# NIS2 e PMI: tre cose da sistemare subito (anche se pensi che non ti riguardi)

> La nuova normativa europea sulla sicurezza informatica e cosa devono fare concretamente le PMI: chi è coinvolto, il mito dei grandi, accessi, backup e aggiornamenti.

- **URL**: https://www.spsproject.net/nis2-pmi-cosa-fare/
- **Autore**: Anna De Carolis
- **Pubblicato**: 01/10/2026
- **Categorie**: Cybersecurity e Compliance

---

«Ma la NIS2 è roba da ospedali e centrali elettriche, noi siamo in quaranta.» Me lo sento dire spesso, e capisco da dove arriva. Solo che a molte **PMI** la **NIS2** arriva lo stesso: non con una lettera dell’Agenzia per la Cybersicurezza Nazionale, ma con il questionario di sicurezza di un cliente grande. Qui vediamo cosa chiede davvero la direttiva, perché la **NIS2 per le PMI** non è un tema da rimandare e quali sono le tre cose da sistemare per prime.

Se cerchi il quadro completo, con settori, sanzioni e tempi di notifica, lo trovi nella nostra [guida alla Direttiva NIS2 per le aziende italiane](https://www.spsproject.net/direttiva-nis2-ue-2022-2555-cosa-cambia-per-le-aziende-italiane-nel-2026/). Qui restiamo sul pratico.

## La NIS2 in due minuti

La Direttiva (UE) 2022/2555, per tutti NIS2, è la regola europea sulla sicurezza informatica delle organizzazioni che fanno funzionare servizi importanti: energia, trasporti, sanità, acqua, infrastrutture digitali, ma anche manifattura, alimentare, rifiuti, chimica, servizi postali. In Italia è legge con il **D.Lgs. 138/2024**, in vigore dal 16 ottobre 2024, e la vigilanza spetta all’ACN.

Il principio è semplice. Chi rientra deve gestire il rischio informatico in modo proporzionato, notificare gli incidenti significativi e risponderne ai vertici aziendali, non solo all’ufficio IT. E le date sono concrete: le aziende inserite nell’elenco nella primavera 2025 hanno 18 mesi dalla comunicazione per attuare le misure di sicurezza di base. Per la prima tornata il termine cade a metà ottobre 2026, cioè in queste settimane. Da qui l’ACN passa dalla fase di accompagnamento a quella dei controlli.

> La NIS2 non chiede a una PMI di diventare una banca. Chiede di sapere cosa ha, chi ci accede e cosa fa quando qualcosa va storto. E di poterlo dimostrare.

## Chi coinvolge, davvero

Un’azienda italiana può incontrare la NIS2 in tre modi.

- **Direttamente, per settore e dimensione.** Le medie e grandi imprese (indicativamente da 50 dipendenti in su, oppure oltre 10 milioni di fatturato) che operano nei settori elencati dal decreto. Devono registrarsi sulla piattaforma dell’ACN, che apre ogni anno dal 1° gennaio al 28 febbraio.
- **Direttamente, a prescindere dalla dimensione.** Alcune attività rientrano anche se l’azienda è piccola: per esempio certi fornitori di servizi digitali e di telecomunicazioni, o chi è l’unico fornitore di un servizio essenziale sul proprio territorio.
- **Indirettamente, come fornitore.** Chi è soggetto alla NIS2 deve valutare la sicurezza della propria catena di fornitura. Tradotto: chiede garanzie a chi gli fornisce software, manutenzione, componenti, servizi IT.

Il terzo punto è quello che sfugge più spesso. Ed è il motivo di questo articolo.

## Il mito: «colpisce solo i grandi»

Sulla carta è quasi vero: micro e piccole imprese, nella maggior parte dei casi, non sono soggetti NIS2. Nella pratica la pressione scende lungo la filiera. L’azienda meccanica del Veronese che fornisce componenti a un gruppo dell’automotive, la software house che gestisce il gestionale di un’industria alimentare, lo studio che fa assistenza IT a una multiutility: nessuno di loro riceverà una comunicazione dall’ACN. Tutti però possono ricevere dal cliente un questionario, una clausola contrattuale nuova o una richiesta di audit.

E lì la domanda non è «siete soggetti NIS2?». È «come gestite gli accessi? avete backup verificati? come aggiornate i sistemi?». Chi sa rispondere tiene il contratto. Chi non sa rispondere finisce, senza clamore, nella lista dei fornitori da rivalutare.

Per questo la NIS2 per le PMI conviene leggerla in un altro modo: non come un obbligo da schivare, ma come lo standard minimo che i clienti grandi si aspettano già oggi.

![NIS2 per le PMI: controllo di accessi e backup in una piccola azienda](https://www.spsproject.net/wp-content/uploads/2026/10/corpo-nis2-pmi-backup-server.jpg)

## NIS2 e PMI: le tre cose da sistemare subito

Le misure previste dalla direttiva sono parecchie, dalla gestione del rischio alla crittografia. Ma se parti da zero ci sono tre aree che fanno la maggior parte della differenza, e nessuna richiede investimenti enormi.

### 1. Gli accessi: chi entra, e con cosa

- Attiva l’**autenticazione a più fattori** su posta, gestionale raggiungibile da fuori, VPN e pannelli di amministrazione. È la misura con il miglior rapporto tra costo e protezione.
- Fai l’elenco degli account attivi e chiudi quelli di chi non lavora più con voi: ex dipendenti, ex consulenti, fornitori di progetti finiti. Di solito ne salta fuori più di uno.
- Niente password di amministratore condivise in un file o su un post-it. Ogni persona ha il suo account, con i permessi che le servono e non di più.

### 2. I backup: non basta averli, bisogna saperli ripristinare

- Almeno una copia deve stare **fuori dalla rete aziendale** o non essere modificabile: un ransomware cifra volentieri anche il disco di backup collegato al server.
- Prova un **ripristino vero** a intervalli regolari, sia di un singolo file sia di un sistema intero. Un backup mai provato è una speranza, non una misura.
- Scrivi quanti dati puoi permetterti di perdere (un giorno? un’ora?) e per quanto puoi restare fermo. Sono i due numeri che guidano tutte le scelte successive, sopratutto quelle di spesa.

### 3. Gli aggiornamenti: sapere cosa c’è in rete

- Parti da un **inventario**: computer, server, router, NAS, stampanti, telecamere, dispositivi IoT sulle macchine. Non si aggiorna quello che non si sa di avere.
- Stabilisci una regola per le patch: chi le applica, ogni quanto, con quale priorità per quelle critiche.
- Individua il software **fuori supporto**, quello che non riceve più aggiornamenti di sicurezza dal produttore. Va sostituito o isolato, con una data precisa.

> Accessi, backup, aggiornamenti. Non coprono tutta la NIS2, ma sono le prime domande di qualsiasi questionario fornitori. E sono le prime porte che un attaccante prova ad aprire.

## Il punto che fa la differenza: poterlo dimostrare

Fare le cose è metà del lavoro. L’altra metà è dimostrarle: chi ha fatto cosa, quando, con quale esito. Né l’ACN né un cliente che ti manda un audit si accontentano delle buone intenzioni: chiedono evidenze. Policy scritte, revisioni periodiche degli accessi, registro dei ripristini provati, storico delle verifiche.

È un tema che conosciamo da vicino. Per un cliente che si occupa di consulenza normativa abbiamo sviluppato una [piattaforma di verifica della conformità](https://www.spsproject.net/portfolio/dgaccess-verifica-conformita-normativa-siti-web/): controlli automatizzati con checklist configurabili, report con le non conformità e i correttivi suggeriti, gestione delle scadenze e uno storico che documenta il percorso di adeguamento nel tempo. Quello che abbiamo imparato lì vale anche per la NIS2: la conformità regge quando è un processo ripetibile e tracciato, non un fascicolo preparato la settimana prima del controllo.

## Da dove partire questa settimana

1. Verifica se rientri direttamente: settore, dimensione, eventuale comunicazione dell’ACN già ricevuta. Nei casi dubbi fatti affiancare da un consulente legale che valuti la tua situazione specifica.
2. Fai l’elenco dei clienti che potrebbero essere soggetti NIS2 e chiediti cosa ti domanderanno.
3. Controlla le tre aree qui sopra e scrivi, anche in una pagina sola, cosa c’è già e cosa manca.
4. Decidi chi in azienda è responsabile della sicurezza informatica. Non deve essere per forza un tecnico: deve essere qualcuno con l’autorità per decidere.
5. Prepara una procedura minima per gli incidenti: chi chiamare, cosa isolare, chi avvisare. Per i soggetti NIS2 la pre-notifica al CSIRT Italia va fatta entro 24 ore, e non è il momento di cercare un numero di telefono.

Nessuno di questi passi richiede un progetto di mesi. Richiede di guardare le cose con ordine, una alla volta.

Se vuoi un secondo parere su come sono messi i tuoi sistemi e il software che usi, in particolare se lavori in filiera con clienti grandi in Veneto o nel Nord Italia, possiamo fare insieme un’[analisi dei sistemi in vista della NIS2](https://www.spsproject.net/consulenza-e-analisi-progetti/). Senza allarmi, e senza proporti quello che non ti serve.

## Domande frequenti

### Una piccola impresa deve adeguarsi alla NIS2?

Nella maggior parte dei casi micro e piccole imprese non sono soggetti NIS2 in modo diretto, salvo alcune attività che rientrano a prescindere dalla dimensione. Però se lavori come fornitore per aziende che rientrano nella direttiva, è probabile che ti chiedano garanzie di sicurezza tramite questionari, clausole contrattuali o audit. In pratica conviene prepararsi comunque.

### Cosa chiede la NIS2 ai fornitori delle aziende obbligate?

La NIS2 obbliga i soggetti coinvolti a valutare la sicurezza della propria catena di fornitura. Per il fornitore questo si traduce in domande molto concrete: come gestisce gli accessi, se ha backup verificati, come aggiorna i sistemi, cosa fa in caso di incidente. Chi sa rispondere con evidenze documentate parte avvantaggiato.

### Quali sono le prime misure NIS2 da adottare in una PMI?

Se parti da zero, le tre aree con più impatto sono gli accessi, i backup e gli aggiornamenti. Quindi autenticazione a più fattori e account chiusi per chi non lavora più con te, almeno una copia di backup fuori dalla rete e ripristini provati, un inventario dei dispositivi e una regola chiara per le patch. Nessuna di queste richiede investimenti enormi.

### Come faccio a sapere se la mia azienda rientra nella NIS2?

Il primo controllo riguarda settore e dimensione: la direttiva coinvolge soprattutto medie e grandi imprese nei settori elencati dal D.Lgs. 138/2024, che devono registrarsi sulla piattaforma dell'ACN tra il 1° gennaio e il 28 febbraio di ogni anno. Ci sono però eccezioni legate al tipo di attività, quindi nei casi dubbi è meglio farsi affiancare da un consulente legale che valuti la situazione specifica.

### Basta un software o una certificazione per essere conformi alla NIS2?

No, nessuno strumento da solo rende un'azienda conforme. Servono misure di sicurezza applicate davvero e la possibilità di dimostrarle nel tempo, con policy, verifiche e uno storico di cosa è stato fatto. Un software di verifica aiuta a rendere il processo ripetibile e tracciato, ma il lavoro organizzativo resta in carico all'azienda.

---

Fonte: https://www.spsproject.net/nis2-pmi-cosa-fare/ — SpsProject