NIS2 e PMI manifatturiere: sei nel perimetro anche se non lo sai. La checklist in 8 punti

Se la tua azienda manifatturiera supera i 50 dipendenti o i 10 milioni di euro di fatturato, può rientrare nel perimetro della direttiva europea NIS2 sulla cybersicurezza, recepita in Italia con il decreto legislativo 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024. Molti titolari lo hanno scoperto tardi, convinti che la cybersicurezza regolamentata riguardasse solo banche, energia e telecomunicazioni. Non è così: il manifatturiero è tra i settori elencati dal decreto.

Perché ti riguarda: la NIS2 non è un adempimento informatico delegabile in blocco al fornitore IT. Il decreto assegna responsabilità dirette agli organi di amministrazione: chi guida l’azienda risponde dell’approvazione delle misure di gestione del rischio. E le sanzioni previste dal decreto arrivano, per i soggetti importanti, fino a 7 milioni di euro o all’1,4% del fatturato mondiale annuo; per i soggetti essenziali fino a 10 milioni o al 2%.

Come faccio a sapere se la mia azienda è nel perimetro?

Il criterio combina settore e dimensione. Il d.lgs. 138/2024 copre 18 settori tra “altamente critici” e “critici”: tra questi la fabbricazione di dispositivi medici, computer ed elettronica, apparecchiature elettriche, macchinari, autoveicoli e altri mezzi di trasporto, oltre a chimica e alimentare. Se operi in uno dei settori elencati negli allegati e superi le soglie della media impresa (50 addetti o 10 milioni di fatturato), la regola generale è che rientri come “soggetto importante”; le organizzazioni più grandi o più critiche sono “soggetti essenziali”.

Il punto operativo: l’autorità competente è l’Agenzia per la Cybersicurezza Nazionale, e i soggetti nel perimetro devono registrarsi sulla sua piattaforma digitale. Chi non si è mai posto il problema dovrebbe verificare subito la propria posizione, perché l’obbligo di censimento non arriva con una lettera: è l’azienda che deve autoqualificarsi.

La checklist in 8 punti

1. Verifica il settore. Controlla negli allegati del decreto se il tuo codice di attività rientra tra i settori coperti. Il manifatturiero c’è, articolato per comparti.
2. Verifica la dimensione. Sopra 50 dipendenti o 10 milioni di fatturato scatta la presunzione di inclusione. Attenzione ai gruppi: contano anche le imprese collegate.
3. Registrati (o verifica la registrazione) sulla piattaforma ACN. Il decreto prevede finestre annuali di censimento: la tua azienda potrebbe dover comparire nell’elenco anche se nessuno ti ha contattato.
4. Porta il tema in consiglio. Gli organi di amministrazione devono approvare le misure di gestione del rischio e seguire una formazione in materia. Serve una delibera, non una presa d’atto informale.
5. Mappa i sistemi, inclusi quelli di fabbrica. Il perimetro non è solo l’IT gestionale: PLC, SCADA, macchine connesse e telemanutenzione dei fornitori sono la superficie d’attacco tipica di un’azienda manifatturiera.
6. Prepara la gestione degli incidenti. La NIS2 impone la notifica degli incidenti significativi al CSIRT nazionale con tempistiche strette: la prima segnalazione entro 24 ore dalla conoscenza dell’incidente. Senza una procedura scritta e provata, quelle ore evaporano.
7. Guarda la catena di fornitura. Le misure richieste includono la sicurezza della supply chain: preparati a ricevere questionari dai clienti grandi e a girarli ai tuoi fornitori critici.
8. Documenta tutto. In caso di ispezione, ciò che non è documentato non esiste: analisi dei rischi, delibere, piani di formazione, registri degli incidenti.

Da dove partire se sei a zero?

La buona notizia: gran parte delle misure richieste coincide con l’igiene informatica che un’azienda connessa dovrebbe già avere. Autenticazione a più fattori, backup verificati, segmentazione tra rete di fabbrica e rete uffici, gestione degli accessi dei manutentori esterni. Se hai avviato progetti di raccolta dati di produzione, come suggeriscono i dati ISTAT sulla digitalizzazione, la sicurezza OT va progettata insieme, non dopo: collegare le macchine alla rete senza segmentazione significa allargare la superficie d’attacco proprio mentre l’obbligo normativo si stringe.

Un ordine di lavoro realistico per una PMI: prima l’autovalutazione del perimetro (giorni, non mesi), poi la registrazione ACN se dovuta, poi un assessment tecnico su IT e OT, infine il piano di adeguamento con priorità e budget. L’adeguamento alle misure segue le scadenze fissate dagli atti ACN: il calendario va verificato sul sito dell’Agenzia, che pubblica determinazioni e FAQ operative.

C’è infine un effetto indiretto che tocca anche chi resta fuori dal perimetro: i clienti soggetti a NIS2 devono presidiare la sicurezza dei propri fornitori, e lo faranno con questionari, clausole contrattuali e audit. Per un terzista o un subfornitore, dimostrare un livello minimo di igiene informatica sta diventando un requisito commerciale prima ancora che legale: chi risponde bene ai questionari resta in vendor list, chi non risponde esce.

In pratica:

1. Se superi 50 dipendenti o 10 milioni di fatturato e produci qualcosa, assumi di essere nel perimetro fino a prova contraria.
2. La registrazione ACN e la delibera degli amministratori sono i due atti che dimostrano che non stai ignorando l’obbligo.
3. Tratta la NIS2 come un progetto di continuità operativa, non come una pratica: un fermo di produzione da ransomware costa più di qualunque adeguamento.

Questo articolo è una guida orientativa, non una consulenza legale: per la qualificazione formale della tua azienda verifica con il tuo consulente. Sul metodo con cui trattiamo il pillar normativo, vale quanto scritto nel manifesto di Tech B2B.