La tua azienda deve adeguarsi alla NIS2? Ecco come scoprirlo in cinque minuti

Da qualche mese ricevi email con oggetto "NIS2: sei pronto?" da software house, assicurazioni, consulenti di cybersecurity. Il tono è sempre lo stesso: urgente, minaccioso, con le sanzioni scritte in grassetto. Il problema è che una buona parte delle aziende italiane che ricevono quelle email non rientra nel perimetro della norma. Vale la pena capire in che gruppo sei prima di firmare un contratto di consulenza.

Cos'è, in due righe

NIS2 è una direttiva europea sulla cybersicurezza, recepita in Italia con il decreto legislativo 138/2024. Impone a un elenco preciso di aziende — non a tutte — di adottare misure di sicurezza informatica, notificare gli incidenti gravi e registrarsi presso l'Agenzia per la Cybersicurezza Nazionale (ACN).

Il primo filtro: il settore

La norma si applica solo a chi opera in uno dei 18 settori elencati: energia, trasporti, banche, mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, pubblica amministrazione, spazio (settori "essenziali"), e servizi postali, gestione rifiuti, chimica, alimentare, manifattura di dispositivi medici, elettronica, macchinari, veicoli, fornitori digitali, servizi di ricerca (settori "importanti").

Se la tua azienda produce mobili, fa consulenza fiscale, gestisce un negozio, offre servizi di pulizia o costruisce siti web senza vendere servizi digitali B2B su larga scala, quasi certamente non compare in nessuno dei 18 elenchi. Fine della storia, non serve leggere oltre.

Il secondo filtro: la dimensione

Anche se il tuo settore è tra i 18, la norma si applica solo a chi supera 50 dipendenti o 10 milioni di euro di fatturato. Sotto quella soglia, la stragrande maggioranza delle micro e piccole imprese resta fuori — con un'eccezione: alcuni soggetti critici (pubblica amministrazione, fornitori DNS, gestori di registri di nomi a dominio di primo livello, certi operatori finanziari) rientrano indipendentemente dalla dimensione.

Situazione	Rientri in NIS2?
Officina meccanica, 8 dipendenti	No
Software house che vende gestionali a decine di aziende, 60 dipendenti	Probabile sì
Ospedale privato, 30 dipendenti	Sì (settore critico, soglia non si applica)
Studio di commercialisti, 12 dipendenti	No
Produttore di componenti elettronici, 80 dipendenti	Sì

Cosa succede se rientri

Se la tua azienda è nel perimetro, gli obblighi principali sono tre: registrarsi sulla piattaforma dell'ACN, adottare misure di sicurezza di base entro ottobre 2026, e notificare gli incidenti gravi — l'obbligo di notifica è già attivo dal 1° gennaio 2026. Le sanzioni per chi doveva registrarsi e non l'ha fatto arrivano fino a 10 milioni di euro o il 2% del fatturato mondiale per i soggetti essenziali, fino a 7 milioni o l'1,4% per i soggetti importanti.

Cosa succede se non rientri

Niente. Non devi registrarti, non devi notificare nulla, non devi comprare nessun pacchetto di "conformità NIS2". Puoi comunque decidere di alzare il livello di sicurezza informatica della tua azienda — backup testati, password diverse per ogni servizio, autenticazione a due fattori — ma è buon senso, non un obbligo di legge.

Se un fornitore ti scrive che "tutte le aziende devono adeguarsi alla NIS2 entro il 2026", non è vero: sta descrivendo la sua lista clienti ideale, non la norma.

Un'eccezione che nessuno racconta

Anche se sei sotto soglia, se sei fornitore di un'azienda che rientra in NIS2 — per esempio fai manutenzione IT a un ospedale o gestisci il sito di un'infrastruttura energetica — quel cliente potrebbe comunque chiederti requisiti di sicurezza minimi via contratto, perché la responsabilità della catena di fornitura ricade su di lui. In quel caso conviene chiedere direttamente al cliente cosa serve, invece di comprare una consulenza generica.

Prima di firmare qualsiasi contratto legato a NIS2, la domanda da fare non è "quanto costa adeguarsi" ma "in quale dei 18 settori rientro, e supero le soglie". Il modo più veloce per saperlo è la piattaforma di autoverifica dell'ACN, gratuita.