NIS 2 chi è obbligato: quando un'azienda rientra

"La NIS 2 si applica anche all'azienda?" La risposta non dipende da una sensazione, ma da criteri precisi: il settore di attività, le dimensioni e, in alcuni casi, il tipo di servizio offerto.

Questo articolo illustra la logica con cui si valuta l'appartenenza al perimetro e cosa accade quando l'azienda è "solo" fornitore di un soggetto NIS.

Il quadro normativo

La NIS 2 è la Direttiva (UE) 2022/2555 del 14 dicembre 2022. L'Italia l'ha recepita con il decreto legislativo 4 settembre 2024, n. 138, pubblicato nella Gazzetta Ufficiale n. 230 del 1° ottobre 2024 ed entrato in vigore il 16 ottobre 2024.

L'autorità nazionale competente è l'Agenzia per la Cybersicurezza Nazionale (ACN), che è anche punto di contatto unico e ospita il CSIRT Italia, la struttura che riceve le notifiche degli incidenti.

Primo criterio: il settore

Il decreto elenca i settori interessati in appositi allegati. Per le imprese private i principali risultano due.

Settori ad alta criticità (Allegato I)

Comprendono, tra gli altri:

• energia (elettricità, gas, petrolio, idrogeno, teleriscaldamento);
• trasporti (aereo, ferroviario, per vie d'acqua, su strada);
• settore bancario e infrastrutture dei mercati finanziari;
• sanità;
• acqua potabile e acque reflue;
• infrastrutture digitali e gestione dei servizi TIC tra imprese, come i fornitori di servizi gestiti e di sicurezza gestita;
• spazio.

Altri settori critici (Allegato II)

Qui rientrano molte aziende manifatturiere:

• fabbricazione di dispositivi medici;
• fabbricazione di computer, prodotti di elettronica e ottica;
• fabbricazione di apparecchiature elettriche;
• fabbricazione di macchinari e apparecchiature;
• fabbricazione di autoveicoli, rimorchi e semirimorchi e di altri mezzi di trasporto;
• produzione, trasformazione e distribuzione di alimenti;
• fabbricazione e distribuzione di sostanze chimiche;
• gestione dei rifiuti, servizi postali e di corriere;
• fornitori digitali (mercati online, motori di ricerca, social network) e ricerca.

Il decreto italiano aggiunge ulteriori allegati, dedicati alle pubbliche amministrazioni e ad alcune categorie specifiche. Conta l'attività effettivamente svolta, da confrontare con la descrizione esatta riportata negli allegati.

Secondo criterio: la dimensione

Di regola la NIS 2 si applica alle medie e grandi imprese dei settori elencati, secondo i criteri della Raccomandazione 2003/361/CE della Commissione europea:

• media impresa: almeno 50 occupati, oppure superamento delle soglie di fatturato e di bilancio previste per la piccola impresa, senza raggiungere i parametri della grande impresa;
• grande impresa: almeno 250 occupati, oppure superamento congiunto delle soglie di fatturato e di bilancio previste dalla Raccomandazione.

Un dettaglio spesso trascurato: nel calcolo si considerano anche le imprese associate e collegate. Una piccola società appartenente a un gruppo può superare le soglie una volta sommati i dati.

Esistono poi soggetti che rientrano indipendentemente dalle dimensioni: ad esempio i fornitori di reti o servizi di comunicazione elettronica accessibili al pubblico, i prestatori di servizi fiduciari, i registri dei nomi di dominio di primo livello e i fornitori di servizi DNS, oltre ai soggetti individuati come critici.

Soggetti essenziali e soggetti importanti

Chi rientra nel perimetro viene classificato in una di due categorie:

• essenziali: in sintesi, le grandi imprese dei settori ad alta criticità e alcune categorie individuate dalla norma indipendentemente dalle dimensioni;
• importanti: gli altri soggetti in perimetro, ad esempio le medie imprese dei settori ad alta criticità e le medie e grandi imprese degli altri settori critici.

La distinzione ha effetti concreti. Cambiano il regime di vigilanza, l'insieme delle misure di base richieste dall'ACN e il massimale delle sanzioni: per i soggetti essenziali fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, se superiore; per i soggetti importanti fino a 7 milioni di euro o all'1,4% del fatturato mondiale annuo, se superiore.

Terzo criterio: la catena di fornitura

Molte PMI non rientrano direttamente nel perimetro, ma questo non significa che la NIS 2 non le riguardi.

I soggetti NIS devono gestire la sicurezza della catena di approvvigionamento, compresi i rapporti con i fornitori diretti. Un'azienda che fornisce beni o servizi a un soggetto essenziale o importante riceverà con buona probabilità:

• questionari di sicurezza;
• clausole contrattuali su incidenti, accessi e riservatezza;
• richieste di evidenze (politiche, procedure, risultati di verifiche tecniche);
• obblighi di informare il cliente in caso di incidente.

Nella filiera automotive lo scenario è noto: è lo stesso meccanismo che porta i fornitori all'assessment TISAX®. Arrivare preparati rappresenta un vantaggio commerciale.

La registrazione sulla piattaforma ACN

I soggetti in perimetro devono registrarsi sulla piattaforma digitale dell'ACN. Il decreto prevede una finestra annuale per la registrazione o il suo aggiornamento, dal 1° gennaio al 28 febbraio.

Sulla piattaforma si indicano, tra l'altro, i dati dell'azienda, il settore, le dimensioni e un punto di contatto, la persona che cura i rapporti con l'ACN. Dopo la registrazione l'ACN comunica l'inserimento nell'elenco dei soggetti NIS; da quella comunicazione decorrono i termini per adeguarsi agli obblighi. Per i soggetti inseriti nel 2025 i termini risultano di 9 mesi per la notifica degli incidenti e di 18 mesi per le misure di sicurezza di base; per gli inserimenti successivi valgono i termini indicati dall'ACN.

La valutazione sull'appartenenza al perimetro spetta all'azienda ed è consigliabile documentarla.

Si segnala infine che a gennaio 2026 la Commissione europea ha presentato una proposta di modifica della Direttiva NIS 2 con misure di semplificazione. Fino all'approvazione e al recepimento restano in vigore le regole attuali.

L'analisi del perimetro

L'analisi svolta da General Tech di Rosario Zappalà parte da una call gratuita di 30 minuti per raccogliere le informazioni di base: attività, codici ATECO, occupati, dati di bilancio, appartenenza a un gruppo, principali clienti. Segue il confronto dell'attività con gli allegati del decreto e la verifica delle soglie, comprese imprese associate e collegate, fino a un esito scritto e motivato: soggetto essenziale, importante, fuori perimetro oppure coinvolto come fornitore.

Se serve un percorso di adeguamento, viene formulata una proposta scritta personalizzata con attività e tempi.

Domande frequenti

Una piccola impresa è sicuramente esclusa?

Non sempre. Alcune categorie rientrano indipendentemente dalle dimensioni e, in un gruppo, i dati delle imprese collegate possono portare oltre le soglie. Resta inoltre il possibile coinvolgimento come fornitore.

Chi stabilisce se un soggetto è essenziale o importante?

La classificazione deriva dai criteri del decreto, cioè settore e dimensioni. L'azienda dichiara i dati in fase di registrazione e l'ACN comunica l'esito con l'inserimento nell'elenco.

ISO/IEC 27001 o un label TISAX bastano per la NIS 2?

Non automaticamente. Un sistema di gestione attivo è un'ottima base, ma la NIS 2 prevede obblighi propri, come la registrazione, la notifica degli incidenti e le misure di base definite dall'ACN. Serve una verifica puntuale.

Un fornitore di soggetti NIS deve registrarsi?

No, la registrazione riguarda chi rientra nel perimetro. Il fornitore dovrà però rispondere alle richieste di sicurezza del cliente, spesso inserite nel contratto.