Caricamento...
Caricamento...
Nel 2026 la Direttiva NIS2 riguarda oltre 100.000 aziende italiane, comprese le PMI nella supply chain di soggetti critici. Le sanzioni arrivano a €10 milioni e i dirigenti rispondono personalmente. Questa guida ti spiega cosa fare, quanto costa e come partire senza perdere tempo.
In breve — NIS2 Obblighi PMI in 60 secondi
Nel 2026 la Direttiva NIS2 (D.Lgs. 138/2024) obbliga le aziende con 50+ dipendenti o €10M+ di fatturato in 18 settori critici ad implementare 10 misure di sicurezza: MFA, EDR, backup immutabile, vulnerability assessment, incident response con notifica ACN in 24h. Le sanzioni arrivano a €10 milioni. BullTech offre gap assessment NIS2 da €800 e compliance completa da €350/mese.
La Direttiva NIS2, recepita in Italia con il Decreto Legislativo 138/2024 ed entrata in vigore il 16 ottobre 2024, rappresenta il più importante aggiornamento normativo europeo in materia di cybersecurity degli ultimi dieci anni. Riguarda direttamente le PMI italiane che operano in 18 settori critici — dall'energia alla sanità, dalla manifattura ai servizi digitali — con almeno 50 dipendenti o un fatturato superiore a 10 milioni di euro. La novità dirompente è l'estensione alla supply chain: anche aziende sotto-soglia sono coinvolte se forniscono servizi a soggetti NIS2. Le 10 misure obbligatorie spaziano dalla governance (politiche di sicurezza, registro dei rischi) alle misure tecniche (MFA, EDR, backup immutabile, segmentazione di rete) fino alla formazione del personale. Le sanzioni non sono simboliche: fino a €10 milioni o il 2% del fatturato globale per i soggetti essenziali, con responsabilità personale dei dirigenti. BullTech Informatica accompagna le PMI lombarde nel percorso di adeguamento con un gap assessment da €800 e piani di compliance continuativa da €350 al mese.
La NIS2 divide le organizzazioni in due categorie: soggetti essenziali (sanzioni più alte, obblighi più stringenti) e soggetti importanti. Ecco come capire se la tua PMI rientra.
| Criterio | Soggetti essenziali | Soggetti importanti |
|---|---|---|
| Dipendenti | ≥250 | ≥50 |
| Fatturato annuo | ≥€50M | ≥€10M |
| Settori | 11 settori ad alta criticità | 7 settori critici aggiuntivi |
| Sanzione massima | €10M o 2% fatturato | €7M o 1,4% fatturato |
| Responsabilità dirigenti | Sì — sospensione possibile | Sì — sospensione possibile |
11 Settori ad alta criticità
7 Settori critici aggiuntivi
Ecco il punto che molte PMI sottovalutano: se sei fornitore IT, fornitore di servizi digitali o subappaltatore di un soggetto NIS2, il tuo cliente è obbligato a verificare la tua sicurezza informatica. Non importa se hai 15 dipendenti e fatturi €2 milioni. Se il tuo cliente è un ospedale, una banca o una utility, ti chiederà la documentazione NIS2. Chi non ce l'ha rischia di perdere il contratto. Noi di BullTech vediamo già questo scenario in Lombardia: aziende manifatturiere da 30 dipendenti che ricevono questionari di sicurezza dai loro clienti enterprise.
La Direttiva NIS2 definisce 10 aree di sicurezza obbligatorie. Non è un singolo prodotto da comprare — è un sistema di governance che copre tecnologia, processi e persone.
Pilastro 1
Documentazione completa delle policy di sicurezza delle reti e dei sistemi informativi, con revisione annuale.
Pilastro 2
Procedure di rilevamento, contenimento, risposta e notifica all'ACN entro 24/72 ore.
Pilastro 3
Piano di continuità operativa testato, backup immutabile con regola 3-2-1-1-0, RPO/RTO definiti.
Pilastro 4
Mappatura fornitori critici, clausole contrattuali NIS2, audit periodici della catena di fornitura.
Pilastro 5
Criteri di sicurezza nella scelta di hardware e software, gestione del ciclo di vita dei sistemi.
Pilastro 6
Vulnerability assessment almeno trimestrale, patching entro 72h per vulnerabilità critiche.
Pilastro 7
Training anti-phishing per tutto il personale, formazione tecnica per gli amministratori IT.
Pilastro 8
Cifratura dei dati in transito e a riposo dove necessario, gestione delle chiavi crittografiche.
Pilastro 9
Multi-Factor Authentication su tutti gli accessi remoti, VPN, email e sistemi critici.
Pilastro 10
Controllo accessi basato su ruoli, offboarding sicuro, policy BYOD documentate.
I costi dipendono dallo stato attuale della tua sicurezza IT. Un'azienda che ha già firewall, backup e MFA spenderà molto meno di una che parte da zero. Ecco i numeri reali di BullTech per PMI lombarde da 20-80 dipendenti.
| Cosa richiede la NIS2 | Cosa offre BullTech | Costo |
|---|---|---|
| Gap assessment e registro rischi | Audit completo + piano remediation + documentazione | da €800 |
| Vulnerability assessment | VA trimestrale con report e remediation | da €800/anno |
| Firewall perimetrale con IPS | WatchGuard T45/T85 gestito 24/7 | da €150/mese |
| EDR su tutti gli endpoint | Bitdefender GravityZone con monitoraggio | da €5/endpoint/mese |
| Backup immutabile 3-2-1-1-0 | Veeam con test trimestrale e DR plan | da €200/mese |
| MFA su tutti gli accessi | Microsoft Entra ID + configurazione completa | incluso nel piano |
| Formazione anti-phishing | Sessioni trimestrali + simulazioni phishing | da €500/anno |
| Incident response plan | Procedura pre-compilata + esercitazione annuale | incluso nel piano |
| Compliance completa gestita | Tutto il pacchetto: assessment + tech + governance + supporto | da €350/mese |
Un ransomware medio costa a una PMI italiana circa €850.000 tra riscatto, fermo produzione e ripristino (fonte: Clusit 2026). La sanzione NIS2 per un soggetto importante arriva a €7 milioni. La compliance BullTech parte da €350/mese — meno di €4.200 l'anno. Il calcolo è semplice: investire in prevenzione costa 200 volte meno che subire un attacco.
E c'è un costo nascosto: la perdita di contratti. Le grandi aziende soggette NIS2 stanno già chiedendo ai fornitori documentazione sulla sicurezza IT. Chi non ce l'ha, perde il cliente. Chi ce l'ha, diventa un fornitore preferenziale.
La NIS2 non ha una singola “data di scadenza” — è un percorso continuo. Ma ci sono tappe precise che devi conoscere.
Ottobre 2024
Entrata in vigore del D.Lgs. 138/2024 che recepisce la NIS2 in Italia.
Gennaio 2025
Avvio della fase di registrazione all'ACN per le organizzazioni che rientrano nel perimetro.
Aprile 2025
L'ACN ha iniziato a notificare le organizzazioni identificate come soggetti NIS2.
2025-2026
Implementazione progressiva delle misure di sicurezza. Le sanzioni sono già operative per chi non ha avviato il percorso.
Continuo
Adeguamento costante: VA trimestrali, formazione annuale, test DR, aggiornamento policy. Non è un progetto una tantum.
Il messaggio chiave: chi non ha ancora avviato il percorso è già in ritardo. L'ACN può effettuare verifiche e le sanzioni si applicano non solo in caso di incidente, ma anche per la mancata implementazione delle misure minime. Il consiglio pratico? Parti dal gap assessment BullTech da €800: in 2 settimane hai un quadro chiaro di cosa manca e un piano con le priorità.
Ecco la checklist operativa che usiamo noi di BullTech con le PMI lombarde. Stampala, spunta quello che hai già fatto e parti da quello che manca.
Non devi fare tutto in una volta. Il nostro percorso per PMI lombarde prevede 4 fasi progressive, dalla fotografia iniziale alla compliance continuativa. Ogni fase produce documentazione utilizzabile in caso di audit ACN.
Audit completo della tua infrastruttura IT rispetto ai 10 pilastri NIS2. Produciamo: registro dei rischi, gap analysis, piano di remediation con priorità e costi stimati. Alla fine sai esattamente cosa manca e quanto costa colmare le lacune.
Implementiamo le misure tecniche mancanti: firewall WatchGuard, EDR Bitdefender, backup immutabile Veeam, MFA, segmentazione di rete. Partiamo dalle vulnerabilità critiche e procediamo in ordine di rischio. Ogni intervento viene documentato per il registro NIS2.
Redigiamo le policy di sicurezza, la procedura di incident response con notifica ACN in 24/72h, il piano di business continuity. Formiamo il personale su phishing e social engineering con sessioni pratiche e simulazioni.
La NIS2 non è un progetto una tantum. Il piano continuativo include: vulnerability assessment trimestrale, formazione annuale, test del piano DR, aggiornamento policy, monitoraggio 24/7 e supporto in caso di incidente con gestione notifica ACN.
Le sanzioni NIS2 non sono teoriche — sono operative. E la novità rispetto alla precedente Direttiva NIS è la responsabilità personale dei dirigenti.
Soggetti essenziali
€10M
o il 2% del fatturato globale annuo (il maggiore dei due)
Soggetti importanti
€7M
o l'1,4% del fatturato globale annuo (il maggiore dei due)
La NIS2 introduce la responsabilità personale degli organi di gestione (CDA, amministratore unico, dirigenti). In caso di violazione, l'ACN può disporre:
Il punto pratico: il CDA non può più delegare la cybersecurity al “ragazzo dell'IT” e lavarsi le mani. I dirigenti devono approvare le misure di sicurezza, supervisionarne l'attuazione e seguire una formazione specifica. È un cambio culturale, non solo tecnologico. Noi di BullTech lo spieghiamo così ai nostri clienti: la sicurezza IT ora è come la sicurezza sul lavoro — il datore di lavoro ne risponde personalmente.
La NIS2 introduce obblighi stringenti di notifica degli incidenti informatici all'ACN (Agenzia per la Cybersicurezza Nazionale). Le tempistiche sono serrate e non rispettarle significa sanzioni aggiuntive.
Dalla scoperta dell'incidente, devi inviare una notifica preliminare all'ACN: cos'è successo, quando, impatto iniziale stimato. Non serve il report completo — serve la velocità.
Report dettagliato: causa dell'incidente, sistemi coinvolti, dati compromessi, misure di contenimento adottate, impatto sulla continuità operativa, piano di ripristino.
Analisi completa dell'incidente: root cause analysis, lezioni apprese, misure correttive implementate per prevenire il ripetersi. Questo report viene archiviato dall'ACN.
Il piano compliance BullTech (da €350/mese) include una procedura di incident response pre-compilata con template per tutte e tre le notifiche ACN, numeri di emergenza e workflow di escalation. In caso di incidente, il nostro team ti supporta nella gestione tecnica e nella compilazione delle notifiche — non ti lasciamo solo con un PDF da 200 pagine.
In 2 settimane sai esattamente dove sei, cosa manca e quanto costa adeguarti. Nessun impegno successivo — il report è tuo e puoi procedere con chi vuoi.
Il team di esperti IT di BullTech Informatica condivide analisi, guide e best practice per la sicurezza e la gestione IT aziendale.