Stabilire a chi si applica la NIS2 è la prima verifica che un’azienda italiana deve fare, ed è meno immediata di quanto sembri. Non esiste un elenco di codici ATECO da consultare, non basta guardare il settore e non basta contare i dipendenti. Il D.Lgs 138/2024 combina tre criteri, la giurisdizione, la dimensione dell’organizzazione e le attività effettivamente svolte. Prevede inoltre una lunga serie di eccezioni che possono attrarre nel perimetro anche imprese piccole o portarne fuori di grandi. Questa guida ricostruisce i criteri uno per uno, spiega la differenza fra soggetti essenziali e soggetti importanti e ripercorre il processo di autovalutazione indicato dall’Agenzia per la Cybersicurezza Nazionale.
Perché stabilire se si rientra è la prima cosa da fare
Il decreto NIS non funziona per designazione. Non è l’autorità che individua le aziende obbligate e le avvisa. Sono le aziende che devono riconoscersi nei criteri di legge, autoidentificarsi e manifestarsi registrandosi sulla piattaforma dell’Agenzia. L’articolo 7 del decreto costruisce l’intero impianto su questo passaggio, e la finestra per farlo è fissa, dal 1° gennaio al 28 febbraio di ogni anno.
L’onere della valutazione ricade quindi interamente sull’organizzazione. Sbagliarla in difetto significa restare fuori da un obbligo di legge senza saperlo, e la mancata registrazione è una violazione autonoma sanzionata dall’articolo 38, fino allo 0,1 per cento del fatturato annuo mondiale per i soggetti essenziali e allo 0,07 per cento per gli importanti. Sbagliarla in eccesso significa impegnare budget e persone su un adempimento non dovuto.
Sulla base delle informazioni raccolte da oltre 30.000 realtà, l’elenco nazionale dei soggetti NIS costruito da ACN individua oltre 20.000 organizzazioni, di cui più di 5.000 essenziali. Per il quadro complessivo della normativa rimandiamo alla guida completa alla Direttiva NIS2.
Soggetti essenziali e soggetti importanti, le due categorie del decreto
L’articolo 6 distingue i soggetti in ambito in due categorie, essenziali e importanti, per graduare gli obblighi e i poteri di controllo dell’autorità.
Sono considerati essenziali i soggetti dell’allegato I che superano i massimali per le medie imprese, quindi le grandi imprese dei settori altamente critici. Lo sono inoltre, indipendentemente dalle dimensioni, i soggetti identificati come critici ai sensi del decreto che recepisce la Direttiva CER, i prestatori di servizi fiduciari qualificati, i gestori di registri dei nomi di dominio di primo livello, i prestatori di servizi DNS e le pubbliche amministrazioni centrali dell’allegato III. I fornitori di reti pubbliche di comunicazione elettronica e di servizi di comunicazione elettronica accessibili al pubblico sono essenziali quando sono almeno medie imprese. Tutti gli altri soggetti che rientrano nell’ambito e non ricadono in questi casi sono importanti.
La differenza non è nominale, perché produce tre effetti concreti.
| Soggetti essenziali | Soggetti importanti | |
|---|---|---|
| Misure di sicurezza di base | Allegato 2 della determinazione ACN 379907/2025, 43 misure e 116 requisiti | Allegato 1 della stessa determinazione, 37 misure e 87 requisiti |
| Regime di vigilanza | Preventivo e successivo (art. 32 della Direttiva) | Solo successivo, quando emergono elementi che indicano una possibile violazione (art. 33) |
| Sanzione massima per violazioni di sicurezza e notifica | 10 milioni di euro oppure il 2% del fatturato mondiale annuo, il maggiore dei due (art. 34) | 7 milioni di euro oppure l'1,4% del fatturato mondiale annuo |
| Sanzione massima per mancata registrazione (art. 38) | fino allo 0,1% del fatturato mondiale annuo | fino allo 0,07% del fatturato mondiale annuo |
Il regime di vigilanza è la differenza che pesa di più nella pratica. Un soggetto essenziale può essere ispezionato in qualunque momento, anche senza indizi di violazione, un soggetto importante solo quando emerge qualcosa.
I settori altamente critici dell’allegato I
L’allegato I elenca gli undici settori altamente critici, quelli in cui la perturbazione di un servizio produce conseguenze gravi. Sono energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, settore sanitario, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi TIC fra imprese, pubblica amministrazione e spazio.
Ogni settore si articola in sottosettori e tipologie di soggetto molto più granulari del nome del settore. Le infrastrutture digitali, per esempio, includono fra gli altri i fornitori di servizi cloud, i gestori di data center, le reti di distribuzione dei contenuti e i punti di interscambio internet. I trasporti comprendono anche le autorità stradali e i gestori di sistemi di trasporto intelligenti.
Il settore sanitario merita un’annotazione, perché include anche le imprese che fabbricano prodotti farmaceutici di base e preparati farmaceutici, individuate tramite la divisione 21 della NACE Rev. 2. È uno dei pochi casi in cui il decreto usa una classificazione merceologica per delimitare una tipologia di soggetto. Il dettaglio completo è pubblicato da ACN nel documento sugli ambiti di applicazione suddivisi per settore, il riferimento da usare quando il nome del settore non basta a rispondere.
I settori critici dell’allegato II
L’allegato II raccoglie i sette settori critici, quelli in cui una perturbazione produce conseguenze rilevanti ma non gravi. Sono i servizi postali e di corriere, la gestione dei rifiuti, la fabbricazione e distribuzione di sostanze chimiche, la produzione e distribuzione di alimenti, la fabbricazione di alcune categorie di prodotti industriali, i fornitori di servizi digitali e le organizzazioni di ricerca.
La voce fabbricazione è quella che sorprende più spesso gli imprenditori italiani, perché copre un pezzo consistente del manifatturiero nazionale. Rientrano i dispositivi medici, la fabbricazione di computer e prodotti di elettronica e ottica, le apparecchiature elettriche, i macchinari e le apparecchiature non classificati altrove, gli autoveicoli con rimorchi e semirimorchi e gli altri mezzi di trasporto. Anche qui il decreto rinvia alla NACE Rev. 2, con le divisioni dalla 26 alla 30 della sezione C.
Sotto la voce fornitori di servizi digitali il decreto colloca i mercati online, i motori di ricerca online e le piattaforme di servizi di social network. È un insieme più ristretto di quanto la formula lasci intendere.
Le soglie dimensionali e la regola dei due parametri
Il criterio settoriale non basta, perché per la maggior parte delle tipologie occorre anche superare i massimali per le piccole imprese fissati dalla Raccomandazione 2003/361/CE.
| Categoria | Occupati | Fatturato annuo | Totale di bilancio annuo |
|---|---|---|---|
| Microimpresa | meno di 10 | non superiore a 2 milioni | oppure non superiore a 2 milioni |
| Piccola impresa | meno di 50 | non superiore a 10 milioni | oppure non superiore a 10 milioni |
| Media impresa | meno di 250 | non superiore a 50 milioni | oppure non superiore a 43 milioni |
Qui si concentra l’errore più frequente. Per restare in una categoria occorre soddisfare sempre il criterio degli occupati e almeno uno dei due parametri contabili, che sono alternativi fra loro. Si sale di categoria superando il solo numero di occupati, o entrambi i parametri contabili. Superarne uno solo non basta.
Un esempio. Un’impresa con 40 occupati, 12 milioni di fatturato e 9 milioni di totale di bilancio resta piccola, perché ha meno di 50 occupati e uno dei due parametri contabili rientra nella soglia. Con 55 occupati diventa media, e se opera in un settore degli allegati I o II entra nel perimetro NIS.
C’è un ultimo passaggio che molte aziende trascurano. Il calcolo di occupati, fatturato e bilancio tiene conto delle imprese associate e collegate, secondo l’articolo 6 della stessa Raccomandazione. Una società di quaranta persone che appartiene a un gruppo di grandi dimensioni può quindi risultare media o grande impresa una volta consolidati i dati.
Perché il codice ATECO non risponde alla domanda
La ricerca di un elenco di codici ATECO per la NIS2 è comprensibile ma non porta da nessuna parte, e conviene chiarirlo subito. ACN lo ha messo nero su bianco nelle proprie domande frequenti sull’ambito di applicazione. Il decreto non distingue settori, sottosettori e tipologie di soggetto in base ai codici ATECO o NACE. Dove ha voluto usare quella classificazione lo ha fatto in modo espresso, ed è il caso della divisione 21 per i prodotti farmaceutici e delle divisioni dalla 26 alla 30 per la fabbricazione. Fuori da questi casi non è possibile determinare l’ambito di applicazione partendo dall’ATECO.
C’è di più. Anche il codice ATECO dichiarato nel registro delle imprese, così come l’oggetto sociale, ha valore soltanto indicativo e non tassativo. Quello che conta sono le attività e i servizi che l’organizzazione svolge effettivamente al momento della registrazione.
Alla stessa logica risponde un’altra regola che spiazza parecchie aziende. Non esiste un criterio di prevalenza, quindi si rientra nell’ambito anche svolgendo l’attività rilevante in forma del tutto residuale rispetto al proprio giro d’affari. Le eccezioni sono tre, acqua potabile, acque reflue e gestione dei rifiuti, settori nei quali il decreto esclude le imprese per cui quell’attività non è essenziale o principale.
L’autovalutazione in tre passi secondo ACN
ACN ha formalizzato il percorso di autovalutazione che le organizzazioni diverse dalle pubbliche amministrazioni devono svolgere prima della registrazione, in tre passi da percorrere nell’ordine.
Il primo passo verifica la giurisdizione. Occorre stabilire se l’organizzazione è stabilita sul territorio nazionale, o se rientra fra i fornitori di reti pubbliche di comunicazione elettronica o fra i fornitori di servizi intrinsecamente transfrontalieri, per i quali valgono i criteri di collegamento dell’articolo 5. Se la giurisdizione nazionale non si applica, il percorso si ferma qui.
Il secondo passo verifica la dimensione. Un’organizzazione riconducibile alle micro e piccole imprese in linea generale non deve registrarsi, salvo che rientri nelle tipologie che il decreto attrae a prescindere dalla dimensione.
Il terzo passo verifica la riconducibilità alle tipologie di soggetto degli allegati I e II, confrontando le attività effettivamente svolte con le descrizioni ufficiali. Su questo passaggio ACN dà un’indicazione operativa netta, perché in caso di dubbio l’orientamento dell’autorità è quello di registrarsi.
Il percorso completo, con le indicazioni su come designare il punto di contatto, è descritto nelle domande frequenti dedicate alla registrazione sulla piattaforma. Chi ha già completato questo passaggio trova nel nostro approfondimento su cosa fare dopo la registrazione sul portale ACN la sequenza degli adempimenti successivi.
I casi particolari che cambiano la risposta
Attorno alla regola generale ruotano quattro situazioni che ribaltano l’esito della valutazione, e sono più comuni di quanto si creda.
Le imprese appartenenti a un gruppo sono attratte nell’ambito indipendentemente dalle dimensioni quando, rispetto a un soggetto NIS dello stesso gruppo, ne influenzano le decisioni sulla gestione del rischio cyber, detengono o gestiscono i sistemi da cui dipendono i suoi servizi, ne curano le operazioni di sicurezza informatica o forniscono loro servizi TIC o di sicurezza. È l’articolo 3, comma 10, e colpisce tipicamente le società di servizi informatici interne ai gruppi industriali.
In senso opposto opera la clausola di salvaguardia dell’articolo 3, comma 4, i cui criteri sono fissati dal DPCM 9 dicembre 2024 n. 221. Consente di disapplicare il consolidamento dei dati di gruppo, con un possibile declassamento da grande a media impresa o da media a piccola. I criteri sono stringenti, perché richiedono la totale indipendenza dei sistemi informativi e delle attività rilevanti rispetto alle altre imprese del gruppo. La richiesta si presenta in fase di registrazione.
Terzo caso, i fornitori. Essere fornitore di un soggetto NIS non fa entrare automaticamente nell’ambito, perché non esiste un meccanismo di propagazione lungo la catena di approvvigionamento. I soggetti NIS però devono gestire il rischio della propria catena, e lo fanno imponendo obblighi contrattuali ai fornitori. Molte imprese fuori perimetro si trovano così a dover dimostrare requisiti di sicurezza, per contratto anziché per legge.
Infine, alcune tipologie restano in ambito anche da micro o piccole imprese. Sono i fornitori di reti pubbliche di comunicazione elettronica e di servizi di comunicazione elettronica accessibili al pubblico, i prestatori di servizi fiduciari, i gestori di registri dei nomi di dominio di primo livello, i fornitori di servizi DNS e i fornitori di servizi di registrazione dei nomi di dominio. Le pubbliche amministrazioni dell’allegato III rientrano a prescindere dalla dimensione dell’ente.
FAQ
Cosa succede dopo la registrazione sul portale ACN?
Si applica ai soggetti pubblici e privati riconducibili alle tipologie degli allegati da I a IV del D.Lgs 138/2024, sottoposti alla giurisdizione nazionale, che in linea generale superano i massimali per le piccole imprese. Vi rientrano a prescindere dalla dimensione i prestatori di servizi fiduciari, i gestori di TLD e DNS, i fornitori di reti e servizi di comunicazione elettronica accessibili al pubblico e le pubbliche amministrazioni dell’allegato III.
Esiste un elenco di codici ATECO per la NIS2?
No. ACN ha chiarito che il decreto non individua i soggetti in base ai codici ATECO o NACE, salvo il richiamo espresso alla divisione 21 (prodotti farmaceutici) e alle divisioni dalla 26 alla 30 (fabbricazione). Il codice ATECO in visura è indicativo e non tassativo, e ciò che conta sono le attività effettivamente svolte.
La mia azienda ha 60 dipendenti e fattura 8 milioni, rientra nella NIS2?
Se opera in uno dei settori degli allegati I o II, sì. Il superamento del solo criterio degli occupati è sufficiente a uscire dalla categoria delle piccole imprese, indipendentemente dai valori di fatturato e di bilancio. Vanno però consolidati i dati delle eventuali imprese associate e collegate.
Qual è la differenza fra soggetto essenziale e soggetto importante?
Gli essenziali sono le grandi imprese dei settori altamente critici dell’allegato I, più alcune categorie individuate a prescindere dalla dimensione. Gli importanti sono tutti gli altri soggetti in ambito. Cambiano le misure da adottare, il regime di vigilanza, preventivo per gli essenziali e solo successivo per gli importanti, e i massimali sanzionatori.
Sono fornitore di un'azienda soggetta a NIS2, devo adeguarmi anch'io?
Non per effetto diretto del decreto, perché la disciplina non si propaga lungo la catena di approvvigionamento. È probabile però che il cliente NIS trasferisca per contratto requisiti di sicurezza e obblighi informativi, in adempimento del proprio obbligo di gestione del rischio della supply chain.
Chi decide se sono soggetto essenziale o importante?
La valutazione iniziale è dell’organizzazione, che si autoclassifica in fase di registrazione. La categorizzazione definitiva la comunica ACN, che entro il 31 marzo di ogni anno definisce l’elenco dei soggetti NIS e nel mese successivo notifica l’esito al domicilio digitale.
Cosa succede se non mi registro pur rientrando nell'ambito?
La mancata registrazione è una violazione autonoma, sanzionata dall’articolo 38 in misura distinta e più contenuta rispetto alle violazioni degli obblighi di sicurezza e di notifica, fino allo 0,1 per cento del fatturato annuo mondiale per i soggetti essenziali e allo 0,07 per cento per gli importanti. Non mette al riparo dal resto degli obblighi, perché l’autorità conserva il potere di identificare i soggetti anche in assenza di autoidentificazione.
Dalla verifica al governo degli adempimenti
La risposta alla domanda su a chi si applica la NIS2 non vale una volta per tutte. Cambiano gli organici, i fatturati, le attività svolte e la composizione dei gruppi societari. Ognuna di queste variazioni può spostare un’organizzazione dentro o fuori dall’ambito, o da importante a essenziale. La verifica va rifatta almeno a ogni finestra annuale di aggiornamento, e una volta accertata la posizione il lavoro si sposta sulla gestione degli adempimenti che ne conseguono.
Capire se si rientra non è sempre immediato, soprattutto quando pesano il consolidamento con imprese associate e collegate oppure il ruolo di fornitore di un soggetto già obbligato. È una verifica che si può fare insieme a chi la affronta ogni giorno, incrociando settore, dimensione e rapporti di fornitura prima ancora di parlare di strumenti. Compet-e accompagna le aziende in questa valutazione e, quando la posizione risulta dentro l’ambito, nella costruzione del percorso di adeguamento che ne consegue.
Per governare nel tempo classificazione, misure e scadenze, il software CORA NIS2 mantiene traccia della categoria del soggetto e delle sue variazioni, gestisce le misure applicabili e tiene lo scadenzario degli adempimenti verso l’autorità.