// TOM'S HARDWARE ITALIA — MONDO
La vera minaccia della NIS2 per le PMI non è la multa, è restare fuori dagli appalti
La direttiva NIS2 non ha una scadenza unica, e questo è già il primo equivoco da chiarire. Le imprese soggette all'obbligo di notifica degli incidenti di sicurezza devono farlo dal 1° gennaio 2026, con tempistiche precise: 24 ore per la prima segnalazione, 72 ore per l'aggiornamento, un mese per la relazione finale. La categorizzazione di attività e servizi essenziali ha una scadenza al 30 giugno 2026, già passata, e le misure minime di sicurezza legate alla determinazione ACN diventano obbligatorie da ottobre 2026.
Chi legge oggi una notizia sulla NIS2 rischia di confondere scadenze già superate con obblighi ancora da adempiere. È una distinzione che conta, perché cambia la domanda giusta da porsi: quali scadenze riguardano ancora l'azienda, e quali sono già state mancate senza che nessuno se ne accorgesse. Chi vuole fare il punto sull'intera normativa trova qui una guida completa agli obblighi della direttiva.
Verificare la propria posizione richiede tre passaggi distinti: capire se si è già stati categorizzati come soggetto essenziale o importante, controllare se l'obbligo di notifica incidenti si applica dal 1° gennaio, e prepararsi alle misure minime di sicurezza in arrivo con la determinazione ACN. Chi ha mancato la scadenza di giugno commette spesso un errore di prospettiva: pensare che gli obblighi successivi si azzerino, quando in realtà si sommano a quelli già scaduti.
La finestra di 24 ore per la prima notifica lascia margini di manovra minimi a chi non ha già una procedura di incident response collaudata. Individuare l'evento, classificarlo come significativo e notificarlo entro un giorno richiede un presidio continuo che molte PMI, anche quelle coinvolte solo come fornitrici indirette, non hanno mai dovuto costruire prima d'ora. Chi vuole sapere chi protegge davvero le PMI dal cybercrime trova, nel frattempo, spunti utili anche fuori dal perimetro NIS2.
Il decreto legislativo che nel 2024 ha recepito la direttiva in Italia fissa sanzioni severe sulla carta: fino a 10 milioni di euro o il 2% del fatturato globale per i soggetti essenziali, 7 milioni di euro o l'1,4% per i soggetti importanti, tra 25mila e 125mila euro per la pubblica amministrazione. Numeri che fanno notizia, ma che riguardano un perimetro ristretto di aziende, quelle classificate come soggetti essenziali o importanti secondo i criteri della direttiva.
La maggior parte delle piccole e medie imprese non rientra in questo perimetro diretto. È un dato che porta con sé un rischio opposto: la falsa sicurezza di chi legge "non sono un soggetto NIS2" e si convince che la direttiva non lo riguardi in alcun modo.
Il divario tra le tre fasce di sanzione racconta una gerarchia di responsabilità precisa: infrastrutture critiche private prima, pubblica amministrazione poi, con importi molto più contenuti. Per una PMI la lettura più utile riguarda la probabilità concreta di una sanzione diretta, quasi nulla per chi resta fuori dal perimetro dei soggetti essenziali o importanti.
Il meccanismo a percentuale sul fatturato spiega la logica del legislatore: rendere la sanzione proporzionata alla dimensione dell'infrazione, così che una multinazionale e una media impresa classificata come soggetto essenziale rischino cifre assolute molto diverse ma lo stesso peso relativo sul bilancio. Per la pubblica amministrazione la logica cambia, e gli importi fissi restano su una scala di gran lunga più bassa.
Per una PMI il rischio reale è quasi sempre l'esclusione dalla filiera di fornitura, non la sanzione diretta. Le aziende classificate come soggetti essenziali o importanti hanno obblighi di due diligence sui propri fornitori, e la strada più semplice per rispettarli è imporre requisiti di sicurezza a cascata su tutta la catena di fornitura, a prescindere dalle dimensioni del fornitore stesso.
La determinazione ACN 164179/2025, che fissa le misure minime di sicurezza in vigore da ottobre, diventa in pratica il riferimento operativo a cui i soggetti essenziali si ri