La direttiva europea NIS2, recepita in Italia con il decreto legislativo 138 del 2024, è entrata quest'anno nella fase in cui le regole vanno applicate davvero. Da gennaio 2026 la notifica degli incidenti al CSIRT Italia è pienamente operativa, e le misure di sicurezza di base indicate dall'Agenzia per la cybersicurezza nazionale, l'ACN, devono essere adottate entro il 31 ottobre 2026.
Perché se ne parla
Nel primo semestre dell'anno, secondo i dati diffusi dall'ACN, il CSIRT Italia ha gestito 2.171 eventi cyber, il 47 per cento in più dello stesso periodo del 2025. L'agenzia precisa però che l'aumento dipende soprattutto dal fatto che l'obbligo di notifica ha reso visibili incidenti che prima non emergevano, e non da un peggioramento uguale delle minacce. Restano comunque gli attacchi ransomware, che colpiscono in particolare manifattura, telecomunicazioni e sanità.
A chi si applica
La direttiva riguarda soggetti essenziali e importanti di molti settori, come energia, trasporti, sanità, servizi digitali e manifattura, in base a dimensione e attività. Una piccola impresa può esservi soggetta direttamente oppure indirettamente, se lavora come fornitore di un cliente che deve rispettarla e le chiede requisiti di sicurezza.
Che cosa si può fare subito
Anche senza obblighi formali, alcune misure sono semplici e molto efficaci. Fare copie di sicurezza regolari e provarle. Tenere aggiornati sistemi e programmi. Usare la verifica in due passaggi per posta e servizi importanti. Limitare chi ha diritti di amministratore. Avere un elenco dei dispositivi e sapere chi chiamare in caso di problema.
Un ruolo pratico
Per un negozio, uno studio professionale o una piccola azienda, il primo passo utile è capire in che condizione sono computer e rete. Un controllo tecnico e un piano di backup costano poco rispetto a un fermo di lavoro. Per sapere se rientri nella normativa conviene sentire il proprio consulente, ma la parte informatica possiamo affiancartela noi.