La domanda che arriva più spesso dai titolari e dagli IT manager di PMI non è «cos’è la NIS2», ma: noi ci rientriamo o no? Qui sotto trovi cinque punti operativi per orientarti — senza panico e senza checklist da slide.
Contenuto informativo tecnico. Non sostituisce una valutazione legale personalizzata sull’ambito soggettivo.
1. Parti dal settore, non dal marketing
Il recepimento italiano (D.lgs. 138/2024) collega l’obbligo a settori e tipi di servizio, non al fatto che «fai IT». Se sei in filiere energetiche, trasporti, sanità, digitale, manifattura critica o fornisci servizi essenziali a chi c’è già dentro, il rischio di rientro sale.
Se sei una PMI di servizi generici senza legami con infrastrutture o clienti regolati, potresti restare fuori — ma verifica lo stesso se hai contratti enterprise che ti chiedono requisiti NIS2 «a cascata».
2. Dimensione e soglie: non sono un dettaglio
Oltre al settore contano dipendenti, fatturato e bilancio. Molte imprese «medie» scoperte di esserlo solo quando arriva un questionario dal cliente automotive o dal gruppo estero. Prima di dire «siamo troppo piccoli», metti i numeri sul tavolo e confrontali con le soglie del decreto e degli allegati di settore.
3. Guarda la supply chain, non solo il tuo perimetro
Anche fuori dall’elenco formale, puoi essere fornitore critico: hosting, MSP, software gestionale, manutenzione OT, backup, SOC esterno. In quel caso non «diventi NIS2» da solo, ma ti chiedono evidenze: accessi, patch, logging, continuità, notifica incidenti.
Se ricevi già questi questionari, il tema non è teorico: è commerciale.
4. «Misure adeguate» non è una checklist da stampare
La norma parla di misure proporzionate al rischio. Traduzione operativa: non ti salva un PDF di policy se i server sono esposti, gli account admin sono condivisi e non sai chi ha accesso VPN. Serve una fotografia tecnica — inventory, esposizioni, patch, backup verificati, account privilegiati — e un ordine di intervento.
Su ITSOS questo pezzo si collega al percorso Audit di sicurezza e, quando serve, al gap analysis NIS2.
5. Se non hai visibilità continua, parti da lì
Molte PMI scoprono di «rientrare» (o di dover dimostrare qualcosa) senza sapere cosa succede sui propri server. Prima della carta normativa serve visibilità: eventi, alert, escalation. È il ruolo di un monitoring proporzionato — non di un SOC enterprise 24/7 inventato.
Per questo in parallelo ha senso guardare 003 Intelligence e il hub Cybersecurity.
Cosa fare questa settimana
- Scrivi in una pagina: settore, clienti regolati, servizi IT critici che vendi o usi.
- Elenca server, cloud, VPN e chi ha privilegi admin.
- Se un cliente ti ha già chiesto NIS2, conserva il questionario: è la mappa di cosa dovrai dimostrare.
- Se i numeri o la filiera sono ambigui, fai una call di scope — non una «consulenza gratis» da marketing.
Per un confronto concreto sul perimetro: contatti ITSOS oppure la pagina Analisi gap NIS2.