← Torna alla pagina precedente
Sicurezza e normative
La direttiva NIS2 non riguarda tutte le imprese, ma sta già cambiando il modo in cui i clienti scelgono i fornitori. Ecco come capire in pochi minuti da che parte stai, e cosa ti verrà chiesto in ogni caso.
È la normativa europea sulla sicurezza informatica, recepita in Italia con il decreto legislativo 138 del 2024. Obbliga le aziende considerate critiche per il Paese a proteggere i propri sistemi, a segnalare gli incidenti e a rispondere del proprio operato davanti all'Agenzia per la Cybersicurezza Nazionale. Non è una certificazione che si compra: è un insieme di obblighi che si dimostrano con i fatti.
• Servono due condizioni insieme, il settore e la dimensione: se ne manca una, si è fuori.
• Il settore deve essere in uno degli elenchi del decreto. Nella manifattura ci sono macchinari e apparecchiature, apparecchiature elettriche, elettronica, dispositivi medici, autoveicoli, chimica e alimentare: non la meccanica generica, non il tessile, non la lavorazione delle materie plastiche.
• La dimensione conta a partire dalla media impresa, e nel conteggio entrano anche le società associate e collegate del gruppo.
• Alcune attività rientrano a prescindere dalla dimensione: telecomunicazioni, servizi fiduciari, gestori di domini e pubbliche amministrazioni.
Chi è stato inserito in elenco nel 2025 deve avere adottato le misure di sicurezza di base entro il 31 ottobre 2026: da novembre l'Agenzia esce dalla fase di accompagnamento e comincia a verificare. Chi è entrato in elenco nel 2026 ha tempo fino al 31 dicembre per designare il referente, dal primo gennaio 2027 deve notificare gli incidenti e ha fino al 31 luglio 2027 per le misure. E quando l'obbligo di notifica scatta, i tempi sono stretti: una prima segnalazione entro 24 ore, quella completa entro 72.
Leggi anche: il firewall in azienda, a cosa serve e quando non basta →Il punto che riguarda quasi tutti. Anche un'azienda fuori perimetro riceve richieste, perché il suo cliente è dentro e ha l'obbligo di valutare i propri fornitori. Dal 2026 quei fornitori vengono dichiarati all'Agenzia con nome e codice fiscale. Le richieste sono quasi sempre le stesse: doppia verifica di accesso, backup testati, revoca rapida degli accessi a chi lascia l'azienda, aggiornamenti, un referente per gli incidenti con tempi di risposta impegnati, documentazione scritta. Chi non risponde non prende una multa: esce dall'albo fornitori.
Ci occupiamo della parte tecnica — accessi, doppia verifica, segmentazione della rete, backup verificati, aggiornamenti, registri — e della documentazione operativa che serve a dimostrarla, compreso il piano per notificare un incidente entro le 24 ore. Sugli adempimenti formali affianchiamo l'azienda e i suoi consulenti. Quello che non facciamo, perché nessun fornitore può farlo: non esistono certificazioni NIS2, le verifiche di conformità le fa l'Agenzia, e l'approvazione delle misure resta in capo agli amministratori.
Scopri i servizi di sicurezza informatica →Guarda i pacchetti di assistenza con SLA garantiti →