La NIS2 per le PMI si applica se operi in uno dei 18 settori del D.Lgs. 138/2024 e raggiungi la soglia della media impresa, oppure se un cliente NIS2 ti chiede garanzie come fornitore. In entrambi i casi devi dimostrare le misure dell'articolo 21: monitoraggio della rete, gestione delle vulnerabilità, inventario asset, catena di fornitura e, se sei soggetto diretto, notifica degli incidenti in 24 ore. Il check di 2 minuti dice da dove partire.
La NIS2 è la direttiva europea sulla sicurezza delle reti e dei sistemi informativi; in Italia la applica il D.Lgs. 138/2024, in vigore dal 16 ottobre 2024. L'Agenzia per la Cybersicurezza Nazionale (ACN) è l'Autorità competente NIS: gestisce la registrazione dei soggetti, pubblica le specifiche di base e riceve le notifiche degli incidenti.
Per una piccola o media impresa la domanda "sono soggetto a NIS2?" ha due risposte possibili, ed entrambe portano allo stesso lavoro:
La NIS2 per le PMI, in pratica, è una lista di capacità da dimostrare a qualcuno: ACN, un cliente, un assicuratore, un auditor. Questa pagina ti dice quali sono, quali evidenze contano e quale componente Defensio le produce. Se vuoi una risposta rapida, verifica in 2 minuti se la NIS2 ti riguarda: sei domande, nessuna registrazione, esito orientativo.
Il perimetro del D.Lgs. 138/2024 si legge su due assi: settore e dimensione. Il decreto copre 18 settori, 11 ad alta criticità e 7 critici, per oltre 80 tipologie di soggetti. Sul portale ACN, nella sezione sull'ambito di applicazione, la tabella ufficiale incrocia ogni settore con le tre classi dimensionali (grandi, medie, piccole e micro) e restituisce l'esito: essenziale, importante o fuori ambito.
La soglia che decide la maggior parte dei casi è quella della media impresa: almeno 50 dipendenti, oppure fatturato annuo e totale di bilancio entrambi superiori a 10 milioni di euro (definizione di media impresa della raccomandazione 2003/361/CE). In linea generale:
Gli obblighi di legge sono gli stessi, ma le specifiche di base ACN (determinazione 379907/2025) prevedono allegati distinti per soggetti importanti ed essenziali, con un set di misure più esteso per gli essenziali; cambiano anche vigilanza e sanzioni. Se sei in un settore coperto e raggiungi la soglia, sei dentro anche se nessuno ti ha scritto: la registrazione è a tuo carico.
Energia, trasporti, sanità, acqua, infrastrutture digitali e servizi ICT gestiti, fabbricazione di dispositivi medici, elettronica, macchinari e veicoli, alimentare, chimica, rifiuti, servizi postali. Un fornitore di servizi IT gestiti (MSP) va verificato con attenzione sulla tabella del portale ACN: i servizi ICT gestiti sono tra i settori coperti ed è, insieme, fornitore critico dei propri clienti. In caso di dubbio sull'attività svolta, verificare sul portale ACN.
La NIS2 si applica ai fornitori in modo indiretto ma concreto. L'art. 21 §2 lett. d) della direttiva (art. 24, comma 2, lett. d) del D.Lgs. 138/2024) impone ai soggetti essenziali e importanti di gestire la sicurezza della catena di approvvigionamento, compresi i rapporti con i fornitori diretti. Il tuo cliente deve valutare il rischio di ogni fornitura, fissare requisiti proporzionati e verificarne il rispetto: le FAQ ACN del 24 luglio 2026 (MSB.12-MSB.19) prevedono che la verifica passi da evidenze tecniche, audit, certificazioni ed esiti di test, calibrati sulla singola fornitura.
Nella pratica arriva un questionario, una clausola contrattuale o una richiesta dell'assicuratore cyber, con domande sempre uguali:
Rispondere "sì" non basta: servono evidenze. Un report datato, un export dell'inventario, un audit trail delle decisioni, un report di evidenza DMARC firmato. Qui la NIS2 per le PMI smette di essere un tema legale e diventa un tema di strumenti: chi produce questi documenti ogni mese senza che tu li assembli a mano?
L'articolo 21 della direttiva (UE) 2022/2555, che in Italia corrisponde all'articolo 24 del D.Lgs. 138/2024, chiede misure tecniche, operative e organizzative proporzionate al rischio: non una lista di prodotti, ma capacità da avere e da provare. ACN le ha tradotte nelle modalità e specifiche di base pubblicate sul proprio portale (determinazione ACN 379907/2025). Ecco le misure di sicurezza NIS2 dell'art. 21 in parole semplici, con l'evidenza attesa per ciascuna.
Gli obblighi NIS2 per le PMI sono quindi in gran parte misurabili: la maggior parte delle misure ha un'evidenza tecnica che una piattaforma produce in automatico; politiche, continuità operativa e formazione restano alla governance.
La notifica degli incidenti NIS2 entro 24 ore è l'obbligo che preoccupa di più le PMI, perché presuppone una capacità che molte non hanno: accorgersi dell'incidente. La sequenza per gli incidenti significativi:
Le notifiche si trasmettono al CSIRT Italia tramite il portale ACN. L'obbligo è operativo da gennaio 2026 per i soggetti inseriti nell'elenco nel 2025; dal 1° gennaio 2027 per chi è stato inserito per la prima volta nel 2026. Per criteri di significatività e modalità di dettaglio, verificare sul portale ACN.
Per rispettare queste finestre servono un punto di osservazione sulla rete, un triage che classifica in tempo utile e un registro delle decisioni. Il SOC as a service di Defensio è costruito così: il triage a stadi identifica e classifica gli incidenti significativi nei tempi del processo di notifica, e l'inbox delle escalation registra ogni decisione degli analisti in un audit trail completo. Il modello è advisory: il SOC rileva, correla, decide la gravità e ti guida con istruzioni di contenimento precise; le azioni sull'infrastruttura restano concordate con il tuo team.
Il portale ACN è il luogo in cui la NIS2 per le PMI diventa un adempimento concreto. Le finestre pubblicate dal portale, alla data di questa pagina:
Date e modalità possono essere aggiornate dall'Autorità: prima di ogni adempimento, verificare sul portale ACN.
Per i soggetti essenziali fino a 10 milioni di euro o al 2% del fatturato annuo mondiale, se superiore; per i soggetti importanti fino a 7 milioni di euro o all'1,4% del fatturato. Il decreto prevede inoltre obblighi specifici per gli organi di amministrazione: i dettagli sono nelle FAQ pubblicate sul portale ACN. Per una PMI il rischio più immediato, però, è perdere il cliente che non può più tenerti nella propria catena di fornitura senza evidenze.
Chi deve rispondere a un cliente o a un auditor ha bisogno di collegare ogni misura dell'articolo 21 a un'evidenza tecnica e allo strumento che la genera. La tabella mappa le misure tecniche sulle componenti Defensio; qui sotto, che cosa fa ciascuna.
Il Sensor è una sonda di rete passiva: appliance fisica o virtuale collegata a una porta SPAN, a un TAP passivo o a una porta mirror del core switch. Analizza una copia del traffico, senza agenti e senza nulla inline; non invia mai un pacchetto ai dispositivi monitorati, quindi può stare accanto a sistemi OT e SCADA. Sedici motori in una sola appliance: threat detection mappata su MITRE ATT&CK, vulnerability assessment continuo prioritizzato sugli exploit in circolazione, deception, inventario senza agenti (ogni dispositivo con indirizzi, produttore, servizi esposti, fino a tipo, marca e modello), condivisioni e password, accessi remoti non autorizzati, trasferimenti di dati. Nelle prime 48 ore il quadro comprende di solito dispositivi sconosciuti, condivisioni aperte e servizi dimenticati: l'inventario che la NIS2 richiede, con report executive, tecnici e di conformità inclusi.
Ciò che esponi su internet è ciò che il tuo cliente NIS2 vede di te. La scansione esterna con Defensio XT lavora solo dall'esterno, come un attaccante: vulnerability assessment esterno, sottodomini e shadow IT, audit TLS e certificati, sicurezza DNS ed email (SPF, DKIM, DMARC), test delle applicazioni web, credenziali aziendali nei database di violazioni. Si installa sulla tua infrastruttura e si usa in autonomia. La stessa copertura esiste come piattaforma cloud self-service, senza nulla da installare, con scansioni pianificate e report pronti per gli audit in PDF con un clic. Nessuna delle due è un penetration test: sono la baseline sempre attiva che il pentest manuale completa.
Il SOC riceve la telemetria dai Sensor e dai motori di scansione, la elabora con una pipeline AI a più stadi e porta agli analisti solo ciò che merita una decisione umana. Tutto gira on premises su infrastruttura Fidem in Italia, air-gapped: nessun dato dei clienti lascia il perimetro. Il reporting automatizzato pronto per la compliance è il corredo di evidenze in caso di ispezione. Fidem è certificata ISO/IEC 27001, 27017, 27018 e ISO 9001; Defensio è registrato al CSA STAR Level 1.
La protezione dallo spoofing email trasforma i report DMARC grezzi in un elenco leggibile di chi invia posta a nome del tuo dominio, esegue test di spoofing autorizzati verso una casella seed che controlli tu, sorveglia i domini lookalike e gestisce MTA-STS e TLS-RPT. Solo una policy DMARC in reject chiude lo spoofing sul dominio esatto; il piano Compliance produce un report di evidenza PDF firmato, il documento che assicuratore e auditor si aspettano. Per il monitoraggio DMARC basta un record DNS (MTA-STS e TLS-RPT ne richiedono uno ciascuno); nessuna email passa dal servizio.
Ogni componente si acquista da sola e il collegamento al SOC si attiva quando vuoi, senza rifare nulla. Hai sempre accesso diretto e indipendente alla tua istanza: dashboard, allarmi, inventario, risultati, report.
Una piattaforma produce evidenze tecniche; non scrive le tue politiche né decide per il tuo consiglio di amministrazione. Restano fuori dal perimetro di Defensio, e vanno affidati a un lavoro organizzativo, questi punti:
Per questa parte Fidem, la società che progetta e gestisce Defensio, offre la consulenza per l'adeguamento NIS2: chi usa la piattaforma e chi scrive la documentazione lavora sugli stessi dati, e le evidenze di Sensor, XT e SOC entrano direttamente nel fascicolo. La NIS2 per le PMI funziona quando le due metà, tecnica e organizzativa, si parlano.
Non esiste un prezzo unico per la NIS2 per le PMI: il costo dipende da quanto devi dimostrare e a chi. Le variabili che contano:
Le componenti cloud hanno prezzi pubblici, IVA esclusa. La piattaforma di scansione continua degli asset esposti parte da 59 €/mese (Starter, 5 target, report pronti per gli audit), sale a 149 €/mese (Professional, 10 target, API e webhook, pipeline CI/CD) e per gli MSP da 299 €/mese con report white-label e dashboard multi-tenant. Identity Shield costa 49 €/dominio/mese, 99 €/dominio/mese nel piano Compliance con report di evidenza firmato. Sensor e SOC si dimensionano dopo una revisione della topologia, per scegliere il punto di osservazione e la taglia dell'appliance.
Per le PMI italiane esistono strumenti di finanziamento dedicati: la pagina sui voucher cloud e cybersecurity spiega quali componenti Defensio sono ammissibili.
Di norma no: la soglia della media impresa (almeno 50 dipendenti, oppure fatturato annuo e totale di bilancio entrambi superiori a 10 milioni di euro, secondo la raccomandazione 2003/361/CE) è il criterio principale e le piccole e micro imprese sono in genere fuori ambito. Esistono però tipologie di servizio per cui il decreto prescinde dalla dimensione, e resta l'obbligo indiretto verso i clienti NIS2 che ti chiedono le prove come fornitore. Verifica il tuo settore sulla tabella del portale ACN.
Le imprese medie e grandi che operano in uno dei 18 settori del D.Lgs. 138/2024 (11 ad alta criticità e 7 critici, oltre 80 tipologie di soggetti): tra gli altri energia, trasporti, sanità, acqua, infrastrutture digitali e servizi ICT gestiti, manifattura, alimentare, chimica, rifiuti, servizi postali. L'esito, essenziale o importante, dipende dall'incrocio tra settore e dimensione.
Registrarsi sul portale ACN nella finestra annuale, nominare un punto di contatto, adottare le misure dell'articolo 21 della direttiva (articolo 24 del D.Lgs. 138/2024) secondo le specifiche di base ACN, notificare gli incidenti significativi (preallerta entro 24 ore, notifica entro 72 ore, relazione entro un mese) e aggiornare ogni anno le informazioni. Il decreto prevede inoltre obblighi specifici per gli organi di amministrazione: i dettagli sono nelle FAQ pubblicate sul portale ACN.
L'articolo 21 della direttiva (UE) 2022/2555, recepito dall'articolo 24 del D.Lgs. 138/2024, prevede misure tecniche, operative e organizzative proporzionate al rischio: analisi dei rischi e politiche, gestione degli incidenti, continuità operativa e backup, sicurezza della catena di approvvigionamento, gestione delle vulnerabilità, valutazione dell'efficacia, igiene informatica e formazione, crittografia, controllo degli accessi e gestione degli asset, autenticazione a più fattori e comunicazioni sicure.
Per gli incidenti significativi la preallerta va inviata entro 24 ore da quando ne vieni a conoscenza, la notifica formale entro 72 ore e la relazione finale entro un mese, tramite il portale ACN verso il CSIRT Italia. L'obbligo è operativo da gennaio 2026 per i soggetti inseriti nell'elenco nel 2025; dal 1° gennaio 2027 per chi è stato inserito per la prima volta nel 2026. Rispettare le 24 ore richiede un monitoraggio che veda l'incidente e un triage che lo classifichi in tempo.
Non direttamente, ma l'art. 21 §2 lett. d) della direttiva (art. 24, comma 2, lett. d) del D.Lgs. 138/2024) obbliga i soggetti NIS2 a gestire la sicurezza della propria catena di fornitura, con requisiti proporzionati al rischio di ogni fornitura. Il tuo cliente ti chiederà quindi evidenze: inventario, report di vulnerability assessment, monitoraggio della rete, protezione del dominio email. Un fornitore senza prove documentali rischia di uscire dalla lista, anche senza obblighi verso ACN.
Per i soggetti essenziali fino a 10 milioni di euro o al 2% del fatturato annuo mondiale, se superiore; per i soggetti importanti fino a 7 milioni di euro o all'1,4% del fatturato. Il decreto prevede inoltre obblighi specifici per gli organi di amministrazione: i dettagli sono nelle FAQ pubblicate sul portale ACN. Condizioni di applicazione e gradualità sono descritte sul portale ACN.
Con evidenze datate e ripetibili: un inventario esportato dalla sonda di rete, un report di vulnerability assessment con punteggio e piano di remediation, l'audit trail delle decisioni del SOC, i report di conformità in PDF della scansione esterna e il report di evidenza DMARC firmato. Defensio produce questi documenti in automatico nella tua istanza, a cui hai sempre accesso diretto.
Sei domande, parole semplici, nessuna registrazione: il check ti dice se rientri nel perimetro del D.Lgs. 138/2024, se sei esposto come fornitore e quali evidenze ti mancano. È uno strumento orientativo, non un parere legale, ma è il punto di partenza giusto per la NIS2 per le PMI. Verifica in 2 minuti se la NIS2 ti riguarda. Se preferisci parlare del tuo caso, di una sonda in sede o del collegamento al SOC, contattaci.
Team Fidem S.r.l.