NIS2: mi riguarda? Cosa significa la legge sulla cibersicurezza per le piccole e medie imprese

Negli ultimi mesi hai ricevuto un'email con “NIS2” in grassetto e la parola “sanzione” poco distante? Fai un bel respiro.

NIS2 è una direttiva UE per una maggiore cibersicurezza. In Germania si applica dal 6 dicembre 2025 tramite il NIS2-Umsetzungsgesetz (la legge tedesca di recepimento), che ha riscritto soprattutto la legge sul BSI (BSIG). Non c'è stato alcun periodo transitorio. Da allora molte piccole aziende si chiedono: ci rientro? La risposta onesta, per la maggior parte, è: probabilmente non direttamente – ma forse tramite i loro clienti.

Chi è direttamente interessato

La legge distingue tra “soggetti essenziali” e “soggetti importanti”. Se rientri dipende soprattutto da due fattori:

• Settore: Sono interessati determinati settori, ad esempio energia, trasporti, sanità, acqua, infrastrutture digitali, servizi IT per le imprese, servizi postali e di corriere, rifiuti, chimica, alimentare, parti dell'industria e fornitori digitali.
• Dimensione: Di norma si tratta di medie e grandi imprese – indicativamente da 50 dipendenti o con oltre 10 milioni di euro di fatturato annuo e totale di bilancio. Il BSI (l'Ufficio federale tedesco per la sicurezza informatica) valuta la dimensione secondo la raccomandazione 2003/361/CE dell'UE. Per alcuni servizi la legge si applica indipendentemente dalla dimensione.

Il BSI offre online una verifica non vincolante per capire se si rientra. Non sostituisce una consulenza legale, ma in pochi minuti ti dà un primo orientamento.

Cosa devono fare i soggetti interessati

• Registrarsi: al più tardi tre mesi dopo essere rientrati nell'ambito di applicazione, tramite il portale comune di BSI e BBK (l'Ufficio federale tedesco per la protezione civile) (§ 33 BSIG).
• Prevenire: attuare misure adeguate di sicurezza delle informazioni – dal piano di emergenza ai backup fino al controllo degli accessi (§ 30 BSIG).
• Notificare: Gli incidenti di sicurezza significativi vanno notificati al BSI in tre fasi (§ 32 BSIG).
• Coinvolgere la direzione: La direzione aziendale deve attuare le misure, sorvegliarne l'attuazione e partecipare regolarmente a corsi di formazione (§ 38 BSIG).

Quanti sono davvero

Fino al 30 settembre 2026, secondo il BSI, si erano registrati 20.141 soggetti: 6.837 soggetti essenziali e 13.252 soggetti importanti, più alcuni casi particolari. Nello stesso periodo sono arrivate 1.272 notifiche iniziali di incidenti di sicurezza. Questo dimostra: riguarda molti – ma non certo tutte le aziende.

La via indiretta: quando il tuo cliente rientra

Qui la cosa diventa interessante per le piccole aziende. Le imprese che rientrano devono tenere d'occhio anche la sicurezza della propria catena di fornitura. Se fornisci servizi IT, software, manutenzione o componenti a un'impresa che rientra, è molto probabile che il tuo cliente ti faccia domande o voglia vedere delle prove. Avete un piano d'emergenza? Come proteggete gli accessi? Ci sono backup che vengono testati?

Non è un dispetto, ma il modo in cui la legge agisce su larga scala. Chi sa rispondere a queste domande con calma e onestà ha un vantaggio – anche per nuovi incarichi.

Una buona sicurezza di base, che aiuta sempre

Che tu sia interessato o no: ciò che la NIS2 richiede sono, in sostanza, compiti a casa ragionevoli. Un piano di emergenza di una pagina. Autenticazione a due fattori per l'email e gli account importanti. Backup conservati separatamente e testati. Aggiornamenti che non aspettano per mesi. E un team che sa chi chiamare quando qualcosa non quadra. Come si fanno i backup lo trovi in Il backup che ti salva davvero.

Cosa sentiamo più spesso nei colloqui

“Siamo un'impresa artigiana con dodici persone. Rientriamo?” Di norma no. L'artigianato di solito non rientra nei settori interessati e la dimensione è sotto le soglie. Ci sono eccezioni, per esempio se fate parte dell'approvvigionamento energetico.

“Siamo una piccola società di servizi IT.” Qui conviene guardare più da vicino. I servizi IT gestiti per le imprese sono un settore interessato. Se rientrate, lo decide poi soprattutto la dimensione. E anche se non rientrate: i vostri clienti ve lo chiederanno.

“Il nostro cliente vuole un'autodichiarazione. Cosa ci scriviamo?” La verità, con parole pacate. Cosa fate già, cosa avete in programma ed entro quando. Nessuno si aspetta da un'azienda di dieci persone il reparto sicurezza di un grande gruppo. Ci si aspetta che sappiate dove stanno i vostri rischi e che ci stiate lavorando.

Vuoi sapere a che punto sei? Il Mostro Audit verifica con te se la NIS2 ti riguarda e mette per iscritto in modo comprensibile ciò che ha senso fare. Per piano d'emergenza, canali di notifica e formazione c'è il Mostro Cyber.

Nota: Questo articolo offre una panoramica generale (aggiornato a: 22.10.2026) e non costituisce consulenza legale. Per il tuo caso specifico rivolgiti a un avvocato o a un'avvocata.