NIS2 e PMI: obblighi, adeguati assetti e fornitori rilevanti

La NIS2 non impone gli stessi obblighi a tutte le PMI. In Italia il perimetro dipende innanzitutto dal settore, dalle dimensioni dell’impresa e dal ruolo che essa svolge. Una media impresa attiva in uno dei settori individuati dal decreto può essere direttamente soggetta; una piccola o microimpresa, di regola, resta fuori, salvo specifiche eccezioni o un provvedimento di individuazione.

Essere fuori dal perimetro diretto non significa, tuttavia, restare estranei alla disciplina. Una PMI che fornisce servizi informatici, cloud, sicurezza gestita o una prestazione difficilmente sostituibile a un soggetto NIS può essere sottoposta a verifiche, clausole di sicurezza, obblighi informativi e procedure di gestione degli incidenti. In casi qualificati può anche essere individuata dall’Autorità come elemento sistemico della catena di approvvigionamento.

La questione, quindi, non riguarda soltanto firewall e procedure informatiche. Il decreto legislativo 4 settembre 2024, n. 138, che ha recepito la direttiva NIS2 ed è in vigore dal 16 ottobre 2024, attribuisce compiti espressi agli organi di amministrazione e direttivi. La gestione del rischio cyber entra così nella governance, nei flussi informativi e, quando è rilevante per la continuità dell’impresa, anche nella valutazione dell’adeguatezza degli assetti organizzativi.

La NIS2 si applica a tutte le PMI?

No. La parola “PMI” comprende micro, piccole e medie imprese, ma il decreto NIS non le tratta tutte allo stesso modo.

L’articolo 3 del D.Lgs. n. 138/2024 stabilisce, come criterio generale, che il decreto si applica ai soggetti appartenenti alle tipologie degli allegati I e II che superano i massimali previsti per le piccole imprese. In termini pratici, la regola ordinaria comprende quindi le medie e le grandi imprese operanti nei settori considerati altamente critici o critici.

Secondo la Raccomandazione 2003/361/CE, una piccola impresa occupa meno di 50 persone e presenta un fatturato annuo o un totale di bilancio non superiore a 10 milioni di euro. Una media impresa occupa meno di 250 persone e presenta un fatturato non superiore a 50 milioni oppure un totale di bilancio non superiore a 43 milioni. Nel calcolo possono assumere rilievo anche imprese associate e collegate: non è sempre sufficiente osservare il solo bilancio della singola società.

I settori interessati sono numerosi. Tra gli altri: energia, trasporti, banche e infrastrutture dei mercati finanziari, sanità, acqua, infrastrutture digitali, servizi ICT gestiti, pubblica amministrazione, spazio, servizi postali, gestione dei rifiuti, chimica, alimentare, manifattura di prodotti individuati, fornitori digitali e ricerca.

Per il settore finanziario occorre però distinguere. Ai soggetti identificati come essenziali o importanti nei settori bancario e delle infrastrutture dei mercati finanziari si applica il Regolamento (UE) 2022/2554, noto come DORA, quale disciplina speciale per la gestione del rischio ICT e la segnalazione degli incidenti. L’articolo 3, commi 14 e 15, del decreto NIS delimita quindi l’applicazione degli obblighi NIS2 a queste entità. La registrazione e gli adempimenti informativi sul Portale ACN devono essere valutati separatamente, tenendo conto anche delle specifiche esenzioni stabilite dalle determinazioni dell’Agenzia.

Quando la dimensione dell’impresa non basta a escludere l’applicazione

Il criterio dimensionale conosce eccezioni importanti. Il decreto si applica indipendentemente dalle dimensioni, tra l’altro, a taluni soggetti critici, ai fornitori di reti o servizi pubblici di comunicazione elettronica, ai prestatori di servizi fiduciari, ai gestori di registri dei nomi di dominio di primo livello e ai fornitori di servizi DNS.

ACN può inoltre individuare, secondo le procedure previste dal decreto, soggetti che assumono una particolare rilevanza nazionale o regionale, che sono gli unici fornitori nazionali di un servizio essenziale o la cui interruzione potrebbe produrre conseguenze significative o sistemiche. Fra questi rientra anche il soggetto considerato critico quale elemento sistemico della catena di approvvigionamento, anche digitale, di uno o più soggetti essenziali o importanti.

Un’ulteriore ipotesi riguarda l’impresa collegata a un soggetto NIS quando, per esempio, decide o influenza le misure di gestione del rischio informatico, gestisce sistemi dai quali dipendono i servizi del soggetto oppure gli fornisce servizi ICT o di sicurezza gestiti. Di conseguenza, la verifica del perimetro deve considerare non soltanto codice ATECO e numero dei dipendenti, ma attività effettive, struttura del gruppo, dipendenze operative e servizi prestati.

Prima della comunicazione ACN: la registrazione entro il 28 febbraio

Per la maggior parte delle imprese che rientrano nei criteri ordinari, il procedimento non inizia con una comunicazione dell’Autorità. L’impresa deve prima valutare autonomamente la propria posizione e, se ricorrono i presupposti, registrarsi o aggiornare la registrazione sul Portale ACN.

L’articolo 7 del D.Lgs. n. 138/2024 prevede una finestra annuale dal 1° gennaio al 28 febbraio. Entro il 31 marzo ACN forma l’elenco dei soggetti essenziali e importanti sulla base delle registrazioni e delle decisioni di individuazione; successivamente comunica l’inserimento, la permanenza o l’espunzione dall’elenco.

Il meccanismo è diverso per i soggetti che devono essere specificamente individuati dall’Autorità ai sensi dell’articolo 3, commi 8 e 9: in questi casi ACN notifica l’individuazione ai fini della registrazione. La distinzione è rilevante perché, al di fuori di tali ipotesi, l’assenza di una comunicazione non esonera l’impresa dalla verifica del proprio perimetro. La mancata registrazione, la comunicazione incompleta e l’omesso aggiornamento costituiscono violazioni autonomamente sanzionabili.

Una PMI fornitrice può essere coinvolta anche se non è un soggetto NIS

Sì. Occorre però distinguere due situazioni.

Nella prima, la PMI viene formalmente individuata come soggetto essenziale o importante perché soddisfa uno dei criteri previsti dall’articolo 3. In questo caso entra direttamente nel perimetro legale e riceve la relativa comunicazione.

Nella seconda, molto più frequente, la PMI resta fuori dal perimetro diretto ma fornisce prodotti o servizi a un soggetto NIS. L’articolo 24 del decreto NIS impone ai soggetti obbligati di presidiare la sicurezza della catena di approvvigionamento e di valutare le vulnerabilità specifiche e le pratiche di sicurezza dei fornitori diretti.

Il soggetto NIS può quindi tradurre il proprio obbligo in richieste contrattuali rivolte al fornitore:

• questionari e verifiche preliminari sul livello di sicurezza;
• obblighi di comunicare tempestivamente incidenti e vulnerabilità;
• requisiti minimi per accessi, backup, continuità operativa e gestione dei dati;
• diritti di audit, richiesta di evidenze e piani di rimedio;
• regole per il ricorso a subfornitori;
• discipline sulla restituzione o cancellazione dei dati alla cessazione del rapporto;
• clausole di sospensione o risoluzione in caso di violazioni rilevanti.

Questi obblighi non trasformano automaticamente il fornitore in un soggetto NIS. Possono però diventare condizioni concrete per entrare o restare nella filiera di clienti regolati. Allo stesso tempo, il soggetto NIS non trasferisce al fornitore la propria responsabilità verso l’Autorità: le clausole distribuiscono prestazioni, rimedi e rischio economico tra le parti, ma gli obblighi pubblicistici dell’articolo 24 restano in capo al loro destinatario.

Il “registro dei fornitori”: che cosa richiede davvero ACN

La disciplina non introduce un generico registro obbligatorio per tutte le imprese. La denominazione corretta è elenco dei fornitori rilevanti NIS. L’obbligo specifico è disciplinato dalla Determinazione ACN n. 127437/2026, adottata sulla base dell’articolo 7, comma 6, del decreto NIS e finalizzata anche a individuare eventuali elementi sistemici della catena di approvvigionamento ai sensi dell’articolo 3, comma 9, lettera f).

La Determinazione ACN n. 127437 del 13 aprile 2026 considera rilevante il fornitore che assicura prodotti o servizi a un soggetto NIS e soddisfa almeno uno di questi criteri:

1. fornitura ICT: la prestazione è riconducibile alle infrastrutture digitali o alla gestione di servizi ICT business-to-business indicate nei punti 8 e 9 dell’allegato I del decreto;
2. fornitura non fungibile: la sua interruzione o compromissione avrebbe un impatto significativo sulla capacità del soggetto NIS di erogare i propri servizi, anche perché non sono disponibili fornitori alternativi.

Per ciascun fornitore rilevante devono essere indicati denominazione, codice fiscale, Paese della sede legale, codici CPV relativi alle forniture utilizzate e criterio di rilevanza applicato. L’aggiornamento annuale si svolge dal 15 aprile al 31 maggio. La finestra prevista per il 2026 si è quindi conclusa il 31 maggio 2026. Le variazioni successive devono essere comunicate tramite il processo di aggiornamento continuo tempestivamente e, in ogni caso, entro quattordici giorni dalla modifica.

Le entità finanziarie soggette anche a DORA non sono, per questo solo motivo, esentate dall’elenco dei fornitori rilevanti. La Determinazione n. 127437/2026 prevede per loro specifiche esenzioni relative all’elenco dei componenti degli organi amministrativi e alla categorizzazione delle attività e dei servizi, non all’adempimento disciplinato dall’articolo 18 sui fornitori.

Non è un adempimento puramente anagrafico. Per stabilire se una fornitura sia non fungibile occorre comprendere da quali servizi dipende realmente l’attività, quanto tempo richiederebbe la sostituzione del fornitore, quali dati e sistemi siano coinvolti e quale impatto avrebbe un’interruzione. L’elenco esterno da comunicare ad ACN presuppone quindi una mappa interna più ampia dei rapporti e delle dipendenze operative.

La cybersicurezza entra nella responsabilità degli amministratori

Per i soggetti essenziali e importanti, la competenza dell’organo amministrativo non è implicita: è prevista espressamente dall’articolo 23 del D.Lgs. n. 138/2024.

Gli organi di amministrazione e direttivi devono:

• approvare le modalità di implementazione delle misure di gestione del rischio informatico;
• sovrintendere all’attuazione degli obblighi del decreto;
• seguire una formazione in materia di sicurezza informatica;
• promuovere una formazione periodica dei dipendenti;
• ricevere informazioni periodiche e, quando opportuno, tempestive sugli incidenti e sulle notifiche.

Lo stesso articolo 23 stabilisce espressamente che gli organi di amministrazione e direttivi sono responsabili delle violazioni del decreto. La disposizione rafforza la necessità di un governo effettivo del rischio, ma non introduce una responsabilità automatica per ogni attacco o disservizio: occorre comunque valutare obblighi applicabili, condotta, proporzionalità delle misure e disciplina sanzionatoria o civilistica pertinente.

La delega al responsabile IT, al CISO o a un consulente esterno non elimina questi compiti. Il vertice non è tenuto a sostituirsi ai tecnici, ma deve comprendere il livello di rischio, approvare priorità e risorse, ricevere flussi informativi adeguati e verificare che le misure siano effettivamente attuate.

Una delibera generica non è sufficiente se non è accompagnata da un’istruttoria riconoscibile: perimetro dei servizi, asset essenziali, principali dipendenze, risultati della valutazione dei rischi, piano di adeguamento, responsabilità interne, scadenze e modalità di verifica. È la tracciabilità del processo decisionale, non la sola formula del verbale, a consentire di dimostrare una vigilanza effettiva.

NIS2 e adeguati assetti: il collegamento corretto

La NIS2 non modifica automaticamente l’articolo 2086 del codice civile e non impone a ogni società italiana il medesimo sistema di cybersecurity. Il collegamento con gli adeguati assetti è più concreto e meno meccanico.

L’articolo 2086, secondo comma, del codice civile richiede all’imprenditore che opera in forma societaria o collettiva di istituire un assetto organizzativo, amministrativo e contabile adeguato alla natura e alle dimensioni dell’impresa, anche per rilevare tempestivamente la crisi e la perdita della continuità aziendale.

Dal 29 aprile 2026 il quadro societario è stato ulteriormente precisato dal D.Lgs. 27 marzo 2026, n. 47. Il nuovo articolo 2380-bis c.c. attribuisce agli amministratori la gestione e l’organizzazione dell’impresa, compresa l’istituzione degli assetti; l’articolo 2381-bis assegna agli organi delegati la cura degli assetti e al consiglio la valutazione della loro adeguatezza sulla base delle informazioni ricevute; l’articolo 2381-ter ribadisce il dovere degli amministratori di agire in modo informato.

L’articolo 3 del Codice della crisi d’impresa specifica inoltre che gli assetti devono consentire di rilevare squilibri, verificare la sostenibilità dei debiti e valutare le prospettive di continuità aziendale almeno per i dodici mesi successivi. La norma non qualifica direttamente il rischio cyber, ma diventa rilevante quando un incidente può incidere su quelle grandezze e sulla capacità dell’impresa di continuare a operare.

Quando un incidente informatico può bloccare la produzione, rendere indisponibili dati essenziali, interrompere incassi e pagamenti, compromettere rapporti contrattuali o provocare perdite significative, il rischio cyber diventa un rischio d’impresa. In tali situazioni, la sua mappatura e gestione possono concorrere alla valutazione dell’adeguatezza degli assetti e dei flussi informativi destinati agli amministratori.

Per le società soggette alla NIS2 il legame è particolarmente evidente, perché gli articoli 23 e 24 prescrivono doveri di approvazione, vigilanza e gestione del rischio. Per le imprese esterne al perimetro, invece, occorre una valutazione proporzionata: attività svolta, dipendenza dai sistemi informativi, dati trattati, ruolo nella filiera, esposizione finanziaria e possibilità di continuare a operare dopo un incidente.

Non esiste quindi una checklist identica per tutti. Esiste il dovere di costruire un’organizzazione coerente con i rischi reali dell’impresa.

Quali misure devono essere organizzate

L’articolo 24 adotta un approccio multi-rischio e richiede misure tecniche, operative e organizzative adeguate e proporzionate. Il contenuto minimo comprende analisi dei rischi, gestione degli incidenti, continuità operativa, backup e ripristino, sicurezza della catena di fornitura, sicurezza nell’acquisizione e manutenzione dei sistemi, verifica dell’efficacia delle misure, formazione, crittografia, controllo degli accessi, gestione degli asset e autenticazione a più fattori ove opportuna.

Sul piano organizzativo, un percorso coerente dovrebbe produrre almeno:

1. una verifica documentata del perimetro NIS, che consideri settore, dimensioni, gruppo, attività effettive ed eventuali comunicazioni ACN;
2. una mappa di servizi, sistemi, dati e dipendenze, collegata alle attività aziendali rilevanti;
3. ruoli e deleghe chiari, con punto di contatto, referente CSIRT quando richiesto, responsabilità operative e flussi verso il consiglio di amministrazione;
4. un processo di gestione degli incidenti, con criteri di escalation, reperibilità, conservazione delle evidenze e coordinamento tra funzioni tecniche, legali e comunicazione;
5. un inventario dei fornitori, distinto dall’elenco da trasmettere ad ACN e capace di rappresentare servizi, subfornitori, accessi, dati, alternative e tempi di sostituzione;
6. contratti coerenti con il rischio, che disciplinino livelli di servizio, sicurezza, incidenti, audit, subfornitura, continuità e cessazione;
7. piani di continuità e ripristino realmente testati, non limitati all’esistenza formale di copie di backup;
8. formazione e verifiche periodiche, con evidenza delle attività svolte e dei rimedi adottati.

La componente legale non sostituisce l’analisi tecnica. Serve a qualificare il perimetro, distribuire responsabilità, costruire flussi decisionali e tradurre i rischi nei rapporti societari e contrattuali.

Notifica degli incidenti: 24 ore, 72 ore e relazione finale

L’articolo 25 del decreto NIS disciplina gli incidenti con impatto significativo sulla fornitura dei servizi. Il soggetto deve trasmettere al CSIRT Italia:

• una pre-notifica entro 24 ore da quando è venuto a conoscenza dell’incidente significativo;
• una notifica entro 72 ore, con una prima valutazione di gravità e impatto;
• su richiesta, una relazione intermedia;
• una relazione finale entro un mese dalla notifica, salvo la disciplina prevista per gli incidenti ancora in corso.

Il termine breve rende indispensabile preparare in anticipo criteri, responsabilità e canali. La fase critica non è soltanto l’invio al portale: prima occorre riconoscere l’incidente, comprendere se supera la soglia di significatività, raccogliere le informazioni disponibili e coordinare gli altri eventuali obblighi.

Il rapporto con l’Autorità non esaurisce gli adempimenti. Sentito il CSIRT Italia, se ritenuto opportuno e quando possibile, il soggetto comunica senza ingiustificato ritardo ai destinatari dei propri servizi gli incidenti significativi che possono ripercuotersi negativamente sulla fornitura. In presenza di una minaccia informatica significativa può inoltre indicare ai destinatari potenzialmente interessati le misure correttive o di mitigazione che possono adottare.

La notifica NIS non sostituisce automaticamente quella prevista dal GDPR per le violazioni di dati personali. I presupposti, i destinatari e le finalità sono differenti; uno stesso evento può attivare entrambi i regimi oppure soltanto uno dei due.

Per le entità finanziarie alle quali si applica DORA, la gestione e la segnalazione degli incidenti ICT seguono invece la disciplina speciale del regolamento europeo: la sequenza NIS descritta in questa sezione non deve essere trasferita automaticamente al settore finanziario.

Le scadenze operative dipendono dall’anno di inserimento

Per i soggetti inseriti per la prima volta nell’elenco NIS nel 2026, la Determinazione ACN n. 127434/2026 prevede la designazione del referente CSIRT entro il 31 dicembre 2026, la decorrenza dell’obbligo di notifica dal 1° gennaio 2027 e l’adozione delle misure di sicurezza di base entro il 31 luglio 2027.

Per i soggetti già inseriti nel 2025 restano applicabili i termini previsti dalla Determinazione ACN n. 379907/2025, calcolati dalla ricezione della comunicazione di inserimento: nove mesi per la notifica degli incidenti significativi di base e diciotto mesi per le misure di sicurezza. Non esiste, quindi, un’unica data valida per tutte le organizzazioni.

Le sanzioni e gli altri profili di responsabilità

L’articolo 38 del D.Lgs. n. 138/2024 prevede, per le violazioni degli obblighi di governance, gestione del rischio e notifica:

• per i soggetti essenziali privati, sanzioni fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, se superiore;
• per i soggetti importanti privati, sanzioni fino a 7 milioni di euro o all’1,4% del fatturato mondiale annuo, se superiore.

Sono previste sanzioni distinte per la mancata registrazione, comunicazione o aggiornamento delle informazioni. In caso di inottemperanza alle diffide dell’Autorità, l’articolo 38, comma 6, consente inoltre di applicare alle persone fisiche indicate dalla norma — anche presso soggetti essenziali o importanti — l’incapacità temporanea a svolgere funzioni dirigenziali all’interno del medesimo soggetto, fino alla rimozione delle carenze. La diversa misura della sospensione temporanea di certificati o autorizzazioni, prevista dal comma 4, riguarda invece i soggetti essenziali.

La sanzione amministrativa non esaurisce il rischio. Un incidente può generare responsabilità contrattuali verso clienti, danni a terzi, obblighi in materia di dati personali e contestazioni societarie sulla condotta degli amministratori. Queste ultime devono essere valutate secondo la forma societaria e la posizione del soggetto che agisce: per le società per azioni assumono rilievo, tra gli altri, gli articoli 2392, 2394 e 2395 c.c.; per le società a responsabilità limitata, l’articolo 2476 c.c.

Non ogni incidente dimostra una responsabilità. Occorre accertare quali misure fossero concretamente esigibili, se fossero proporzionate al rischio e alle dimensioni dell’impresa, quale condotta sia stata tenuta e se esista un nesso causale con il danno lamentato.

Una verifica iniziale in dieci domande

1. L’impresa opera in una delle tipologie comprese negli allegati del decreto NIS?
2. Le dimensioni sono state calcolate considerando anche imprese associate e collegate?
3. L’impresa ha verificato l’obbligo di registrazione e, quando applicabile, si è registrata senza attendere una comunicazione di ACN?
4. L’impresa gestisce sistemi o servizi dai quali dipende un soggetto essenziale o importante?
5. Quali attività aziendali si fermerebbero dopo un incidente informatico significativo?
6. Il consiglio di amministrazione riceve informazioni periodiche comprensibili sul rischio cyber?
7. Esiste un processo per riconoscere, classificare e notificare gli incidenti entro i termini?
8. Sono stati identificati i fornitori ICT e quelli difficilmente sostituibili?
9. I contratti con fornitori e clienti distribuiscono chiaramente responsabilità, flussi informativi e diritti di verifica?
10. Backup, continuità operativa e ripristino sono stati testati e documentati?

Le risposte consentono di distinguere tre problemi diversi: appartenenza al perimetro legale, adeguamento del soggetto NIS e gestione contrattuale della filiera. Confonderli conduce facilmente a conclusioni opposte, entrambe errate: ritenere che ogni PMI sia direttamente obbligata oppure considerare irrilevante la NIS2 solo perché l’impresa non ha ricevuto una comunicazione da ACN.

Governare il rischio prima dell’incidente

Il primo passo non è acquistare una soluzione tecnica, ma qualificare correttamente l’impresa e le sue dipendenze. Se ricorrono i presupposti, la registrazione non può essere rinviata in attesa di una comunicazione dell’Autorità. Solo dopo questa verifica è possibile definire misure proporzionate, responsabilità, contratti e flussi informativi.

Per i soggetti NIS la cybersicurezza è ormai un compito espresso degli organi di amministrazione. Per le altre imprese può comunque diventare parte dell’adeguatezza organizzativa e della capacità di rimanere in filiere regolate. Il punto comune è trasformare il rischio informatico da tema esclusivamente tecnico a processo di governo dell’impresa, verificabile e documentato.

Questa impostazione collega la disciplina NIS2 alla governance societaria, alla responsabilità degli amministratori e degli organi sociali e alla gestione dei contratti d’impresa. Nei casi in cui un’interruzione possa incidere sulla continuità, assume rilievo anche il presidio della crisi d’impresa e delle ristrutturazioni.

Fonti normative e istituzionali

• Direttiva (UE) 2022/2555 del Parlamento europeo e del Consiglio, del 14 dicembre 2022.
• Decreto legislativo 4 settembre 2024, n. 138, in particolare articoli 3, 7, 23, 24, 25 e 38.
• Regolamento (UE) 2022/2554 (DORA) sulla resilienza operativa digitale del settore finanziario.
• Raccomandazione 2003/361/CE sulla definizione delle micro, piccole e medie imprese.
• Determinazione ACN n. 127437 del 13 aprile 2026, piattaforma digitale ed elencazione dei fornitori rilevanti NIS.
• Determinazione ACN n. 127434 del 13 aprile 2026, termini per i soggetti inseriti nell’elenco NIS nel 2026.
• Determinazione ACN n. 379907 del 19 dicembre 2025, specifiche di base per misure di sicurezza e notifiche.
• Decreto legislativo 27 marzo 2026, n. 47, con le modifiche alla governance delle società di capitali in vigore dal 29 aprile 2026.
• Codice civile, in particolare articoli 2086, 2380-bis, 2381-bis, 2381-ter, 2392, 2394, 2395 e 2476.
• Codice della crisi d’impresa e dell’insolvenza, articolo 3.