NIS2: obblighi cybersecurity PMI 2025

NIS2: perché adesso riguarda anche le PMI

La direttiva europea NIS2 è stata recepita in Italia con il D.Lgs. 138/2024, e ha allargato parecchio il campo. Fino a ieri gli obblighi di cybersecurity toccavano soprattutto le grandi infrastrutture critiche; oggi coinvolgono anche molte piccole e medie imprese di settori ritenuti importanti o essenziali.

Chi ci rientra

L'elenco dei settori è ampio: energia, trasporti, sanità, alimentare, gestione dei rifiuti, manifattura, fornitori di servizi digitali, oltre certe soglie dimensionali. C'è poi un punto che sorprende molti imprenditori: la supply chain. Se lavori come fornitore di un'azienda obbligata, potresti dover adeguare le tue misure di sicurezza per contratto, anche quando la NIS2 non ti coinvolgerebbe in modo diretto.

Cosa chiede la norma

In sostanza serve gestire il rischio cyber in modo strutturato: misure tecniche e organizzative adeguate, un processo per rilevare e notificare gli incidenti, controlli sulla catena di fornitura. La responsabilità, ed è la novità che pesa di più, ricade direttamente sugli organi di gestione dell'azienda.

Cosa si rischia

Per i soggetti essenziali le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato annuo globale. Non è una multa che si scarica sull'ufficio IT: a rispondere è il vertice.

Adeguarsi costa meno con il Voucher MIMIT

Molte delle misure che la NIS2 richiede (firewall, monitoraggio, vulnerability assessment, gestione degli incidenti) rientrano tra le spese finanziabili dal Voucher MIMIT 2026: metà a fondo perduto, fino a 20.000 €. Vale la pena affrontare l'adeguamento sfruttando il contributo invece di rimandarlo. Ho raccolto i dettagli nell'articolo dedicato al voucher.

Il primo passo concreto è una gap analysis: fotografare dove sei rispetto a quanto chiede la norma. Se vuoi, la facciamo insieme partendo da una consulenza gratuita.