Quanto costa adeguarsi alla NIS2: voci, fattori e tempi

Non c'è un prezzo unico per adeguarsi alla NIS2: la spesa dipende da quattro fattori, cioè la categoria in cui ACN ti ha inserito, quanto manca rispetto alle misure di base, l'ampiezza del perimetro e cosa fai in casa o compri come servizio. Il D.Lgs. 138/2024 (art. 24) chiede infatti misure proporzionate a rischi e dimensioni, tenendo conto dei costi di attuazione. Una stima pubblica di riferimento è quella della Commissione europea del 2020: fino al 22% in più di spesa per la sicurezza ICT nei primi anni per chi entra per la prima volta nel perimetro.

Qui trovi le voci che compongono il costo, cosa le fa salire o scendere, quanto conta il calendario e come chiedere un preventivo che si possa confrontare. Il percorso fase per fase è in adeguamento NIS2: la roadmap pratica; il quadro della norma nella guida completa alla NIS2.

Perché non esiste un listino

L'art. 24 del D.Lgs. 138/2024 chiede misure tecniche, operative e organizzative adeguate e proporzionate. Alla lettera a) indica tra i criteri lo stato dell'arte e i costi di attuazione; alla lettera b) lega le misure al grado di esposizione ai rischi, alle dimensioni del soggetto, alla probabilità e alla gravità degli incidenti. L'art. 31 aggiunge che ACN stabilisce obblighi proporzionati e tempi graduali, distinguendo anche per settore, categoria e grado di maturità iniziale.

Tradotto in budget: due aziende dello stesso fatturato possono avere conti molto diversi, perché partono da punti diversi e hanno perimetri diversi. Chi ti dà un prezzo prima di sapere in quale categoria sei e cosa hai già, sta stimando un'azienda media che non esiste.

Il riferimento pubblico: la stima della Commissione europea

Quando ha proposto la direttiva NIS2, nel dicembre 2020, la Commissione europea ha stimato nella relazione alla proposta COM(2020) 823 un aumento massimo del 22% della spesa corrente per la sicurezza ICT nei primi anni, per le imprese che sarebbero entrate nel perimetro. Per chi era già soggetto alla prima direttiva NIS l'aumento stimato era del 12%. La stessa relazione mette a fronte di questa spesa una riduzione dei costi degli incidenti stimata in 118 miliardi di euro in dieci anni. Fonte: proposta COM(2020) 823, EUR-Lex.

Due cautele nel leggerla. È una media europea calcolata sulla proposta, prima che il testo definitivo e il decreto italiano fissassero il perimetro. Ed è una percentuale sulla spesa di sicurezza che già sostieni: se oggi quella spesa è vicina a zero, il 22% non ti dice molto. Serve come ordine di grandezza per il consiglio di amministrazione, non come preventivo.

Le voci che compongono il costo

Una tantum, nella fase di adeguamento

• Verifica del perimetro e della categoria. Settore, dimensione, società del gruppo: decide quale allegato ACN si applica e quindi quanto lavoro c'è. I criteri sono in a chi si applica la NIS2.
• Gap analysis sui requisiti ACN. La misura di cosa c'è e cosa manca, requisito per requisito. Come si fa è spiegato in gap analysis NIS2: cosa serve e come si fa.
• Piano e documentazione. Politiche, procedure, registri, requisiti verso i fornitori, processo di gestione degli incidenti.
• Interventi tecnici. Quello che il gap fa emergere: autenticazione a più fattori, backup e ripristino, gestione delle vulnerabilità, controllo degli accessi. Qui sta di solito la parte più variabile.
• Formazione degli organi di amministrazione. È un obbligo dell'art. 23 c. 2, che chiede anche di promuovere una formazione periodica coerente per i dipendenti.

Ricorrenti, ogni anno

• Rilevamento e gestione degli incidenti. L'art. 25 chiede una pre-notifica al CSIRT Italia entro 24 ore da quando sei venuto a conoscenza di un incidente significativo e una notifica entro 72 ore. Per rispettarlo serve qualcuno che se ne accorga, anche di notte e nel fine settimana: è una capacità continua, non un documento.
• Manutenzione delle misure. Aggiornamento dell'analisi dei rischi, verifica dell'efficacia delle misure (art. 24 c. 2 lett. f), riesame dei fornitori.
• Adempimenti verso ACN. La registrazione sulla piattaforma si aggiorna ogni anno (art. 7).
• Formazione periodica del vertice e del personale.

Quella che non arriva in fattura

Il tempo delle tue persone: chi raccoglie le evidenze, chi risponde alle interviste, chi porta il piano in consiglio. In molti progetti è la voce più grande, e nessun preventivo esterno la contiene.

Cosa fa salire o scendere la spesa

La categoria: essenziale o importante

Secondo la Guida alla lettura delle specifiche di base pubblicata da ACN, le misure di sicurezza di base sono 37 con 87 requisiti per i soggetti importanti e 43 con 116 requisiti per i soggetti essenziali. Più requisiti significa più evidenze da produrre e più controlli da mantenere. Anche le sanzioni cambiano con la categoria, come vediamo più sotto.

Il punto di partenza

La differenza fra il 12% e il 22% nella stima della Commissione dice proprio questo: chi ha già un impianto di sicurezza organizzato spende meno di chi parte da zero. Se hai una ISO/IEC 27001, una parte del lavoro è già fatta, ma non tutto si sovrappone: il confronto è in NIS2 vs ISO 27001. Un buon fornitore mappa quello che hai invece di ricominciare.

Il perimetro tecnico

Numero di sedi, società del gruppo, sistemi e fornitori critici. Pesano molto anche i sistemi vecchi e gli ambienti industriali: nel rapporto NIS Investments 2025 di ENISA i vincoli operativi, come sistemi legacy e limiti dell'OT, sono l'ostacolo all'attuazione dei controlli NIS2 citato più spesso (27% delle organizzazioni).

Le aree tecniche più impegnative

Lo stesso rapporto ENISA indica le aree in cui le organizzazioni trovano più difficile allinearsi alla NIS2: gestione delle vulnerabilità e delle patch (50%), continuità operativa e disaster recovery (49%), rischio della catena di fornitura (37%). Se il tuo gap si concentra lì, aspettati che il costo si concentri lì.

Fare in casa o comprare come servizio

Le competenze sono la voce più difficile da comprare. ENISA rileva che il 76% delle organizzazioni fatica ad attrarre professionisti di sicurezza e il 71% a trattenerli, e che la spesa si sta spostando verso tecnologia e servizi esterni più che verso l'ampliamento dei team interni. Il criterio pratico: le attività una tantum si comprano a progetto, le capacità continue, come il rilevamento degli incidenti, conviene valutarle come servizio prima di decidere di assumere.

Quanto spendono le organizzazioni nel perimetro NIS

Un dato di contesto, da usare con prudenza. Nel rapporto NIS Investments 2025, ENISA riporta che la spesa per la cybersicurezza vale il 9% del budget IT, con una mediana di 1,5 milioni di euro. Il campione è di 1.080 professionisti di organizzazioni europee nei settori NIS, per l'83% grandi imprese: per un'azienda mid-market quella mediana è alta, mentre la quota sul budget IT è un riferimento più utile. ENISA indica anche che per il 70% delle organizzazioni la conformità normativa (NIS2, CRA, DORA) è stata il principale motore degli investimenti in sicurezza.

I tempi, e perché incidono sul costo

Il termine per adottare le misure di base dipende dall'anno di inserimento nell'elenco NIS. Per chi è in elenco dal 2025, ACN indica diciotto mesi dalla comunicazione, cioè ottobre 2026: il termine è arrivato, e la domanda utile non è più quanto costa ma cosa manca e come lo documenti. Per chi è stato inserito nel corso del 2026, la Determinazione ACN 127434/2026 fissa il termine al 31 luglio 2027. Il calendario completo è in scadenze NIS2 e adempimenti ACN.

Il calendario pesa sul conto in due modi. Tra la scelta di una misura, la sua attivazione e le prime evidenze passano mesi, quindi chi parte tardi comprime il lavoro e paga di più per farlo in fretta. E alcune voci, come il rilevamento continuo, hanno tempi di avvio propri che non si accorciano firmando prima. Nella nostra esperienza su aziende mid-market la gap analysis richiede settimane, non mesi, se il perimetro è deciso prima di cominciare: è il primo passo che ti dà una stima vera.

Il costo di non adeguarsi

Le sanzioni dell'art. 38 c. 9 del D.Lgs. 138/2024 sono amministrative. Per i soggetti essenziali, escluse le pubbliche amministrazioni, arrivano fino a 10 milioni di euro o al 2% del fatturato annuo mondiale dell'esercizio precedente, se superiore, con un minimo pari a un ventesimo del massimo. Per i soggetti importanti, fino a 7 milioni di euro o all'1,4%, con un minimo pari a un trentesimo. Per l'art. 23 gli organi di amministrazione sono responsabili delle violazioni. Il dettaglio è in sanzioni NIS2.

Poi c'è l'incidente stesso: secondo il comunicato IBM Italia sul Cost of a Data Breach Report 2026, il costo medio di una violazione di dati in Italia è di 3,55 milioni di euro, contro i 3,31 dell'anno prima. Non è un argomento per spendere di più, è il termine di paragone per decidere dove spendere.

Come chiedere un preventivo confrontabile

1. Su quale allegato della Determinazione ACN 379907/2025 è calcolato, cioè per soggetto essenziale o importante?
2. Quali attività sono una tantum e quali ricorrenti, e quanto costa il secondo anno?
3. La gap analysis è inclusa, e consegna un esito per requisito con le evidenze?
4. Gli interventi tecnici sono stimati o esclusi? Se esclusi, chi li stima e quando?
5. Chi copre il rilevamento degli incidenti e la pre-notifica entro 24 ore?
6. Quanto tempo interno ci chiedete, e da quali ruoli?

Se due offerte rispondono a queste domande, le puoi confrontare. Su come scegliere chi ti accompagna trovi i criteri in consulenza NIS2: come scegliere il consulente.

In sintesi

Il costo dell'adeguamento NIS2 non si legge in un listino: lo fanno la categoria, il punto di partenza, il perimetro e la scelta fra fare in casa e comprare come servizio. La stima della Commissione europea del 2020 parla di un aumento della spesa di sicurezza fino al 22% nei primi anni per chi entra per la prima volta. Il modo più rapido per avere una cifra sul tuo caso è partire dal perimetro: se non sai ancora se e come rientri, il NIS2 check te lo dice in pochi minuti.

Se vuoi una stima costruita sul tuo perimetro e sui requisiti che ti riguardano, guarda come lavoriamo nei nostri servizi NIS2.