NIS2 e PMI nel Lazio: obblighi, scadenze, sanzioni

TL;DR: la Direttiva NIS2 è recepita in Italia dal D.Lgs. 138/2024, in vigore dal 16 ottobre 2024. Coinvolge migliaia di organizzazioni in 18 settori critici, ma per effetto cascata tocca anche tante PMI fornitrici. Le misure tecniche minime vanno implementate entro il 31 ottobre 2026. Le sanzioni arrivano a 10 milioni o 2% del fatturato. Questa guida ti aiuta a capire la tua posizione e a pianificare l'adeguamento.

1. Cos'è la NIS2 in pratica

La Direttiva UE 2022/2555 è la seconda iterazione del framework europeo di cybersecurity per infrastrutture critiche. Sostituisce la NIS1 del 2016 ampliando enormemente l'ambito di applicazione: dai precedenti ~200 soggetti italiani, si passa a oltre 25.000 organizzazioni coinvolte. In Italia il recepimento è il D.Lgs. 138/2024, con autorità competente l'Agenzia per la Cybersicurezza Nazionale (ACN).

Le novità chiave rispetto a NIS1:

• 18 settori critici (era 6): energia, trasporti, banche, mercati finanziari, sanità, acque, infrastrutture digitali, gestione ICT B2B, PA centrale, settore spaziale, servizi postali, gestione rifiuti, alimentare, manifatturiero (medicale/chimico/elettronica), fornitori digitali, ricerca scientifica.
• Misure tecniche minime obbligatorie definite per legge (art. 24).
• Notifica incidenti entro 24 ore dalla scoperta (early warning) all'ACN.
• Effetto cascata sulla supply chain: anche i fornitori non obbligati subiscono richieste.
• Sanzioni significative per i soggetti obbligati che non si adeguano.

2. Chi è coinvolto nel Lazio

2.1 Soggetti essenziali (settori ad altissima criticità)

Sono medio-grandi (250+ dipendenti o >€ 50M fatturato) o operatori critici indipendentemente dalle dimensioni. Esempi nel Lazio: aziende sanitarie regionali, gestori energia ed acqua, banche con sede o filiali in regione, aziende dei trasporti, gestori telco.

2.2 Soggetti importanti (altri settori critici)

Soglie più basse: medie (50+ dipendenti o >€ 10M fatturato) nei restanti settori. Nel Lazio rientrano potenzialmente: cooperative agricole strutturate, aziende di gestione rifiuti, manifatturiero medicale e chimico, fornitori digitali B2B di una certa dimensione.

2.3 Effetto cascata: anche le PMI fornitrici

Questo è il punto che spesso viene sottovalutato. La NIS2 introduce esplicitamente la gestione del rischio cyber della supply chain: i soggetti obbligati devono valutare e gestire i rischi dei loro fornitori IT. Risultato pratico: anche se la tua PMI non è soggetto obbligato diretto, se fornisci servizi a un'azienda obbligata (consulenza, sviluppo, gestione infrastruttura, fornitura componenti critici), riceverai richieste di:

• Questionari di sicurezza periodici;
• Clausole contrattuali su backup, notifica incidenti, audit;
• Possibili audit di seconda parte da parte del cliente.

Adeguarsi prima diventa quindi un vantaggio competitivo concreto: rispondere "sì siamo NIS2 Ready" ai clienti enterprise vs perdere gare.

3. Scadenze che cambiano qualcosa

4. Le 10 aree di misure tecniche obbligatorie (art. 24)

Il decreto elenca le aree di misure di sicurezza che ogni soggetto obbligato deve implementare. Le specifiche operative — controlli puntuali, distinti per soggetti importanti ed essenziali — sono negli allegati della Determinazione ACN n. 164179 del 14 aprile 2025, aggiornata dalla Determinazione n. 379907/2025 (efficace dal 15 gennaio 2026):

1. Policy di gestione del rischio — analisi e gestione documentate.
2. Gestione degli incidenti — procedure di rilevamento, contenimento, comunicazione.
3. Business continuity e backup — regola 3-2-1, test ripristino.
4. Sicurezza supply chain — valutazione rischi fornitori.
5. Sicurezza acquisizione e sviluppo — hardening, secure coding, asset inventory.
6. Efficacia delle misure — pen test, vulnerability assessment, KPI.
7. Formazione e cyber hygiene — almeno annuale, simulazioni phishing.
8. Crittografia — at-rest e in-transit, gestione chiavi.
9. Sicurezza HR — onboarding/offboarding, revoca accessi 24h.
10. Controllo accessi e MFA — multi-fattore per accessi privilegiati.

Vedi la pagina NIS2 Ready per la trattazione completa di ogni area.

5. Sanzioni: chi rischia cosa

L'ACN può comminare sanzioni significative ai soggetti obbligati non conformi:

• Soggetti essenziali: fino a € 10 milioni oppure fino al 2% del fatturato globale annuo (il maggiore).
• Soggetti importanti: fino a € 7 milioni oppure fino all'1,4% del fatturato globale (il maggiore).
• Oltre alle sanzioni economiche: misure correttive obbligatorie, sospensione di servizi, responsabilità personali per dirigenti (esposizione del management).

Le PMI fornitrici (non obbligate dirette) non rischiano sanzioni ACN, ma rischiano un effetto economico spesso peggiore: perdita di clienti enterprise che imporranno clausole NIS2 nei contratti.

6. Cosa fare se non hai ancora iniziato

L'approccio sensato per una PMI viterbese, valido sia per soggetti obbligati che per fornitori:

1. Determina la tua posizione legale. Con un avvocato specializzato capisci se sei soggetto essenziale, importante, o "solo" fornitore. Costo tipico consulenza: € 1.500-4.000.
2. Assessment tecnico di partenza. Capisci a che punto sei rispetto alle 10 misure tecniche. Costo tipico € 1.200-2.500.
3. Piano di adeguamento con priorità per le aree più critiche. Setup completo NIS2 Ready costa € 3.900-7.900 una tantum.
4. Implementazione in 4-8 settimane per PMI tipiche. Più tempo per multi-sede o settori regolati.
5. Mantenimento tecnico continuo. Il canone NIS2 Ready include sessione strategica trimestrale e aggiornamento documentale annuale.

7. NIS2 + GDPR: relazione complessa

NIS2 e GDPR convivono ma non si sovrappongono esattamente:

• GDPR protegge dati personali, NIS2 protegge continuità operativa e sicurezza dei sistemi.
• Un data breach personale → notifica al Garante Privacy entro 72h (GDPR).
• Un incidente cyber → notifica al CSIRT Italia entro 24h early warning (NIS2).
• Spesso lo stesso evento attiva entrambi gli obblighi.
• DPO (GDPR) e responsabile NIS2 sono ruoli distinti: il DPO si occupa di dati personali, il responsabile NIS2 di tutta la sicurezza operativa.

FAQ rapide

La mia ditta individuale è coinvolta?

Dipende dal settore e dal fatturato. Per dittime individuali al di sotto delle soglie nei settori critici: no diretto. Ma se sei consulente IT di soggetti obbligati, sì per effetto cascata.

Posso fare tutto da solo senza fornitori?

Tecnicamente sì, ma per una PMI senza IT interno strutturato è quasi sempre più conveniente farsi affiancare. L'effort di formazione, configurazione e mantenimento è significativo.

Quanto tempo serve per essere "pronto"?

Per una PMI 10-20 endpoint con setup esterno: 4-8 settimane. Per aziende strutturate multi-sede: 3-6 mesi. Più si aspetta, più si rischia di non rispettare la scadenza del 31 ottobre 2026.

Cosa NON include un fornitore tecnico (come noi)?

Consulenza legale sul perimetro, audit certificativo, ruolo di DPO, rappresentanza legale davanti ad ACN. Servono consulenti distinti per questi aspetti. Vedi sezione 8 della pagina NIS2 Ready.

Prossimo passo

Se vuoi capire la tua posizione, il modo più rapido è il nostro quiz NIS2 self-assessment: 10 domande, score immediato, gap analysis. Per parlarne direttamente, prenota una call NIS2 Ready gratuita di 45 minuti.

Fonti istituzionali: Agenzia per la Cybersicurezza Nazionale, D.Lgs. 138/2024 in Gazzetta Ufficiale. Le informazioni in questo articolo sono aggiornate al 10 agosto 2026 e vanno sempre verificate sui canali istituzionali. Questo articolo NON sostituisce consulenza legale specifica per il vostro caso.