Ti riguarda il NIS2? Il test rapido per le PMI
In Germania la legge di attuazione NIS2 si applica da dicembre 2025. Circa 29.500 imprese devono registrarsi al BSI, ma la maggior parte dei titolari non sa se la loro è una di esse. Due domande danno una prima risposta affidabile.
Il 6 dicembre 2025 è entrata in vigore in Germania la legge di attuazione NIS2 e di rafforzamento della cybersicurezza (NIS2UmsuCG). Dal 6 gennaio 2026 le imprese interessate possono registrarsi all'Ufficio federale per la sicurezza dell'informazione (BSI) tramite un nuovo portale. Secondo il BSI la legge coinvolge per la prima volta circa 29.500 enti "importanti" ed "essenziali" in Germania, molti dei quali piccole e medie imprese che non hanno mai avuto a che fare con un'autorità per la sicurezza IT.
Ne nasce un'incertezza reale. L'elenco dei settori è lungo, il linguaggio è giuridico, e la Commissione europea ha già proposto a gennaio 2026 di restringere di nuovo il campo. Questo articolo non è consulenza legale, ma due domande danno una prima lettura solida.
Domanda 1: la tua azienda opera in un settore NIS2?
Il NIS2 non si applica a tutti. Si applica solo alle imprese di un elenco definito di settori (allegati 1 e 2 della legge BSI tedesca). Gli esempi principali:
- Altamente critici: energia, trasporti, banche, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali (centri dati, provider cloud, servizi DNS, registry TLD), gestione di servizi ICT, pubblica amministrazione e spazio.
- Altri settori critici: servizi postali e di corriere, gestione dei rifiuti, produzione e distribuzione di prodotti chimici, produzione e distribuzione alimentare, manifattura (inclusi dispositivi medici, elettronica, macchinari e veicoli), servizi digitali (marketplace online, motori di ricerca, social network) e ricerca.
Se la tua azienda non opera in uno di questi settori, in generale oggi non sei direttamente obbligato dal NIS2, a prescindere dalle dimensioni. Se c'è, decide la seconda domanda.
Domanda 2: la tua azienda supera la soglia dimensionale?
Dentro un settore interessato, la dimensione è il fattore decisivo:
- Ente importante: 50 o più dipendenti, oppure 10 milioni di euro o più di fatturato annuo e totale di bilancio.
- Ente essenziale: 250 o più dipendenti, oppure più di 50 milioni di euro di fatturato annuo, o più di 43 milioni di euro di totale di bilancio. Alcuni ruoli contano sempre come essenziali a prescindere dalle dimensioni: operatori di infrastrutture critiche, fornitori di servizi fiduciari qualificati, registry TLD, fornitori di servizi DNS, e fornitori di reti o servizi di telecomunicazione pubblici con 50 o più dipendenti.
Se la tua azienda sta sotto queste soglie, in generale oggi sei esente dalla registrazione diretta, anche se il tuo settore è interessato. Per una valutazione vincolante, il BSI mette a disposizione un albero decisionale ufficiale (solo in tedesco).
Cosa devono fare concretamente le imprese interessate?
- Registrarsi. Non più tardi di tre mesi dal primo momento di interessamento, tramite il portale del BSI, con un certificato di organizzazione ELSTER e un account aziendale.
- Attuare misure di gestione del rischio. Include un'analisi dei rischi documentata, un processo di gestione degli incidenti, pianificazione della continuità operativa, controlli di base come autenticazione a più fattori e cifratura, e una valutazione della sicurezza della propria catena di fornitura.
- Segnalare gli incidenti. Gli incidenti di sicurezza significativi richiedono una segnalazione iniziale entro 24 ore, con un report completo entro un mese.
- Prendere sul serio la responsabilità. Per gli enti essenziali la direzione è personalmente responsabile dell'attuazione degli obblighi di gestione del rischio.
E se non sono direttamente interessato?
Due ragioni per cui conta comunque. Prima: le aziende soggette a NIS2 hanno l'obbligo legale di valutare la sicurezza della propria catena di fornitura. Se fornisci a un'organizzazione più grande e regolamentata, questionari di sicurezza e richieste di prove diventeranno parte del normale approvvigionamento nei prossimi mesi, anche senza un tuo obbligo di registrazione. Seconda: la Commissione europea ha proposto modifiche il 20 gennaio 2026 che aggiusteranno ulteriormente il campo. Le regole si stanno ancora muovendo, un ricontrollo tra qualche mese vale la pena.
A prescindere dallo stato giuridico, la realtà di fondo non è cambiata: secondo l'Hiscox Cyber Readiness Report 2026, il 31% delle PMI tedesche ha già subito un attacco riuscito o rilevato un tentativo, il 33% ha visto la propria sopravvivenza seriamente minacciata, l'interruzione media è durata 41,7 ore, e il 29% non aveva alcuna copertura assicurativa. NIS2 o no, la superficie di attacco è reale.
Il primo passo pragmatico
Che tu sia obbligato a registrarti o no, una vista attuale della tua superficie di attacco esterna è il punto di partenza più utile. Noroshi monitora automaticamente le aree che contano sia per una valutazione del rischio NIS2 sia per un attacco reale: security header HTTP, certificati TLS, autenticazione e-mail (SPF, DKIM, DMARC), porte aperte, software non aggiornato e domini lookalike che potrebbero essere usati per fare phishing del tuo marchio.
Crea un account gratuito, aggiungi il tuo dominio e vedi il tuo punteggio di sicurezza attuale in pochi minuti. Piano gratuito, senza carta di credito.
Domande e risposte
Qual è la differenza tra ente "importante" ed ente "essenziale"?
Le due categorie portano gli stessi obblighi (registrazione, gestione del rischio, segnalazione degli incidenti). La differenza è la sorveglianza: gli enti essenziali subiscono controlli proattivi, gli enti importanti vengono tipicamente verificati solo dopo un incidente o una segnalazione.
Devo registrarmi al BSI se la mia azienda è piccola?
Solo se operi in uno dei settori NIS2 E superi la soglia dimensionale, in generale 50 dipendenti oppure 10 milioni di euro di fatturato annuo e totale di bilancio. Le micro-imprese sotto quella soglia di solito non sono direttamente obbligate alla registrazione.
Cosa succede se ignoro il NIS2 pur essendone interessato?
Il BSI può infliggere sanzioni, e per gli enti essenziali la direzione è personalmente responsabile dell’attuazione dei requisiti. Una registrazione mancata di solito emerge durante un audit o un incidente di sicurezza, momento in cui si applicano tutte le conseguenze.
Non sono direttamente interessato, perché dovrebbe interessarmi?
Le aziende soggette a NIS2 hanno l’obbligo legale di valutare la sicurezza della propria catena di fornitura. Se fornisci a un’organizzazione più grande e regolamentata, questionari di sicurezza e richieste di prove diventeranno parte del normale approvvigionamento nei prossimi mesi.
Entro quando devo registrarmi se sono interessato?
Non più tardi di tre mesi dal momento in cui la tua azienda soddisfa per la prima volta i criteri di ente importante o essenziale, tramite il portale di registrazione del BSI con un certificato di organizzazione ELSTER.
Scritto da David Hildering, l'ingegnere dietro Noroshi. Di più su Noroshi.