Se pensi che la NIS2 non ti riguardi perché sei "solo" una PMI o uno studio professionale, forse dovresti chiederlo al tuo cliente più importante.

Secondo la Determinazione ACN n. 379907/2025, pubblicata il 19 dicembre 2025, le oltre 20.000 organizzazioni italiane già inserite nel perimetro della direttiva NIS2 hanno tempo fino al 31 ottobre 2026 per rendere pienamente operative le misure di sicurezza di base previste dal D.Lgs. 4 settembre 2024, n. 138. Da quella data, l'Agenzia per la Cybersicurezza Nazionale chiude la fase di accompagnamento e apre quella ispettiva e sanzionatoria.

L'ho letto due volte. In 45 anni di consulenza informatica a PMI e studi professionali ho imparato una cosa semplice: le scadenze pensate "per i grandi" finiscono quasi sempre per bussare anche ai piccoli, e di solito entrano dalla porta di servizio — i contratti con i fornitori.

Non sei nel perimetro? Non è detta l'ultima parola. È un po' come essere invitati a un matrimonio non da parenti ma da catering: se sei fornitore ICT, gestionale o cloud di un'azienda che rientra nella NIS2, quell'azienda è obbligata a valutare e "categorizzare" i propri fornitori rilevanti. Tradotto: prima o poi arriva una richiesta scritta, con domande a cui oggi forse non sapresti rispondere con sicurezza.

La notifica entro 24-72 ore non è burocrazia, è un allenamento. È come chiedere a chi guida di frenare in emergenza senza aver mai fatto un corso di guida sicura: se non sai già chi chiamare e cosa scrivere nelle prime 24 ore da un incidente, la prima volta che ti servirà davvero sarà anche la peggiore per improvvisare.

Le sanzioni non sono un ticket del parcheggio. Si parla di importi fino a 10 milioni di euro, o il 2% del fatturato mondiale, per i soggetti essenziali; fino a 7 milioni, o l'1,4%, per quelli importanti. Cifre pensate per far chiudere un'azienda, non per farla riflettere un po'.

"L'ho scritto sulla carta" non basta più. Dal 1° novembre 2026 l'ACN verifica anche la sostanza, non solo la policy firmata in una riunione di dicembre. È la differenza tra avere l'estintore appeso in corridoio e sapere davvero come si usa quando c'è fumo vero.

Il punto vero non è se la tua azienda compare "ufficialmente" nell'elenco NIS2. È che la sicurezza informatica dei tuoi clienti passa sempre di più anche da te — e prima o poi qualcuno te lo chiederà per iscritto, con una clausola contrattuale allegata.

In 45 anni ho imparato che le normative europee non aspettano che le PMI italiane siano pronte: aspettano solo che il calendario arrivi alla data.

La mossa, prima che scada: chiedi ai tuoi clienti principali (o al tuo consulente IT) se rientrano nel perimetro NIS2 o se hanno ricevuto comunicazioni ACN sulla categorizzazione. Verifica oggi stesso se hai davvero l'autenticazione a più fattori attiva ovunque, backup testati — non solo "fatti" — e una procedura scritta, anche minima, per gestire un incidente informatico. Segna il 31 ottobre in agenda: non per correre all'ultimo momento, ma per non scoprirlo il 30.

Vuoi capire se la tua azienda o il tuo studio potrebbero essere coinvolti, direttamente o come fornitori? Scrivimi una email o iscriviti alla newsletter per non perdere i prossimi aggiornamenti su scadenze e normative prima che diventino un problema.