Per capire se la NIS2 ti riguarda servono tre domande: in che settore lavori, quanto sei grande e se rientri in uno dei casi speciali. Vediamole in ordine.
1. Il settore: gli allegati del decreto
Il D.Lgs. 138/2024, che recepisce in Italia la direttiva europea NIS2, elenca i settori coinvolti in quattro allegati. I due che riguardano le imprese private sono questi.
Settori ad alta criticità (allegato I)
- Energia: elettricità, gas, petrolio, idrogeno, teleriscaldamento
- Trasporti: aereo, ferroviario, marittimo e stradale
- Banche e infrastrutture dei mercati finanziari
- Sanità, compresi laboratori e produzione farmaceutica
- Acqua potabile e acque reflue
- Infrastrutture digitali: data center, cloud, DNS, reti e servizi di comunicazione elettronica
- Gestione dei servizi informatici per altre aziende (fornitori di servizi gestiti e di sicurezza gestita)
- Spazio
Altri settori critici (allegato II)
- Servizi postali e di corriere
- Gestione dei rifiuti
- Fabbricazione, produzione e distribuzione di sostanze chimiche
- Produzione, trasformazione e distribuzione di alimenti, per le imprese che operano nella distribuzione all’ingrosso e nella produzione e trasformazione industriale
- Fabbricazione di dispositivi medici, computer ed elettronica, apparecchiature elettriche, macchinari, autoveicoli e altri mezzi di trasporto
- Fornitori di servizi digitali: marketplace, motori di ricerca, social network
- Ricerca
Gli allegati III e IV riguardano pubbliche amministrazioni e altre categorie individuate dall’Italia, come il trasporto pubblico locale e gli istituti di istruzione che svolgono attività di ricerca.
2. La dimensione: da media impresa in su
La regola generale esclude le piccole e microimprese. Rientri se sei almeno una media impresa, cioè se hai:
- almeno 50 dipendenti, oppure
- fatturato e totale di bilancio superiori a 10 milioni di euro.
Attenzione ai gruppi: dipendenti e fatturato si calcolano tenendo conto delle imprese collegate e associate, secondo le regole europee sulle PMI. Una società operativa piccola, controllata da un gruppo più grande, può superare le soglie.
Il check incrocia settore, dipendenti e fatturato e ti dice in 4 minuti se sei probabilmente essenziale, importante, coinvolto come fornitore o fuori perimetro.
Fai il check NIS23. Soggetto essenziale o importante
| Categoria | Chi è, in genere | Cosa cambia |
|---|---|---|
| Essenziale | Grandi imprese (da 250 dipendenti, o fatturato oltre 50 milioni e bilancio oltre 43 milioni) dei settori dell’allegato I, più alcuni casi speciali | Più misure di base, vigilanza anche preventiva, sanzioni fino a 10 milioni o al 2% del fatturato |
| Importante | Medie imprese dell’allegato I; medie e grandi imprese dell’allegato II | Misure di base leggermente ridotte, controlli successivi, sanzioni fino a 7 milioni o all’1,4% |
4. I casi che non dipendono dalle dimensioni
Alcuni soggetti rientrano anche se piccoli: fornitori di reti e servizi di comunicazione elettronica accessibili al pubblico, prestatori di servizi fiduciari, gestori di registri dei nomi di dominio di primo livello e fornitori di servizi DNS. L’ACN può inoltre includere soggetti che sono gli unici a fornire un servizio essenziale o la cui interruzione avrebbe un impatto significativo.
Il caso delle imprese emiliane
Secondo Google Trends l’Emilia-Romagna è tra le prime quattro regioni italiane per ricerche sulla NIS2. Non è un caso: tra Parma, Piacenza e Reggio Emilia pesano molto industria alimentare, fabbricazione di macchinari e packaging, logistica e trasporti. Sono tutti settori dell’allegato II o I: molte medie imprese del territorio rientrano come soggetti importanti, spesso senza saperlo.
Se non rientri: la catena di fornitura
Anche fuori perimetro la NIS2 può arrivare in azienda. Le imprese obbligate devono controllare la sicurezza dei propri fornitori e, dal 2026, indicare all’ACN quelli rilevanti. Se lavori per un’azienda obbligata, leggi la guida su NIS2 e fornitori: spiega cosa ti chiederanno e come prepararti.
Come si diventa soggetto NIS: non arriva una lettera a sorpresa. È l’azienda che valuta se rientra e si registra sulla piattaforma ACN, dal 1° gennaio al 28 febbraio di ogni anno. Trovi i passaggi nella guida alla registrazione ACN.
Domande frequenti
Chi è obbligato a rispettare la NIS2?
Le medie e grandi imprese dei settori elencati negli allegati del D.Lgs. 138/2024, alcune categorie di soggetti a prescindere dalle dimensioni (per esempio fornitori di reti di comunicazione pubbliche, servizi fiduciari, registri dei nomi di dominio e DNS) e diverse pubbliche amministrazioni.
La NIS2 si applica alle piccole imprese?
Di norma no: sotto i 50 dipendenti e i 10 milioni di fatturato un’impresa è piccola e resta fuori, salvo i casi previsti a prescindere dalle dimensioni. Può però essere coinvolta come fornitore di un’azienda obbligata, che deve controllare la sicurezza della propria catena di fornitura.
Qual è la differenza tra soggetto essenziale e soggetto importante?
In genere sono essenziali le grandi imprese dei settori ad alta criticità, importanti le medie imprese di quei settori e le medie e grandi imprese degli altri settori critici. Gli obblighi sono simili, ma per gli essenziali le misure di base sono di più, i controlli più frequenti e le sanzioni massime più alte.
Contano i codici ATECO?
Aiutano a orientarsi e vanno indicati in registrazione, ma conta l’attività effettivamente svolta rispetto ai settori degli allegati del decreto. Un’azienda con codice ATECO generico può rientrare per un’attività secondaria rilevante.
Come si calcolano dipendenti e fatturato?
Secondo le regole europee sulle PMI: si considerano anche le imprese collegate e associate. Un’azienda piccola che fa parte di un gruppo più grande può quindi superare le soglie.
Fonti: D.Lgs. 138/2024 (allegati I, II, III e IV) e raccomandazione UE 2003/361 sulla definizione di piccola e media impresa. Questa guida dà un orientamento: la classificazione ufficiale dipende dai dati dell’impresa e del gruppo e dalla comunicazione dell’Agenzia per la Cybersicurezza Nazionale.