NIS2 per le PMI: cosa cambia anche se non sei un soggetto obbligato

Se guidi una piccola o media impresa, è probabile che tu abbia sentito nominare la NIS2 e abbia pensato: "non riguarda me, riguarda le grandi aziende". Formalmente potresti avere ragione. In pratica, la NIS2 sta già arrivando anche da te — non sotto forma di ispezione, ma sotto forma di email di un cliente importante che ti chiede di compilare un questionario sulla sicurezza informatica della tua azienda.

Cos'è la NIS2, in due parole

La NIS2 è la direttiva europea sulla sicurezza informatica, recepita in Italia con il D.Lgs. 138/2024. Impone obblighi di sicurezza a organizzazioni pubbliche e private di 18 settori, classificate come "soggetti essenziali" o "soggetti importanti", sotto la supervisione dell'Agenzia per la Cybersicurezza Nazionale (ACN). Il calendario è già in corsa: dal 15 gennaio 2026 è pienamente operativo l'obbligo di notificare gli incidenti significativi, ed entro il 31 ottobre 2026 i soggetti obbligati devono avere implementato le misure di sicurezza di base.

Perché ti riguarda anche se non sei nel perimetro

Il punto che molte PMI sottovalutano è questo: la NIS2 obbliga i soggetti nel perimetro a valutare e monitorare la sicurezza della propria catena di fornitura. Dal 2026, ogni anno tra il 15 aprile e il 31 maggio, devono persino comunicare all'ACN l'elenco dei propri "fornitori rilevanti": chi fornisce servizi IT, infrastrutture digitali o qualunque attività la cui interruzione comprometterebbe i loro servizi.

Tradotto: se la tua azienda fornisce servizi a un soggetto obbligato — che sia software, manutenzione, logistica o consulenza — la tua sicurezza informatica è diventata parte della sua conformità. E quindi, prima o poi, arriveranno richieste come queste:

• Questionari di sicurezza da compilare per restare in albo fornitori.
• Clausole contrattuali che ti impegnano a notificare incidenti e a mantenere misure minime.
• Evidenze di formazione del personale sulla sicurezza, da allegare in fase di audit.
• Requisiti tecnici minimi come autenticazione a più fattori e backup verificati.

Per uno studio professionale o un'azienda di servizi, rispondere "non ce ne siamo mai occupati" a una di queste richieste può significare perdere il cliente. Non per una sanzione, ma per una scelta commerciale del cliente stesso.

Cosa ti chiederanno, in pratica

I questionari che i soggetti obbligati stanno inviando ai fornitori ruotano quasi sempre attorno agli stessi punti. Sono i "requisiti minimi" che conviene sistemare prima che te li chiedano:

• Autenticazione a più fattori sugli account aziendali critici (email, gestionale, banca).
• Backup regolari, conservati separatamente e provati almeno una volta.
• Aggiornamenti di sistemi e software applicati con regolarità.
• Una procedura scritta, anche di una pagina, su cosa fare in caso di incidente.
• Formazione periodica del personale su phishing e gestione dei dati.

Da dove iniziare senza stravolgere l'azienda

Non serve un progetto di sei mesi. Serve un percorso ordinato:

1. Fotografa la situazione: quali sistemi usi, chi ha accesso a cosa, dove sono i dati dei clienti.

2. Sistema le basi tecniche: autenticazione a più fattori, backup, aggiornamenti. Sono interventi rapidi e a basso costo.

3. Metti per iscritto due o tre procedure essenziali: gestione di un incidente, gestione degli accessi, uso degli strumenti aziendali.

4. Forma le persone: è il passaggio che i questionari chiedono sempre, ed è quello che riduce di più il rischio reale.

Sulla formazione, peraltro, la NIS2 è esplicita: l'articolo 23 del decreto chiede agli organi di amministrazione dei soggetti obbligati di seguire loro stessi una formazione specifica e di promuoverla periodicamente ai dipendenti. È un segnale chiaro di dove sta andando l'asticella, anche per chi obbligato non è.

Il punto vero: farsi trovare pronti

Diffida di chi ti promette la "conformità NIS2 garantita" in un pacchetto: per una PMI fuori perimetro l'obiettivo non è un bollino, è ridurre il rischio e saper rispondere con serenità quando un cliente ti chiede come proteggi i suoi dati. Sono due cose che si costruiscono con interventi tecnici mirati e con un team formato.

Se vuoi partire dalle persone, abbiamo pensato un percorso di formazione su cybersecurity e AI per PMI proprio per questo scenario: linguaggio semplice, casi reali, niente gergo tecnico. Non è consulenza legale — è il modo più rapido di alzare il livello di guardia della tua azienda.