NIS2 per le imprese industriali: chi rientra e cosa fare.

Per i soggetti inseriti nell'elenco NIS nel 2025, il termine per adottare le misure di sicurezza di base dipende dalla data di ricezione della comunicazione dell'ACN: sono 18 mesi da quella data, quindi per molti cade in ottobre 2026 e per alcuni può essere già scaduto. Recuperare quella comunicazione è il primo passo per verificare la propria scadenza. Per le imprese inserite nel 2026 i termini sono più lunghi.

Questa guida spiega chi rientra, cosa chiede la norma e da dove partire. È scritta per chi dirige un'impresa, in particolare industriale, e non per chi si occupa di sicurezza informatica.

Chi rientra: settore, dimensione ed elenco ACN

Rientri nella NIS2 quando il tuo settore e la tua dimensione rientrano nei criteri del decreto; l'ACN ti inserisce poi nell'elenco dei soggetti NIS e te lo comunica.

Il settore. Il decreto elenca 18 settori in due allegati: quelli ad alta criticità (energia, trasporti, banche, sanità, acqua, infrastrutture digitali e altri) e gli altri settori critici. Per un'impresa industriale conta la voce «Fabbricazione» tra gli altri settori critici, che comprende:

• dispositivi medici e dispositivi medico-diagnostici in vitro;
• computer, elettronica e ottica;
• apparecchiature elettriche;
• macchinari e apparecchiature non classificati altrove;
• autoveicoli, rimorchi e semirimorchi, e altri mezzi di trasporto.

Nella stessa lista figurano anche i prodotti chimici, la produzione e distribuzione di alimenti e la gestione dei rifiuti. Non rientra ogni impresa manifatturiera: conta che la tua attività ricada in una di queste categorie.

La dimensione. Il decreto si applica a chi supera i massimali delle piccole imprese. Di norma restano fuori le piccole e le micro imprese, salvo alcune ipotesi previste dal decreto, per esempio nel digitale. Le soglie sono queste:

Per calcolarle valgono le regole europee sulle dimensioni d'impresa, che possono tenere conto anche di imprese associate o collegate: conviene farlo verificare dal commercialista.

La qualifica. La dimensione da sola non dice se sei soggetto importante o essenziale: conta anche il settore.

La sanzione è la più alta tra i due valori. Per un'impresa manifatturiera, anche grande, la qualifica ordinaria è quindi quella di soggetto importante. Può cambiare se ricorrono altre condizioni o se l'ACN la individua diversamente: conferma la tua con un professionista, perché da essa dipendono misure e sanzioni.

L'elenco. Chi rientra per settore e dimensione doveva registrarsi sulla piattaforma dell'ACN entro il 28 febbraio 2025. L'ACN ha poi comunicato a ciascun soggetto l'inserimento nell'elenco, e da quella comunicazione decorrono i termini. I dati si aggiornano ogni anno: nel 2026 la finestra andava dal 15 aprile al 31 maggio.

Se ritieni di rientrare nei criteri ma non hai effettuato la registrazione o non trovi la comunicazione dell'ACN, verifica la tua posizione: l'assenza della comunicazione non va interpretata automaticamente come esclusione. Per un primo orientamento c'è la verifica NIS2 in tre domande.

Cosa chiede la norma

La NIS2 non chiede di comprare una tecnologia. Chiede organizzazione, documenti e prove, su quattro fronti:

Molte misure chiedono documenti approvati dagli amministratori: le politiche di sicurezza, la valutazione del rischio, il piano di trattamento dei rischi, i piani di continuità operativa e di ripristino. La prima misura del governo chiede un elenco aggiornato dei sistemi informativi e di rete rilevanti, cioè quelli la cui compromissione avrebbe un impatto significativo sulle attività per cui rientri nella norma.

Per ogni requisito dovrai poter mostrare tre cose: il documento di riferimento, chi lo ha approvato e quando, la prova che viene applicato. Alcune misure si possono limitare ai sistemi rilevanti o seguire l'esito della valutazione del rischio, ma una deroga va motivata e documentata, e richiede misure compensative.

Se fornisci un'impresa soggetta alla NIS2, è probabile che ti chieda requisiti di sicurezza nel contratto, perché la norma la obbliga a controllare i fornitori.

Le scadenze dipendono da quando sei entrato in elenco

Il termine non è uguale per tutti: decorre dalla comunicazione con cui l'ACN ti ha inserito nell'elenco.

1. Comunicazioni del 12 e 13 aprile 2025

   Notifica degli incidenti significativi: 9 mesi dalla comunicazione: l'ACN indica gennaio 2026

   Misure di base: 18 mesi dalla comunicazione: l'ACN indica ottobre 2026

2. Inseriti più tardi nel 2025

   Notifica degli incidenti significativi: 9 mesi dalla propria comunicazione

   Misure di base: 18 mesi dalla propria comunicazione

3. Inseriti per la prima volta nel 2026

   Notifica degli incidenti significativi: Dal 1° gennaio 2027

   Misure di base: Entro il 31 luglio 2027

I nuovi soggetti del 2026 devono inoltre designare il referente CSIRT, la persona che gestisce gli incidenti e i contatti con l'ACN, entro il 31 dicembre 2026. Chi era già in elenco nel 2025 e lo è anche nel 2026 mantiene i termini del 2025.

Il termine giuridico resta di 18 mesi dalla ricezione. Per sapere la tua data, recupera la comunicazione dell'ACN nel domicilio digitale e conta da lì. Per chi l'ha ricevuta a metà aprile 2025, il termine può essere già scaduto.

Dopo la scadenza l'ACN può chiedere rendicontazioni e verificare le misure. I soggetti essenziali possono essere ispezionati anche a campione, quelli importanti solo se ci sono elementi che fanno pensare a una violazione. L'ACN non ha annunciato una campagna di ispezioni.

Le misure di base non sono l'ultimo passo: il 18 settembre 2026 l'ACN ha avviato la consultazione sulle misure rafforzate, che le integreranno e le sostituiranno. Fino a un nuovo atto restano di riferimento gli allegati della determinazione ACN 379907/2025.

Un caso concreto: uno stabilimento con le macchine in rete

L'esempio è illustrativo, non un cliente reale. Un'impresa con 120 dipendenti fabbrica macchinari per l'imballaggio: rientra nel settore «macchinari e apparecchiature» ed è una media impresa: in via ordinaria, un soggetto importante.

Il reparto IT cura il gestionale (ERP), la posta e i computer d'ufficio. In produzione ci sono quindici macchine con controllo numerico, un sistema di gestione della produzione (MES) e un accesso remoto con cui i fornitori delle macchine fanno assistenza. Quando si prepara alla scadenza, l'impresa scopre che l'elenco dei sistemi rilevanti ne cita solo una parte.

Di cosa ha bisogno:

Due verifiche pratiche valgono più di un fascicolo: l'accesso remoto di un fornitore si può revocare davvero, e in quanto tempo? Il ripristino del MES da backup è stato provato almeno una volta? Applicare le misure vuol dire anche questo, non solo documentarle.

Se stai collegando le macchine al gestionale e al MES per l'iperammortamento, come spiega l'articolo Quando una macchina è interconnessa, quei collegamenti entrano in questo elenco: più macchine in rete significa più sistemi da censire e da proteggere.

Cosa fare, in ordine

L'ordine è una nostra indicazione di lavoro, non un obbligo di legge. I requisiti sono quelli degli allegati ACN.

1. 01 / 08

   Verifica la tua posizione

   Controlla settore e dimensione, recupera la comunicazione dell'ACN e segna la data da cui decorrono i termini.

2. 02 / 08

   Scegli chi guida il lavoro

   Servono il punto di contatto con l'ACN e il referente CSIRT, con i rispettivi sostituti, inseriti nell'organizzazione per la sicurezza approvata dagli amministratori.

3. 03 / 08

   Censisci i sistemi rilevanti

   Inserisci i sistemi d'ufficio, ma anche macchine collegate in rete, MES e accessi remoti dei fornitori.

4. 04 / 08

   Confronta con l'allegato che ti riguarda

   L'allegato 1 vale per gli importanti, il 2 per gli essenziali: per ogni requisito segna cosa hai già e cosa manca.

5. 05 / 08

   Scrivi e fai approvare i documenti

   Politiche di sicurezza, valutazione del rischio, piano di trattamento dei rischi, continuità operativa: li approvano gli amministratori.

6. 06 / 08

   Prepara la notifica degli incidenti

   Decidi chi la invia, con quali informazioni e in quali tempi (24 ore e 72 ore dalla conoscenza dell'incidente, relazione finale entro un mese dalla notifica), e fai una prova.

7. 07 / 08

   Porta i requisiti nei contratti

   Fornitori, integratori e chi fa assistenza remota devono sapere cosa gli chiedi su accessi, aggiornamenti e segnalazione degli incidenti.

8. 08 / 08

   Conserva le prove

   Per ogni requisito, documento, approvazione ed evidenza di applicazione. Le politiche si riesaminano ogni anno e i ruoli almeno ogni due.

Chi fa cosa

La decisione è degli amministratori, il lavoro di solito è condiviso. Una divisione chiara dei compiti, scritta, evita che nessuno si senta responsabile di un pezzo.

Chi collega le macchine ai sistemi aziendali decide anche quali flussi e quali accessi esistono: per questo conviene coinvolgerlo presto, come spiegato nell'articolo Chi fa cosa nell'iperammortamento 2026.

Sanzioni e responsabilità degli amministratori

I massimali sono quelli indicati sopra: 10 milioni di euro o 2% del fatturato mondiale per gli essenziali, 7 milioni o 1,4% per gli importanti, per la violazione degli obblighi degli articoli 23, 24 e 25. Il sistema prevede strumenti di conformazione, come richieste di documenti e diffide, ma non c'è una garanzia di preavviso in ogni caso.

La norma guarda anche alle persone. Gli amministratori rispondono dell'approvazione e della supervisione delle misure, e nei casi più gravi sono previste sanzioni accessorie fino alla sospensione temporanea dalle funzioni dirigenziali. Delegare il lavoro a un responsabile interno o a un consulente non sposta la responsabilità.

Le novità possono avere riflessi anche sulla responsabilità amministrativa degli enti prevista dal decreto legislativo 231/2001: è un punto da valutare con il legale dell'impresa.

Domande frequenti