NIS2: a chi si applica davvero (settori, soglie ed esempi)

La risposta breve: la NIS2 si applica ai soggetti, pubblici e privati, che operano in uno dei settori indicati negli allegati del decreto italiano di recepimento e che superano determinate soglie dimensionali, cioè di regola medie e grandi imprese. Il criterio è doppio: prima il settore, poi la dimensione. Ma ci sono eccezioni che fanno rientrare anche aziende piccole, e c'è la supply chain, che tira dentro anche chi da solo non sarebbe obbligato.

Come funziona il criterio: settore più dimensione

La NIS2 (in Italia recepita dal D.Lgs 138/2024) non guarda al tuo fatturato in astratto. Guarda prima cosa fai e poi quanto sei grande. Un'azienda rientra se soddisfa entrambe le condizioni: opera in un settore elencato negli allegati e supera le soglie dimensionali. Se manca uno dei due pezzi, di regola sei fuori (salvo le eccezioni che vediamo più avanti).

Questo spiega perché due aziende dello stesso fatturato possono avere destini opposti: una fa logistica sanitaria e rientra, l'altra vende articoli di cancelleria e resta fuori. Il settore viene prima di tutto.

Quali settori rientrano negli allegati

Il D.Lgs 138/2024 ha quattro allegati, non due, e conviene tenerli distinti: l'allegato I raccoglie i settori che l'articolo 3, comma 1, chiama "altamente critici", l'allegato II quelli che chiama "critici", l'allegato III le categorie di pubbliche amministrazioni e l'allegato IV ulteriori tipologie di soggetti.

• Alta criticità (allegato I), dieci settori: energia; trasporti; settore bancario; infrastrutture dei mercati finanziari; settore sanitario; acqua potabile; acque reflue; infrastrutture digitali; gestione dei servizi TIC (business-to-business); spazio.
• Altri settori critici (allegato II), sette settori: servizi postali e di corriere; gestione dei rifiuti; fabbricazione, produzione e distribuzione di sostanze chimiche; produzione, trasformazione e distribuzione di alimenti; fabbricazione (dispositivi medici, elettronica, macchinari, autoveicoli e altro); fornitori di servizi digitali; ricerca.
• Pubbliche amministrazioni (allegato III): amministrazioni centrali; Regioni e Province autonome; Città metropolitane; Comuni sopra i 100.000 abitanti e Comuni capoluogo di regione; Aziende sanitarie locali; altri soggetti pubblici.
• Ulteriori tipologie (allegato IV): trasporto pubblico locale; istituti di istruzione che fanno ricerca; soggetti di interesse culturale; società in house, società partecipate e società a controllo pubblico.

Un punto su cui si sbaglia spesso, perché la direttiva europea e il decreto italiano non coincidono: nella direttiva la pubblica amministrazione è un settore dell'allegato I, nel decreto italiano no. In Italia le amministrazioni rientrano per il tramite dell'articolo 3, comma 6, che rinvia alle categorie dell'allegato III, e ci rientrano indipendentemente dalle loro dimensioni. Chi cerca il proprio ente nell'allegato I non lo trova e conclude di essere fuori: come funziona davvero, e cosa cambia per un comune, è in NIS2 nella pubblica amministrazione e nei comuni.

Anche dentro un singolo settore la granularità conta. I trasporti si dividono in aereo, ferroviario, per vie d'acqua e su strada, ciascuno con le proprie tipologie di soggetto: il dettaglio è in obblighi NIS2 nei trasporti. E il settore sanitario non si ferma agli ospedali, perché comprende anche chi fabbrica prodotti farmaceutici di base e preparati farmaceutici e chi svolge ricerca e sviluppo sui medicinali: il perimetro è ricostruito in NIS2 nel settore farmaceutico e life science. Vale anche il movimento inverso: quello che si tende a chiamare comparto idrico nell'allegato I sta in due voci separate, acqua potabile e acque reflue, con clausole di esclusione scritte in modo diverso. Chi gestisce il servizio idrico integrato le incrocia entrambe, e il caso è sciolto in NIS2 acqua potabile e acque reflue.

La distinzione non è cosmetica: il settore concorre a stabilire se sei un soggetto essenziale o un soggetto importante, e questo cambia sia il regime di vigilanza sia il tetto delle sanzioni. Abbiamo messo i numeri esatti in quanto rischi davvero con le sanzioni NIS2.

Le soglie dimensionali: quando sei "abbastanza grande"

Qui entra il criterio delle dimensioni, ripreso dalla raccomandazione 2003/361/CE. In sintesi, un'azienda supera la soglia quando ricade nelle medie o grandi imprese, cioè quando ha:

• almeno 50 dipendenti, oppure
• fatturato annuo e totale di bilancio annuo entrambi superiori a 10 milioni di euro.

Sotto entrambe le soglie, cioè meno di 50 dipendenti e con fatturato annuo o totale di bilancio annuo non superiori a 10 milioni, si parla di piccola o micro impresa e di regola si resta fuori dal perimetro NIS2. È il cosiddetto size-cap: la dimensione fa da filtro d'ingresso.

Attenzione a un dettaglio che confonde molti: nel conteggio non guardi solo la tua società isolata. Se fai parte di un gruppo, i criteri di dimensione vanno valutati tenendo conto anche delle imprese collegate e associate. Una controllata piccola dentro un gruppo grande può rientrare comunque.

Le eccezioni: quando la dimensione non conta

Il size-cap ha delle deroghe importanti. Alcuni soggetti rientrano a prescindere dalla dimensione, anche se sono piccoli o micro. È il caso, tra gli altri, di:

• fornitori di reti pubbliche di comunicazione elettronica o di servizi di comunicazione elettronica accessibili al pubblico;
• prestatori di servizi fiduciari, registri dei nomi di dominio di primo livello e fornitori di servizi DNS;
• soggetti che sono l'unico fornitore in uno Stato di un servizio essenziale, o la cui interruzione avrebbe un impatto significativo;
• le pubbliche amministrazioni ricomprese nelle categorie dell'allegato III, che l'articolo 3, comma 6, del decreto include a prescindere dalle loro dimensioni.

Tradotto: se svolgi un ruolo critico, non puoi contare sulle dimensioni per stare fuori. Il legislatore ha deciso che certi servizi rientrano comunque nel perimetro, anche quando li eroga un'azienda da dieci persone. Per il primo caso dell'elenco vale anche una regola di classificazione più severa, che già da media impresa porta fra i soggetti essenziali: l'abbiamo ricostruita negli obblighi NIS2 per gli operatori di telecomunicazioni.

Esempi concreti per capire se rientri

Qualche caso pratico, per rendere il ragionamento meno astratto:

• Azienda manifatturiera da 120 dipendenti che produce macchinari. Settore in allegato II, sopra le soglie: rientra come soggetto importante.
• Software house da 30 persone e 4 milioni di fatturato. Fornitori di servizi digitali sono in allegato II, ma qui manca la dimensione: di regola fuori, salvo che rientri in una delle categorie incluse a prescindere dalla dimensione.
• Distributore alimentare da 200 dipendenti. Produzione, trasformazione e distribuzione di alimenti è in allegato II, la dimensione c'è: dentro.
• Piccolo provider di connettività regionale, 15 dipendenti. Rete di comunicazione elettronica accessibile al pubblico: rientra a prescindere dalla dimensione.
• Studio di consulenza generico da 80 persone. Nessun settore in allegato: fuori perimetro.

Il filo conduttore è sempre lo stesso: parti dal settore, poi verifica la dimensione, poi controlla se ricadi in un'eccezione. Se questo percorso ti sembra già delicato, hai capito perché conviene formalizzarlo invece di andare a memoria.

La supply chain: puoi essere coinvolto anche se non rientri

C'è un ultimo tassello che sfugge a molti. Anche se la tua azienda non rientra direttamente, puoi essere trascinata dentro dai tuoi clienti. La NIS2 impone ai soggetti obbligati di gestire il rischio della catena di approvvigionamento: chi rientra deve valutare la sicurezza dei propri fornitori e dei fornitori di servizi.

Nella pratica significa che i requisiti si trasferiscono lungo la filiera per via contrattuale. Se fornisci software, servizi gestiti, connettività o componenti a un soggetto NIS2, aspettati questionari di sicurezza, clausole contrattuali e richieste di garanzie. Non sei obbligato dalla direttiva in prima persona, ma il mercato ti chiede di comportarti come se lo fossi. È uno dei motivi per cui la conformità sta diventando un requisito commerciale, non solo normativo, e per cui molte aziende la affrontano insieme a standard riconosciuti: ne parliamo in NIS2 e ISO 27001, come si parlano.

Rientri: e adesso cosa cambia davvero

Capire di rientrare è solo metà del lavoro. La parte che pesa arriva dopo, perché a quel punto scattano obblighi concreti. In estrema sintesi, un soggetto NIS2 deve:

• Registrarsi presso l'autorità nazionale competente (in Italia l'ACN), fornendo i dati richiesti entro le finestre stabilite.
• Adottare le misure di gestione del rischio previste dalla direttiva: analisi del rischio, gestione degli incidenti, continuità operativa, sicurezza della catena di approvvigionamento, igiene informatica di base e altre.
• Notificare gli incidenti significativi entro tempi stretti, con un primo preallarme nell'ordine delle ore e report successivi più dettagliati.
• Coinvolgere gli organi di gestione, perché la responsabilità dell'adozione delle misure arriva al vertice aziendale, non resta confinata all'IT.

Il punto importante è che essere "dentro" non è una condizione formale da annotare e dimenticare: apre una lista di adempimenti con scadenze. Ecco perché la verifica del perimetro non è un esercizio burocratico, ma il momento in cui decidi quanto lavoro ti aspetta e con quanta urgenza. La differenza tra soggetto essenziale e importante, tra l'altro, si sente proprio qui, sia sull'intensità dei controlli sia sul rischio sanzionatorio, come raccontiamo in quanto rischi davvero con le sanzioni NIS2.

Come verificare la tua posizione senza indovinare

Riassumendo, per sapere se rientri devi rispondere in ordine a tre domande: opero in un settore degli allegati? Supero le soglie dimensionali? Ricado in una delle eccezioni a prescindere dalla dimensione? Aggiungi la quarta, spesso decisiva: sono nella supply chain di qualcuno che rientra?

Farlo a occhio è rischioso, perché gli errori tipici, dimenticare le imprese collegate o ignorare le eccezioni, portano a sottostimare l'obbligo. Il modo più rapido è un check guidato: rispondi a poche domande e ottieni l'inquadramento. Puoi partire dal nostro NIS2 check per una verifica veloce, oppure leggere la pagina di approfondimento su a chi si applica la NIS2. Se poi vuoi capire cosa fare in concreto una volta stabilito che rientri, i nostri servizi NIS2 partono esattamente da lì.

In sintesi: la NIS2 non è un tema solo da grandi aziende. Conta il settore, poi la dimensione, poi le eccezioni, e infine la posizione nella filiera. Il primo passo utile non è mettersi in regola alla cieca, ma capire con certezza se e come rientri.