NIS2 in Italia: chi è soggetto al Decreto NIS

Due criteri: settore e dimensione

Il Decreto NIS, cioè il D.Lgs. 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024, segue lo schema della direttiva (UE) 2022/2555. Un’impresa rientra nel suo ambito quando svolge un’attività elencata negli allegati e raggiunge almeno la dimensione di media impresa secondo la raccomandazione 2003/361/CE (art. 3, comma 2).

Le soglie della raccomandazione sono note: è media l’impresa che occupa almeno 50 persone oppure ha un fatturato annuo superiore a 10 milioni di euro e un totale di bilancio superiore a 10 milioni di euro. È grande quella che occupa almeno 250 persone oppure supera 50 milioni di euro di fatturato e 43 milioni di euro di totale di bilancio. Per le imprese associate e collegate i dati si sommano, con una correzione prevista dall’art. 3, commi 3 e 4, quando il risultato sarebbe sproporzionato.

Conta l’attività effettivamente svolta, non la descrizione nella visura camerale. Un produttore di macchinari che gestisce anche un piccolo data center per i propri clienti deve guardare a entrambe le attività.

I settori degli allegati I e II

Il decreto distingue 18 settori. Gli 11 dell’allegato I sono ad alta criticità, i 7 dell’allegato II sono critici.

Allegato	Settori
I · alta criticità	Energia (elettricità, teleriscaldamento e teleraffrescamento, petrolio, gas, idrogeno), trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi TIC business-to-business, pubblica amministrazione, spazio
II · altri settori critici	Servizi postali e di corriere, gestione dei rifiuti, sostanze chimiche, prodotti alimentari, fabbricazione (dispositivi medici, elettronica e ottica, apparecchiature elettriche, macchinari, autoveicoli, altri mezzi di trasporto), fornitori di servizi digitali, ricerca

Le pubbliche amministrazioni da considerare sono individuate in modo specifico nell’allegato III e rientrano a prescindere dalle dimensioni (art. 3, comma 6). L’allegato IV va oltre la direttiva: comprende, tra gli altri, il trasporto pubblico locale, gli istituti di istruzione che svolgono attività di ricerca, i soggetti che svolgono attività di interesse culturale e le società in house, partecipate o a controllo pubblico (art. 3, commi 8 e 13).

Soggetti essenziali e soggetti importanti

Chi rientra nel decreto è classificato come soggetto essenziale o soggetto importante. La distinzione determina le misure di base da adottare, gli incidenti da notificare e la sanzione massima. Secondo l’art. 6, comma 1, sono essenziali:

le imprese dei settori dell’allegato I che superano i massimali della media impresa, cioè le grandi imprese;
i soggetti critici individuati in attuazione della direttiva (UE) 2022/2557, a prescindere dalle dimensioni;
i fornitori di reti pubbliche di comunicazione elettronica e di servizi di comunicazione elettronica accessibili al pubblico che sono medie imprese;
i prestatori di servizi fiduciari qualificati, i gestori di registri dei nomi di dominio di primo livello e i fornitori di servizi DNS, a prescindere dalle dimensioni;
le pubbliche amministrazioni centrali dell’allegato III.

L’ACN può inoltre qualificare come essenziali, a prescindere dalla dimensione, alcuni soggetti indicati all’art. 3 (art. 6, comma 2). Tutti gli altri soggetti che rientrano nell’art. 3 sono importanti (art. 6, comma 3). In pratica: una media impresa dell’allegato I e una media o grande impresa dell’allegato II sono di regola soggetti importanti.

Esempio: un’azienda di logistica su strada con 320 dipendenti opera in un settore dell’allegato I ed è grande: soggetto essenziale. Un produttore di componenti elettrici con 80 dipendenti rientra nell’allegato II: soggetto importante. Un’officina meccanica con 30 dipendenti e 6 milioni di euro di fatturato resta sotto la soglia e di norma non è soggetta, ma può ricevere richieste dai clienti.

Casi particolari

Alcune regole spostano il confine. Per banche e infrastrutture dei mercati finanziari l’art. 3, comma 14, esclude l’applicazione dei capi IV e V del decreto, perché valgono le regole del regolamento (UE) 2022/2554 (DORA). Le imprese collegate a un soggetto essenziale o importante possono rientrare a prescindere dalla dimensione, se ricorrono le condizioni dell’art. 3, comma 10: chi fa parte di un gruppo deve quindi verificare anche questo punto.

La competenza non è solo dell’Agenzia per la cybersicurezza nazionale (ACN), che è autorità nazionale competente NIS e punto di contatto unico. L’art. 11, comma 2, attribuisce i singoli settori ad autorità di settore: ad esempio il Ministero dell’ambiente e della sicurezza energetica per energia, acqua e rifiuti, il Ministero delle imprese e del made in Italy per infrastrutture digitali, servizi postali, chimica e fabbricazione, il Ministero della salute per sanità e dispositivi medici.

Come verificare in pratica

Non esiste uno strumento ufficiale di autovalutazione della propria posizione. Nell’area NIS del sito dell’ACN trova domande frequenti e il Vademecum NIS nell’edizione di settembre 2026. Un metodo pratico in quattro passi:

Elencare le attività

Tutte le attività dell’impresa, con fatturato e personale dedicato, anche quelle secondarie.

Confrontarle con gli allegati

Per ogni attività: compare negli allegati I, II o IV? Il codice ATECO è un indizio, non una prova.

Calcolare la dimensione

Personale, fatturato e totale di bilancio secondo la raccomandazione 2003/361/CE, includendo imprese associate e collegate.

Documentare l’esito

Una nota firmata dagli organi di amministrazione, con data e motivazione. Va rivista dopo acquisizioni, crescita o nuove attività.

Se l’esito è positivo, il passo successivo è la registrazione sulla piattaforma ACN. Il NIS2-Scoring Le dà una prima classificazione in base a settore e dimensione e verifica subito anche il livello di preparazione.

Domande frequenti

Una piccola impresa può rientrare nella NIS2?

Sì, in alcuni casi. Prestatori di servizi fiduciari qualificati, gestori di registri TLD e fornitori di servizi DNS rientrano a prescindere dalla dimensione (art. 6, comma 1, lett. d). Lo stesso vale, a determinate condizioni, per le imprese collegate a soggetti NIS (art. 3, comma 10).

Che differenza c’è tra soggetto essenziale e importante?

Gli obblighi sono simili, ma le misure di base dell’ACN sono diverse (allegato 1 per gli importanti, allegato 2 per gli essenziali) e la sanzione massima è di 10 milioni di euro o il 2% del fatturato per gli essenziali, 7 milioni o l’1,4% per gli importanti (art. 38).

Le pubbliche amministrazioni sono soggette?

Sì. Le amministrazioni dell’allegato III rientrano a prescindere dalle dimensioni (art. 3, comma 6); quelle centrali sono soggetti essenziali (art. 6, comma 1, lett. e).

Chi decide se siamo nell’elenco dei soggetti NIS?

Dopo la registrazione l’ACN redige l’elenco dei soggetti essenziali e importanti entro il 31 marzo e comunica l’inserimento tramite la piattaforma (art. 7, commi 2 e 3).