La direttiva NIS2 ha cambiato il perimetro della cybersicurezza in Europa: non riguarda più soltanto banche, energia e telecomunicazioni, ma anche il settore manifatturiero. Con il recepimento italiano (D.Lgs. 138/2024, in vigore da ottobre 2024) migliaia di aziende produttive sono diventate soggetti con obblighi formali di sicurezza, registrazione e notifica degli incidenti all’ACN, l’Agenzia per la Cybersicurezza Nazionale.

Per le PMI manifatturiere dell’Emilia-Romagna il tema è concreto e urgente: meccanica, packaging, biomedicale e componentistica automotive rientrano quasi sempre nei settori elencati dal decreto, e le scadenze operative arrivano proprio nel 2026. Questa guida risponde a tre domande: la mia azienda rientra? Cosa deve fare esattamente? Da dove partire senza stravolgere il budget IT?

Cos’è la NIS2 e perché riguarda il manifatturiero

La NIS2 è la direttiva europea 2022/2555 sulla sicurezza delle reti e dei sistemi informativi, recepita in Italia con il decreto legislativo 138/2024. Rispetto alla prima NIS del 2016 estende enormemente il perimetro: dai pochi operatori di servizi essenziali si passa a decine di migliaia di organizzazioni, classificate come soggetti essenziali o soggetti importanti a seconda di settore e dimensione. L’autorità nazionale competente è l’ACN, che gestisce la piattaforma di registrazione, riceve le notifiche di incidente e ha definito le misure di sicurezza di base con la determinazione 379907/2025, applicabile dal 15 gennaio 2026, che ha sostituito quella di aprile 2025.

Il punto che molte PMI ignorano è che la fabbricazione compare esplicitamente nell’Allegato II del decreto. Non serve gestire un acquedotto o una centrale elettrica: costruire macchine automatiche, quadri elettrici o dispositivi medicali basta per entrare nel perimetro, se si superano le soglie dimensionali. Nello stesso allegato compaiono anche chimica, alimentare, gestione dei rifiuti e servizi postali.

La tua azienda rientra? I tre controlli da fare

Primo controllo: il settore. Le attività di fabbricazione incluse nell’Allegato II sono queste, con gli esempi tipici del territorio emiliano.

Attività di fabbricazione (Allegato II)	Esempi tipici in Emilia-Romagna
Dispositivi medici e medico-diagnostici in vitro	Distretto biomedicale di Mirandola
Computer, elettronica e ottica	Elettronica industriale, sensoristica, automazione
Apparecchiature elettriche	Quadristica, motori, azionamenti
Macchinari e apparecchiature n.c.a.	Packaging, macchine automatiche, impianti per la ceramica
Autoveicoli, rimorchi e semirimorchi	Filiera automotive e Motor Valley
Altri mezzi di trasporto	Nautica, ferroviario

Secondo controllo: la dimensione. Il decreto si applica alle imprese con almeno 50 dipendenti oppure con fatturato annuo e totale di bilancio superiori a 10 milioni di euro. Nel manifatturiero questo significa quasi sempre la qualifica di soggetto importante. Sotto le soglie in genere si resta fuori dal perimetro formale, salvo i casi particolari individuati direttamente dall’ACN.

Terzo controllo: la catena di fornitura. Anche chi è formalmente fuori perimetro può trovarsi dentro il meccanismo, e da aprile 2026 non più solo per via contrattuale. L’art. 24 impone ai soggetti NIS di presidiare la sicurezza dei propri fornitori, e da lì nascono i questionari, le clausole contrattuali e gli audit che molti subfornitori emiliani stanno già ricevendo dai clienti più strutturati. La determinazione ACN 127437/2026 ha aggiunto un passaggio formale: ogni soggetto NIS deve elencare i propri fornitori rilevanti sulla piattaforma dell’Agenzia, dentro la finestra dell’aggiornamento annuale dal 15 aprile al 31 maggio. Sono rilevanti i fornitori la cui fornitura è di natura ICT, come gestione di reti, sicurezza, accessi remoti e teleassistenza, e quelli non fungibili, la cui interruzione comprometterebbe in modo significativo l’attività; per ciascuno si comunicano denominazione, codice fiscale, paese della sede legale, codici CPV e criterio di rilevanza. Per un’azienda manifatturiera in perimetro la conseguenza è diretta: chi vi gestisce rete, firewall e teleassistenze è con ogni probabilità un fornitore rilevante da dichiarare, e la solidità delle sue pratiche di sicurezza entra formalmente nel vostro dossier di conformità.

Chi rientra nel perimetro deve registrarsi sulla piattaforma ACN nella finestra annuale dal 1° gennaio al 28 febbraio. La mancata registrazione è sanzionata autonomamente.

Obblighi e scadenze: cosa va fatto e quando

La NIS2 non è delegabile in blocco al fornitore IT: il decreto assegna la responsabilità agli organi di amministrazione, che approvano le modalità di gestione dei rischi, ne sovrintendono l’attuazione e rispondono delle violazioni. È prevista anche formazione obbligatoria per i vertici. Sul piano operativo, l’art. 24 richiede misure tecniche, operative e organizzative proporzionate al rischio in dieci aree.

Area richiesta dall’art. 24	Cosa significa in pratica
Analisi dei rischi e politiche di sicurezza	Valutazione periodica dei rischi su sistemi IT e OT, policy approvate dalla direzione
Gestione degli incidenti	Procedura scritta: rilevazione, classificazione, risposta e notifica ACN nei tempi previsti
Continuità operativa	Backup verificati, disaster recovery, gestione delle crisi
Sicurezza della catena di approvvigionamento	Requisiti verso fornitori e manutentori, teleassistenze regolamentate
Sicurezza di reti e sistemi	Acquisizione, sviluppo e manutenzione sicuri, gestione di vulnerabilità e patch
Valutazione dell’efficacia	Verifiche periodiche delle misure: assessment, audit, test
Igiene informatica e formazione	Pratiche di base (aggiornamenti, minimo privilegio) e formazione del personale
Crittografia	Cifratura dei dati dove appropriato e gestione delle chiavi
Sicurezza del personale e controllo degli accessi	Gestione delle identità, accessi nominali, gestione degli asset
Autenticazione a più fattori e comunicazioni sicure	MFA sugli accessi critici, canali di comunicazione protetti

Sul fronte incidenti, i tempi di notifica verso l’ACN sono stringenti e vanno rispettati tramite la piattaforma dedicata.

Adempimento	Termine	Contenuto
Pre-allarme	Entro 24 ore dalla conoscenza dell’incidente significativo	Segnalazione iniziale, sospetta origine illecita, possibile impatto transfrontaliero
Notifica completa	Entro 72 ore	Valutazione iniziale di gravità e impatto, indicatori di compromissione
Relazione finale	Entro 1 mese dalla notifica	Descrizione dettagliata, causa, misure adottate, impatto effettivo

Le sanzioni per i soggetti importanti arrivano fino a 7 milioni di euro o all’1,4% del fatturato annuo mondiale, se superiore (10 milioni o 2% per gli essenziali). La mancata registrazione è sanzionata a parte: fino allo 0,07% del fatturato per i soggetti importanti e fino allo 0,1% per gli essenziali. A queste si aggiunge la responsabilità personale degli amministratori.

Le cinque aree tecniche dove le PMI manifatturiere falliscono più spesso

La NIS2 non chiede tecnologie esotiche: chiede controllo. Nei plessi produttivi gli scostamenti ricorrenti sono quasi sempre gli stessi cinque.

1. Segmentazione tra rete IT e rete OT

In molti stabilimenti la rete di produzione è nata come estensione della LAN uffici: stessi switch, stessa VLAN, PLC e pannelli operatore raggiungibili da qualsiasi PC amministrativo. Per la NIS2 è il primo scostamento da sanare. Il riferimento tecnico è il modello a zone e condotti della IEC 62443: VLAN dedicate per celle o reparti, firewall tra zona ufficio e zona produzione con politica deny-by-default, allow-list dei soli flussi necessari (MES, supervisione, storicizzazione) e una DMZ industriale per lo scambio dati con ERP e sistemi esterni. Abbiamo descritto l’approccio completo nella guida alla progettazione delle reti industriali IT/OT.

2. Accessi remoti dei manutentori

È il vettore più sfruttato in fabbrica: la teleassistenza del costruttore della macchina, attiva 24 ore su 24 tramite desktop remoto o router 4G installato a bordo impianto e mai censito. La NIS2 lo inquadra come rischio di catena di approvvigionamento. Le contromisure: VPN con autenticazione a più fattori, accessi nominali abilitati su richiesta e a scadenza, un jump host che media le sessioni verso le macchine, registrazione delle attività e disattivazione di default al termine dell’intervento.

3. Identità e autenticazione a più fattori

L’MFA è richiesta espressamente tra le misure dell’art. 24. Le priorità: VPN e qualunque accesso remoto, posta elettronica, gestionali e portali esposti su internet, account amministrativi di dominio e degli apparati di rete. Vanno poi gestiti i cicli di vita: account nominali, disattivazione immediata dei cessati, credenziali di servizio censite e ruotate, privilegi amministrativi separati dall’utenza quotidiana.

4. Backup e continuità operativa

La regola 3-2-1 resta la base: tre copie, due supporti diversi, una fuori sede. La NIS2 aggiunge due requisiti spesso trascurati: almeno una copia offline o immutabile, fuori dalla portata di un ransomware che ha compromesso il dominio, e obiettivi di ripristino (RPO e RTO) definiti anche per i sistemi di fabbrica. Un MES fermo ferma le linee: il tempo di ripristino va misurato con test di restore periodici e documentati, non stimato.

5. Monitoraggio e gestione degli incidenti

Per notificare un incidente entro 24 ore bisogna prima accorgersene. Servono log centralizzati di firewall, apparati e server con retention adeguata, allarmi sugli eventi critici e una procedura scritta di gestione degli incidenti che definisca ruoli, canale di notifica verso la piattaforma ACN e tempi da rispettare. La procedura va provata a tavolino almeno una volta, prima di doverla usare davvero.

Piano d’azione in 90 giorni

Fase	Attività	Output
Settimane 1-2	Verifica del perimetro (settore e soglie), censimento asset IT e OT, gap analysis rispetto alle misure di base ACN	Perimetro documentato, inventario, lista degli scostamenti
Settimane 3-6	Analisi dei rischi, definizione delle policy (accessi, backup, incident response), piano di trattamento con priorità	Documento di analisi dei rischi, policy approvate dalla direzione
Settimane 7-12	Implementazione delle misure prioritarie (segmentazione, MFA, backup, accessi remoti), formazione, test della procedura di notifica	Misure attive e verificabili, personale formato, procedura collaudata

Il punto di partenza realistico per una PMI è la fotografia dello stato attuale: un security assessment dell’infrastruttura che censisca asset, configurazioni e scostamenti rispetto alle misure di base ACN, e li trasformi in un piano di intervento con priorità e costi. Da lì le misure si implementano in ordine di rischio, non in ordine di catalogo.

Domande frequenti sulla NIS2 per le PMI manifatturiere

La mia azienda produce macchinari e ha più di 50 dipendenti: rientra nella NIS2?

Sì, con ogni probabilità. La fabbricazione di macchinari e apparecchiature rientra nei settori dell’Allegato II del D.Lgs. 138/2024 e la soglia dimensionale scatta con almeno 50 dipendenti oppure con fatturato annuo e totale di bilancio superiori a 10 milioni di euro. In questo caso l’azienda è classificata come soggetto importante: deve registrarsi sul portale ACN nella finestra annuale, adottare le misure di sicurezza previste e notificare gli incidenti significativi.

Quali sono le scadenze NIS2 da rispettare nel 2026?

Per i soggetti censiti dall’ACN nella primavera 2025 gli obblighi di notifica degli incidenti sono attivi da inizio 2026, mentre le misure di sicurezza di base, oggi definite dalla determinazione ACN 379907/2025, vanno implementate entro 18 mesi dalla comunicazione, termine che per quella platea cade in ottobre 2026. Chi è entrato nell’elenco per la prima volta nel 2026 segue invece il calendario della determinazione 127434/2026: referente CSIRT entro il 31 dicembre 2026, notifica degli incidenti dal 1° gennaio 2027 e misure di sicurezza di base entro il 31 luglio 2027. Chi rientra nel perimetro e non si è ancora registrato deve farlo nella prossima finestra della piattaforma ACN, dal 1° gennaio al 28 febbraio 2027.

Cosa rischia una PMI manifatturiera che non si adegua alla NIS2?

Per i soggetti importanti le sanzioni arrivano fino a 7 milioni di euro o all’1,4% del fatturato annuo mondiale, se superiore. La mancata registrazione sul portale ACN è sanzionata autonomamente, fino allo 0,07% del fatturato per i soggetti importanti. Il decreto prevede inoltre la responsabilità diretta degli organi di amministrazione, che approvano le misure di gestione del rischio e ne seguono l’attuazione. A questo si aggiunge il rischio commerciale: i clienti soggetti a NIS2 stanno già selezionando i fornitori anche in base alla sicurezza.

Sono sotto le soglie NIS2: perché i clienti mi chiedono comunque requisiti di sicurezza?

Perché la NIS2 obbliga chi è nel perimetro a presidiare la sicurezza della propria catena di approvvigionamento. Un cliente soggetto al decreto deve valutare i rischi introdotti dai fornitori e lo fa con questionari, clausole contrattuali e audit. Una PMI fuori perimetro che vuole continuare a lavorare con clienti strutturati deve quindi dimostrare misure equivalenti: segmentazione della rete, autenticazione a più fattori, backup verificati e una procedura di gestione degli incidenti.

Il mio fornitore IT deve essere dichiarato all’ACN?

Se la tua azienda è un soggetto NIS, con ogni probabilità sì. La determinazione ACN 127437/2026 richiede di elencare i fornitori rilevanti nell’aggiornamento annuale delle informazioni sulla piattaforma, tra il 15 aprile e il 31 maggio di ogni anno: rientrano le forniture di natura ICT, come la gestione di reti, sicurezza e teleassistenze, e quelle non fungibili, la cui interruzione comprometterebbe l’attività. Non è il fornitore a doversi dichiarare: è il soggetto NIS che lo elenca, indicando denominazione, codice fiscale, paese della sede legale, codici CPV e criterio di rilevanza. È anche un buon motivo per valutare le pratiche di sicurezza di chi gestisce la vostra infrastruttura, a partire da un assessment di sicurezza IT.

Come scegliere un system integrator IT per una PMI manifatturiera soggetta a NIS2?

I criteri chiave sono quattro: competenze sia sulla rete IT sia sull’ambiente OT di fabbrica, perché in produzione la NIS2 si gioca su segmentazione e accessi alle macchine; certificazioni verificabili sui vendor di networking e security, come Cisco e Fortinet; esperienza documentata nel manifatturiero, con progetti reali e non solo listini; capacità di partire da un security assessment con report operativo. La vicinanza territoriale aiuta nelle attività in stabilimento: Netframe opera in tutta l’Emilia-Romagna con sede a Modena.

La NIS2 per una PMI manifatturiera non è un progetto fuori scala: è un percorso pianificabile in 90 giorni, che parte dalla conoscenza della propria rete e arriva a misure verificabili. Se vuoi capire dove sei rispetto alle misure di base ACN, il security assessment di Netframe è il primo passo: fotografia dell’infrastruttura IT e OT, scostamenti e piano di intervento con priorità.

Fonti

• Normattiva, Decreto Legislativo 4 settembre 2024, n. 138 (testo vigente)
• Gazzetta Ufficiale, D.Lgs. 138/2024, pubblicazione del 1° ottobre 2024 (24G00155)
• Direttiva (UE) 2022/2555 del Parlamento europeo e del Consiglio, testo consultabile su EUR-Lex
• Agenzia per la Cybersicurezza Nazionale, NIS, Network and Information Security
• Agenzia per la Cybersicurezza Nazionale, Modalità e specifiche di base
• Agenzia per la Cybersicurezza Nazionale, Domande frequenti NIS, misure e notifiche di base
• Agenzia per la Cybersicurezza Nazionale, Le determine sugli adempimenti per i nuovi soggetti NIS
• IEC 62443, serie di norme sulla sicurezza dei sistemi di automazione e controllo industriale

Fonti verificate il 10 agosto 2026. Il quadro attuativo NIS italiano si aggiorna con frequenza: alla determinazione 379907 del 19 dicembre 2025 sono seguite, il 13 aprile 2026, la 127434/2026 sui termini per i nuovi soggetti e la 127437/2026, che aggiorna le modalità di utilizzo della piattaforma e introduce l’elencazione dei fornitori rilevanti e la categorizzazione di attività e servizi. Verifica sempre sul portale ACN quali determinazioni sono vigenti alla data in cui leggi.