Da qualche mese ricevi email con oggetto "NIS2: sei pronto?" da software house, assicurazioni, consulenti di cybersecurity. Il tono è sempre lo stesso: urgente, minaccioso, con le sanzioni scritte in grassetto. Il problema è che una buona parte delle aziende italiane che ricevono quelle email non rientra nel perimetro della norma. Vale la pena capire in che gruppo sei prima di firmare un contratto di consulenza.
Cos'è, in due righe
NIS2 è una direttiva europea sulla cybersicurezza, recepita in Italia con il decreto legislativo 138/2024. Impone a un elenco preciso di aziende — non a tutte — di adottare misure di sicurezza informatica, notificare gli incidenti gravi e registrarsi presso l'Agenzia per la Cybersicurezza Nazionale (ACN).
Il primo filtro: il settore
La norma si applica solo a chi opera in uno dei 18 settori elencati: energia, trasporti, banche, mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, pubblica amministrazione, spazio (settori "essenziali"), e servizi postali, gestione rifiuti, chimica, alimentare, manifattura di dispositivi medici, elettronica, macchinari, veicoli, fornitori digitali, servizi di ricerca (settori "importanti").
Se la tua azienda produce mobili, fa consulenza fiscale, gestisce un negozio, offre servizi di pulizia o costruisce siti web senza vendere servizi digitali B2B su larga scala, quasi certamente non compare in nessuno dei 18 elenchi. Fine della storia, non serve leggere oltre.
Il secondo filtro: la dimensione
Anche se il tuo settore è tra i 18, la norma si applica solo a chi supera 50 dipendenti o 10 milioni di euro di fatturato. Sotto quella soglia, la stragrande maggioranza delle micro e piccole imprese resta fuori — con un'eccezione: alcuni soggetti critici (pubblica amministrazione, fornitori DNS, gestori di registri di nomi a dominio di primo livello, certi operatori finanziari) rientrano indipendentemente dalla dimensione.
| Situazione | Rientri in NIS2? |
|---|---|
| Officina meccanica, 8 dipendenti | No |
| Software house che vende gestionali a decine di aziende, 60 dipendenti | Probabile sì |
| Ospedale privato, 30 dipendenti | Sì (settore critico, soglia non si applica) |
| Studio di commercialisti, 12 dipendenti | No |
| Produttore di componenti elettronici, 80 dipendenti | Sì |
Cosa succede se rientri
Se la tua azienda è nel perimetro, gli obblighi principali sono tre: registrarsi sulla piattaforma dell'ACN, adottare misure di sicurezza di base entro ottobre 2026, e notificare gli incidenti gravi — l'obbligo di notifica è già attivo dal 1° gennaio 2026. Le sanzioni per chi doveva registrarsi e non l'ha fatto arrivano fino a 10 milioni di euro o il 2% del fatturato mondiale per i soggetti essenziali, fino a 7 milioni o l'1,4% per i soggetti importanti.
Cosa succede se non rientri
Niente. Non devi registrarti, non devi notificare nulla, non devi comprare nessun pacchetto di "conformità NIS2". Puoi comunque decidere di alzare il livello di sicurezza informatica della tua azienda — backup testati, password diverse per ogni servizio, autenticazione a due fattori — ma è buon senso, non un obbligo di legge.
Se un fornitore ti scrive che "tutte le aziende devono adeguarsi alla NIS2 entro il 2026", non è vero: sta descrivendo la sua lista clienti ideale, non la norma.
Un'eccezione che nessuno racconta
Anche se sei sotto soglia, se sei fornitore di un'azienda che rientra in NIS2 — per esempio fai manutenzione IT a un ospedale o gestisci il sito di un'infrastruttura energetica — quel cliente potrebbe comunque chiederti requisiti di sicurezza minimi via contratto, perché la responsabilità della catena di fornitura ricade su di lui. In quel caso conviene chiedere direttamente al cliente cosa serve, invece di comprare una consulenza generica.
Prima di firmare qualsiasi contratto legato a NIS2, la domanda da fare non è "quanto costa adeguarsi" ma "in quale dei 18 settori rientro, e supero le soglie". Il modo più veloce per saperlo è la piattaforma di autoverifica dell'ACN, gratuita.