NIS2 e piccole imprese: ti riguarda davvero? Il test in 5 domande

Per la NIS2 le piccole imprese, cioè sotto i 50 dipendenti e con fatturato o bilancio fino a 10 milioni di euro, di regola sono fuori: il decreto italiano vale dalle medie imprese in su, nei 18 settori elencati, con poche eccezioni. Ma se lavori per un cliente grande che rientra, le sue regole ti arrivano dentro il contratto.

In breve

• La NIS2 in Italia è il D.Lgs. 138/2024: sotto i 50 dipendenti e i 10 milioni sei fuori, salvo eccezioni precise e i gruppi di società.
• Per chi è entrato nell'elenco NIS nel 2025, le misure di sicurezza di base scadono in ottobre 2026, cioè adesso.
• Da quella scadenza i clienti NIS devono mettere requisiti di sicurezza nei contratti nuovi, rinnovati o prorogati con i fornitori.

NIS2 e piccole imprese: la regola dei 50 dipendenti e dei 10 milioni

Il decreto che recepisce la NIS2 in Italia, il D.Lgs. 4 settembre 2024, n. 138, si applica ai soggetti dei settori dei suoi allegati I e II che superano i massimali delle piccole imprese (art. 3, comma 2, su Normattiva, testo vigente consultato il 15/10/2026). In pratica: dalle medie imprese in su.

Le soglie sono quelle della raccomandazione europea 2003/361/CE, che ACN riassume nelle domande frequenti sull'ambito (FAQ AMB.DI.1):

Se hai 50 persone o più, oppure superi sia il fatturato sia il bilancio, sei almeno media impresa.

Il caso che sorprende di più è il gruppo: nel conteggio entrano anche le società collegate (art. 3, comma 4), e una società di 30 persone dentro un gruppo grande può risultare media o grande. Il decreto prevede una clausola di salvaguardia per chi dimostra di essere davvero indipendente dal gruppo per sistemi e servizi: si chiede in fase di registrazione e la decide l'autorità (FAQ AMB.GI.2 e GI.3).

Il tuo settore è tra i 18 della NIS2?

Oltre alla dimensione, per la NIS2 conta il settore in cui lavori. Secondo la pagina sull'ambito di applicazione di ACN (consultata il 15/10/2026), la NIS2 copre 18 settori: 11 altamente critici e 7 critici.

• Altamente critici: energia, trasporti, banche, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi informatici tra imprese, spazio, pubblica amministrazione.
• Critici: servizi postali e corrieri, rifiuti, sostanze chimiche, alimenti, fabbricazione (per esempio macchinari, apparecchiature elettriche, elettronica, veicoli), fornitori di servizi digitali, ricerca.

Per ACN conta l'attività che svolgi davvero, non l'oggetto sociale o il codice ATECO in visura (FAQ AMB.GE.3 e GE.5). Basta anche un'attività secondaria, salvo tre eccezioni per acqua e rifiuti (FAQ AMB.GE.4).

Nella sanità rientrano i prestatori di assistenza sanitaria, pubblici o privati, che superano le soglie delle piccole imprese (FAQ A1.5.1 sui settori). Per fare due esempi costruiti: un poliambulatorio di 60 persone va valutato, uno studio medico di 8 di regola no.

Anche un ente senza scopo di lucro può rientrare, se svolge una delle attività elencate e supera le soglie: la forma non profit da sola non esclude (FAQ AMB.GE.8).

Le eccezioni: quando la NIS2 vale anche per una piccola impresa

L'art. 3 del D.Lgs. 138/2024 fa rientrare alcuni soggetti a prescindere dalle dimensioni:

• i soggetti critici, chi fornisce reti o servizi di comunicazione elettronica al pubblico, i prestatori di servizi fiduciari, chi gestisce registri di domini o servizi DNS e chi registra nomi di dominio (comma 5);
• le pubbliche amministrazioni delle categorie dell'allegato III (comma 6);
• i soggetti che l'autorità individua, per esempio come anello critico di una filiera (comma 9): in questo caso ricevi una comunicazione da ACN (comma 13);
• le società collegate a un soggetto NIS che ne gestiscono i sistemi o la sicurezza, o gli forniscono servizi informatici (comma 10).

Fuori da questi casi, nella procedura di autovalutazione di ACN una piccola impresa si ferma e non deve registrarsi (FAQ REG.1 delle domande sulla registrazione).

Chi rientra nella NIS2? Il test in 5 domande

Il test per capire chi rientra nella NIS2 si fa con visura e ultimo bilancio, rispondendo in ordine.

1. Sei in uno dei casi del comma 5 o 6 (telecomunicazioni, domini, servizi fiduciari, ente pubblico)? Se sì, rientri.
2. Hai ricevuto una comunicazione da ACN? Se sì, segui quella.
3. Fai parte di un gruppo con un soggetto NIS, a cui gestisci sistemi o servizi informatici? Se sì, va valutato il comma 10.
4. Contando le società collegate, hai 50 persone o più, oppure superi i 10 milioni sia di fatturato sia di bilancio? Se no, di regola sei fuori.
5. Se sei almeno media impresa: una tua attività, anche secondaria, è in uno dei 18 settori? Se sì, rientri e devi registrarti.

Se ti fermi al punto 4, la NIS2 ti tocca solo attraverso i clienti grandi. Nei casi dubbi conviene la verifica sulle pagine NIS di ACN o un legale.

Entro quando adeguarsi alla NIS2: le scadenze per chi è dentro

Per chi rientra, le scadenze fissate da ACN (verificate il 15/10/2026) sono queste:

Le misure di base sono quelle della Determinazione ACN 379907/2025: allegato 1 per i soggetti importanti, allegato 2 per gli essenziali. ACN non fissa un giorno uguale per tutti: i 18 mesi partono dalla comunicazione ricevuta da ciascuno, e il Vademecum NIS dell'11 settembre 2026 indica il mese di ottobre.

NIS2 e fornitori: perché il questionario arriva proprio adesso

Una piccola impresa fuori dalla NIS2 la incontra attraverso i suoi clienti, perché tra le misure che ogni soggetto NIS deve adottare c'è la sicurezza della catena di approvvigionamento, compresi i rapporti con i fornitori diretti (art. 24, comma 2, lettera d, del D.Lgs. 138/2024).

Per ACN un fornitore non diventa soggetto NIS solo perché lavora per uno di loro: rispetta gli obblighi che il cliente gli mette nel contratto, ma non risponde ad ACN (FAQ AMB.GE.6).

Il "quando" è scritto nella FAQ MSB.12: i contratti in corso non vanno modificati per forza, ma i requisiti di sicurezza vanno inseriti in quelli stipulati, rinnovati o prorogati dal termine delle misure di base. Per i clienti entrati nell'elenco nel 2025 quel termine è ottobre 2026: il questionario arriva con il prossimo rinnovo.

Come ragiona il cliente, secondo le FAQ MSB.13-16:

• valuta il rischio di ogni fornitura, definisce i requisiti, li mette nel contratto e poi li verifica;
• pesa soprattutto quanto accedi ai suoi sistemi e ai suoi dati, e quanto lo danneggerebbe un tuo fermo;
• non deve chiedere requisiti per ogni fornitura, solo per quelle che toccano la sicurezza dei suoi sistemi, e non deve ricopiarti le sue misure alla lettera.

Cosa preparare se arriva un questionario di sicurezza

Un questionario di sicurezza di un cliente NIS chiede requisiti coerenti con le misure che lui applica ai suoi sistemi (FAQ MSB.13), cioè quelle dell'art. 24 del decreto: conviene prepararsi su quelle voci, con ciò che fai davvero e puoi mostrare.

• Elenco di computer, account e servizi cloud, con chi ne è amministratore e chi controlla gli aggiornamenti.
• Accessi: chi entra nei sistemi del cliente, e come togli gli accessi a chi esce.
• Verifica in due passaggi (MFA) su posta e accessi remoti: l'art. 24 la cita alla lettera l.
• Backup e ripristino (lettera c). "Il backup c'è" non basta: conta dove sono le copie e quando hai provato l'ultima volta a recuperarle.
• Cosa fai se succede un incidente: chi avvisi dal cliente e in quanto tempo. ACN chiede al cliente di farsi segnalare tempestivamente gli eventi dal fornitore (FAQ ISB.F.1).
• Formazione di base del personale (lettera g) e l'elenco dei tuoi fornitori informatici.

Rispondi solo con ciò che è vero oggi: "No, previsto entro marzo" vale più di un sì che non regge alla prima verifica. Molte voci le raccogli da solo, con il tuo tecnico; il difficile è tenerle aggiornate da un rinnovo all'altro.

Come lo gestisce Odryon

Noi di Odryon seguiamo uffici e studi da 10 a 50 persone a Roma e nel Lazio, senza un tecnico interno. Non vendiamo una "conformità NIS2" e non rilasciamo certificazioni: nell'assessment mettiamo per iscritto le evidenze che questi questionari chiedono, cioè misure, accessi, backup e procedura di notifica.

Altre prove si accumulano da sole: l'aggiornamento scritto del venerdì, l'esito della prova di ripristino ogni tre mesi, l'elenco di password, dominio e account intestati a te. Come funziona per le aziende che lavorano in filiera è nella pagina sull'industria e la manifattura; per poliambulatori e studi medici, in quella sulla sanità privata. Sui casi di confine non sostituiamo un legale.

Nessuno può garantire che un incidente non arrivi. Ma la verifica del cliente è periodica (FAQ MSB.13), e se oggi solo il tuo tecnico sa chi ha accesso a cosa, ogni volta si riparte da zero. Il punto non è comprare un "pacchetto NIS2": è sapere chi controlla, e quando. È quello che vediamo nella chiamata di 20 minuti.

Questo articolo non è una consulenza legale. Riassume il D.Lgs. 138/2024 (testo vigente su Normattiva) e le pagine di ACN come erano il 15/10/2026. Le FAQ di ACN vengono aggiornate spesso. Per i casi dubbi (gruppi di imprese, attività secondarie, settori di confine) serve un legale, oppure la verifica diretta sulle pagine NIS di ACN.

Domande frequenti

Quali aziende hanno l'obbligo NIS2?

Le medie e grandi imprese con un'attività dei 18 settori degli allegati I e II del D.Lgs. 138/2024. A prescindere dalle dimensioni: telecomunicazioni, domini, servizi fiduciari, le pubbliche amministrazioni elencate e chi riceve una comunicazione da ACN.

Ho un'impresa di 15 persone: devo registrarmi sul portale ACN?

Di regola no. Nella procedura di autovalutazione di ACN (FAQ REG.1) micro e piccole imprese non rientrano e non si registrano, salvo le eccezioni dell'art. 3 o una comunicazione di ACN. Se fai parte di un gruppo, conta anche le società collegate.

Soggetto essenziale o importante: che differenza c'è?

Dipende da settore e dimensione. Nella tabella di ACN sull'ambito, per esempio nell'energia, le grandi imprese sono di regola soggetti essenziali e le medie importanti. Cambiano le misure di base da adottare: allegato 2 per gli essenziali, allegato 1 per gli importanti.

Un cliente mi chiede di essere "conforme NIS2": cosa vuol dire?

Che il cliente è un soggetto NIS e deve gestire il rischio dei suoi fornitori. Tu non diventi soggetto NIS (FAQ AMB.GE.6): rispetti i requisiti che lui mette nel contratto. Chiedigli quali sono, per iscritto.

Come certificarsi NIS2?

Tra gli obblighi che ACN elenca per i soggetti NIS (registrazione, aggiornamento delle informazioni, misure di sicurezza, notifica degli incidenti) non c'è una certificazione da ottenere. Se un cliente ne chiede una specifica, fatti dire quale.

Entro quando devo adeguarmi alla NIS2?

I soggetti NIS entrati nell'elenco nel 2025 entro ottobre 2026, quelli entrati nel 2026 entro il 31 luglio 2027 (FAQ MSB.3 di ACN). Per un fornitore conta la data nel contratto del cliente.