Entro ottobre 2026 migliaia di aziende italiane dovranno adeguarsi a nuove regole europee di cybersecurity. Non parliamo solo di multinazionali: se la tua azienda lavora con la Pubblica Amministrazione o in settori considerati “strategici”, la direttiva NIS2 potrebbe riguardare anche te.
Facciamo un passo indietro. NIS2 è una direttiva europea che obbliga le aziende di certi settori (energia, trasporti, sanità, digitale, ma anche molte filiere che lavorano con la PA) a proteggersi meglio dagli attacchi informatici. In Italia è già legge dal 2024, e il 2026 è l’anno in cui gli obblighi diventano concreti, con scadenze precise da rispettare.
La prima scadenza è già passata: entro il 30 giugno 2026, le aziende coinvolte dovevano comunicare all’Agenzia per la Cybersicurezza Nazionale (ACN) quali attività svolgono, per essere classificate correttamente. Chi non l’ha fatto rischia già di essere fuori tempo massimo.
La prossima scadenza importante è ottobre 2026: entro quella data le aziende in perimetro dovranno aver messo in campo le misure di sicurezza di base richieste dalla normativa. Non si tratta di un adempimento burocratico fine a se stesso: significa avere un piano per gestire il rischio informatico, saper reagire in caso di incidente, notificarlo in tempi rapidi al CSIRT Italia, e garantire che anche i propri fornitori (la cosiddetta “supply chain”) rispettino standard minimi di sicurezza.
Perché dovrebbe interessarti anche se la tua azienda non è tra i “soggetti essenziali”? Perché la NIS2 non colpisce solo i grandi nomi: se sei fornitore, partner o subappaltatore di un’azienda soggetta alla direttiva, prima o poi ti verrà chiesto di dimostrare che anche i tuoi sistemi sono sicuri. È già capitato con altre normative: chi si adegua prima, lavora meglio dopo.
E le sanzioni non sono uno scherzo: si parla di multe fino a 10 milioni di euro o il 2% del fatturato globale per i soggetti “essenziali”, e fino a 7 milioni o l’1,4% del fatturato per i soggetti “importanti”. Cifre pensate per aziende grandi, ma che danno il segnale di quanto l’Europa faccia sul serio.
Cosa puoi fare concretamente, oggi, se hai una PMI?
Primo: verifica se la tua azienda rientra nei settori coinvolti dalla NIS2, anche indirettamente come fornitore.
Secondo: fai un controllo onesto di dove sei messo con backup, antivirus aggiornati, gestione delle password e formazione del personale — sono le basi da cui si parte sempre.
Terzo: non aspettare la scadenza per correre ai ripari. Un piano di sicurezza informatica costruito con calma costa meno, in tempo e in denaro, di una corsa contro il tempo a ottobre.
La cybersecurity, ormai, non è più un tema “per addetti ai lavori”. È diventata una condizione per continuare a lavorare con i propri clienti e partner. Meglio arrivarci preparati.