraggio?
- Come gestite gli accessi ai nostri dati? Chi può vederli?
- Avete una procedura per gli incidenti? In quanto tempo ci avvisereste?
- Il personale riceve formazione sulla sicurezza?
- Dove sono conservati i dati (Italia, UE, fuori UE)?
- Potete fornire evidenze: rapporti, registri, policy?
Rispondere “sì” non basta più: sempre più spesso viene chiesta una prova.
Come prepararsi, in pratica
Non serve diventare un soggetto NIS2 per comportarsi come un buon fornitore. Ecco un percorso realistico:
- Fai il punto con la nostra checklist in 10 domande: ti dà le priorità.
- Sistema le basi: autenticazione a due fattori, backup scollegato e provato, aggiornamenti.
- Proteggi e osserva la rete: un firewall che sorveglia e avvisa, non solo il router.
- Scrivi la procedura incidenti: chi chiamare, come avvisare i clienti, in che tempi. → Attacco informatico: cosa fare
- Raccogli le evidenze: registro delle attività, rapporti periodici, policy firmate. Sono i documenti da allegare alle risposte.
- Coordina con il GDPR: molte misure servono a entrambi. → Misure di sicurezza GDPR e data breach
Attenzione alle promesse “conforme NIS2”
Nessun prodotto rende “conforme NIS2” un’organizzazione: la conformità riguarda processi, responsabilità, persone e tecnologia insieme. Un buon strumento aiuta a dimostrare di avere certe misure; diffida di chi vende un apparecchio come se fosse un certificato.
Come aiuta Strega Defence
Strega Defence nasce per gli studi e le piccole imprese che ricevono questionari di sicurezza senza avere un tecnico interno. Protegge la rete, avvisa in italiano semplice quando succede qualcosa che conta e tiene un Registro di eventi e decisioni da cui nasce un rapporto periodico: materiale concreto da allegare quando un cliente chiede “dimostratemi cosa fate per la sicurezza”. Scopri Strega Defence.
Questo articolo ha scopo divulgativo e non costituisce consulenza legale. Per verificare se la tua organizzazione rientra nell’ambito della NIS2, consulta il portale ACN o un professionista.
Domande frequenti
La NIS2 si applica agli studi professionali?
Nella maggior parte dei casi non direttamente, perché gli studi professionali non rientrano nei settori e nelle dimensioni previste. Possono però essere coinvolti come fornitori di soggetti NIS2, che devono verificare la sicurezza della propria catena di fornitura.
Cosa succede se non rispondo al questionario di sicurezza di un cliente?
Il cliente soggetto NIS2 deve gestire il rischio legato ai fornitori: un fornitore che non risponde o non offre garanzie può essere considerato ad alto rischio, con il rischio di perdere il contratto o di vedersi imporre condizioni più stringenti.
Quali sono i tempi di notifica degli incidenti previsti dalla NIS2?
Per i soggetti obbligati è prevista una pre-notifica entro 24 ore dalla conoscenza di un incidente significativo, una notifica entro 72 ore e una relazione finale entro un mese, verso il CSIRT Italia presso l’ACN.
Come faccio a sapere se la mia azienda è un soggetto NIS2?
Bisogna verificare il settore di attività, le dimensioni e gli eventuali casi speciali previsti dal D.Lgs. 138/2024. L’ACN pubblica sul proprio portale informazioni, FAQ e la piattaforma di registrazione, aperta ogni anno dal 1° gennaio al 28 febbraio.
Un prodotto può rendermi conforme alla NIS2?
No. La conformità riguarda l’intera organizzazione: governance, responsabilità, processi, formazione e misure tecniche. Un prodotto di sicurezza può aiutare a implementare e documentare alcune misure, ma non sostituisce il percorso di adeguamento.
Le misure richieste dalla NIS2 sono diverse da quelle del GDPR?
In parte si sovrappongono: backup, controllo degli accessi, gestione degli incidenti e formazione servono a entrambe. Il GDPR protegge i dati personali; la NIS2 la continuità e la sicurezza dei servizi. Conviene affrontarle insieme.
Fonti e approfondimenti
- Decreto legislativo 4 settembre 2024, n. 138 (recepimento NIS2) — Gazzetta Ufficiale, Serie Generale n. 230 del 1° ottobre 2024.
- Portale NIS — Agenzia per la Cybersicurezza Nazionale.
- NIS: date e informazioni utili per un’implementazione efficace — ACN.
- FAQ NIS: misure di sicurezza e notifica di incidenti — ACN.
- NIS2 e D.Lgs. 138/2024 — ICT Security Magazine.
- Consigli utili per i professionisti IT delle PMI (PDF) — ACN.
Scritto da Ing. Sergio Florio, fondatore di Strega Byte, ingegnere con oltre vent’anni di esperienza tra ricerca, sviluppo e impresa. Articolo aggiornato all’11 ottobre 2026.
