NIS2 settore farmaceutico: Allegato I o Allegato II?

Un'azienda che fabbrica medicinali rientra nella NIS2 e cade nell'Allegato I del D.Lgs. 138/2024, quello dei settori ad alta criticità: la voce è quella dei soggetti che fabbricano prodotti farmaceutici di base e preparati farmaceutici della divisione 21 della NACE Rev. 2. Se supera i massimali per le medie imprese è soggetto essenziale, altrimenti importante. Chi fabbrica dispositivi medici sta invece nell'Allegato II.

Nel life science la stessa filiera attraversa due allegati e due categorie. Vediamo dove cade ciascun tipo di azienda e cosa cambia fra le due su vigilanza, misure e sanzioni. Il quadro generale sta nella guida completa alla NIS2.

Il farmaceutico sta nell'Allegato I

Il D.Lgs. 138/2024 divide i settori in due elenchi: l'Allegato I raccoglie quelli ad alta criticità, l'Allegato II gli altri settori critici. Il punto 5 dell'Allegato I è il settore sanitario e comprende cinque tipologie di soggetto:

• i prestatori di assistenza sanitaria quali definiti all'articolo 3, lettera g), della direttiva 2011/24/UE;
• i laboratori di riferimento dell'UE quali definiti all'articolo 15 del regolamento (UE) 2022/2371;
• i soggetti che svolgono attività di ricerca e sviluppo relative ai medicinali, per come il medicinale è definito all'articolo 1, punto 2), della direttiva 2001/83/CE;
• i soggetti che fabbricano prodotti farmaceutici di base e preparati farmaceutici, individuati per rinvio alla sezione C, divisione 21, della NACE Rev. 2;
• i soggetti che fabbricano dispositivi medici considerati critici durante un'emergenza di sanità pubblica, secondo l'elenco previsto dall'articolo 22 del regolamento (UE) 2022/123.

Due conseguenze. La fabbricazione di medicinali non è trattata come una produzione industriale qualsiasi, ma come parte del settore sanitario. E il perimetro si legge sul codice di attività: chi produce principi attivi conto terzi rientra comunque, perché la classe 21.10 della divisione 21, fabbricazione di prodotti farmaceutici di base, lo include. Il taglio sulle strutture di cura e l'incrocio con il GDPR stanno in NIS2 nella sanità.

Dispositivi medici: il confine passa nell'Allegato II

Il punto 5 dell'Allegato II, alla lettera a), colloca fra gli altri settori critici i soggetti che fabbricano dispositivi medici ai sensi del regolamento (UE) 2017/745 e dispositivi medico-diagnostici in vitro ai sensi del regolamento (UE) 2017/746. L'eccezione è scritta nella voce stessa: ne restano fuori i fabbricanti dei dispositivi già elencati nel quinto trattino del punto 5 dell'Allegato I, cioè quelli critici in emergenza di sanità pubblica.

Per un gruppo che produce sia farmaci sia dispositivi, le due gambe possono quindi finire in allegati diversi: la verifica va fatta per attività, non per ragione sociale. Le altre fabbricazioni dell'Allegato II e il nodo IT/OT sono in NIS2 nel manifatturiero.

Essenziale o importante: dove passa la linea

L'articolo 3 comma 2 fissa l'ingresso nel perimetro: il decreto si applica ai soggetti degli Allegati I e II che superano i massimali per le piccole imprese dell'articolo 2, paragrafo 2, dell'allegato alla raccomandazione 2003/361/CE. Piccola impresa è quella che occupa meno di 50 persone e realizza un fatturato o un totale di bilancio annuo non superiori a 10 milioni di euro: si è dentro con almeno 50 persone, oppure superando i 10 milioni sia di fatturato sia di bilancio.

L'articolo 6 comma 1 lettera a) fissa la categoria: sono essenziali i soggetti dell'Allegato I che superano i massimali per le medie imprese dell'articolo 2, paragrafo 1, della stessa raccomandazione, riferito alle imprese che occupano meno di 250 persone e il cui fatturato annuo non supera i 50 milioni di euro oppure il cui totale di bilancio annuo non supera i 43 milioni. Si è essenziali quindi con almeno 250 persone, oppure superando insieme i 50 milioni di fatturato e i 43 milioni di totale di bilancio. Il comma 3 chiude: chi rientra e non è essenziale è importante.

Due avvertenze. Sui gruppi, l'articolo 3 comma 4 rinvia all'articolo 6, paragrafo 2, dell'allegato alla raccomandazione: una controllata piccola dentro un gruppo grande va valutata con i dati consolidati, salvo la clausola di salvaguardia dello stesso comma quando ciò non sia proporzionato. Sul ruolo, l'articolo 3 comma 9 consente di includere soggetti indipendentemente dalle dimensioni quando, fra l'altro, sono l'unico fornitore nazionale di un servizio essenziale, quando una perturbazione del servizio potrebbe avere un impatto significativo sulla salute pubblica, o quando il soggetto è critico come elemento sistemico della catena di approvvigionamento di soggetti essenziali o importanti. I criteri generali sono in a chi si applica la NIS2.

Tre casi per orientarsi

• Produttore di principi attivi, 400 addetti. Allegato I, sopra i massimali per le medie imprese: essenziale.
• Officina di produzione conto terzi, 120 addetti e 40 milioni di fatturato. Allegato I, dentro i massimali per le medie imprese: importante.
• Fabbricante di dispositivi medico-diagnostici in vitro, 90 addetti. Allegato II: importante, a meno che fra i prodotti ci sia un dispositivo dell'elenco dei critici in emergenza di sanità pubblica.

Cosa cambia davvero fra le due categorie

La differenza si vede su tre fronti.

La vigilanza

L'articolo 36 comma 2 stabilisce che nei confronti dei soggetti importanti i poteri di verifica e ispettivi si applicano unicamente qualora l'Autorità nazionale competente NIS acquisisca o riceva elementi di prova, indicazioni o informazioni che suggeriscano possibili violazioni del decreto. Per gli essenziali quella condizione non c'è: ispezioni in loco e a distanza, compresi controlli casuali, possono partire senza un innesco. Monitoraggio e richieste di rendicontazione dell'articolo 35 valgono invece per entrambi.

Le sanzioni

L'articolo 38 comma 8 elenca le violazioni degli obblighi degli articoli 23, 24 e 25, e il comma 9 ne fissa gli importi. Per i soggetti essenziali, escluse le pubbliche amministrazioni, si arriva fino a un massimo di 10 milioni di euro o del 2% del fatturato annuo mondiale dell'esercizio precedente se tale importo è superiore, con un minimo pari a un ventesimo del massimo edittale. Per gli importanti il massimo è di 7 milioni o dell'1,4% se superiore, con un minimo di un trentesimo. Il comma 10 elenca a parte le violazioni sulla registrazione e il comma 11 ne fissa gli importi, fino a un massimo dello 0,1% del fatturato mondiale per gli essenziali e dello 0,07% per gli importanti. Il quadro completo è in sanzioni NIS2.

Le misure da adottare

La Determinazione ACN n. 379907 del 19 dicembre 2025, che all'articolo 9 comma 1 aggiorna e sostituisce la precedente 164179 del 14 aprile 2025 e si applica dal 15 gennaio 2026, adotta quattro allegati tecnici e li assegna in modo asimmetrico. L'articolo 2 comma 2 mette le misure di sicurezza di base nell'allegato 1 per i soggetti importanti e nell'allegato 2 per i soggetti essenziali; il comma 3 fa lo stesso con gli incidenti significativi di base, allegato 3 per gli importanti e allegato 4 per gli essenziali.

Non sono lo stesso documento con una copertina diversa. Entrambi seguono le funzioni del Framework nazionale per la cybersecurity e la data protection, ma l'allegato 1 conta solo 37 misure di sicurezza, con 87 requisiti, e l'allegato 2 ne conta 43, con 116 requisiti: le sei in più stanno nelle funzioni di identificazione, protezione e ripristino. Restano invece uguali per tutti la registrazione dell'articolo 7 e le responsabilità dell'articolo 23, dove gli organi di amministrazione e direttivi approvano le modalità di implementazione delle misure, rispondono delle violazioni e devono seguire una formazione in materia di sicurezza informatica.

Le scadenze si contano dalla comunicazione

L'articolo 7 scandisce l'anno: registrazione o aggiornamento sulla piattaforma dell'ACN dal 1° gennaio al 28 febbraio, elenco dei soggetti essenziali e importanti entro il 31 marzo, comunicazione dell'inserimento tramite la piattaforma, e dal 15 aprile al 31 maggio le informazioni ulteriori, fra cui spazio di indirizzamento IP pubblico e nomi di dominio. Da lì partono i termini sostanziali: l'articolo 3 della Determinazione 379907/2025 fissa 18 mesi dalla ricezione della comunicazione di inserimento per l'adozione delle misure di sicurezza di base e 9 mesi per l'adempimento dell'obbligo di notifica degli incidenti significativi di base.

Per chi è entrato in elenco nel 2026 quei mesi sono già tradotti in date: la Determinazione ACN n. 127434 del 13 aprile 2026, applicabile dal 30 aprile 2026, fissa all'articolo 1 il 31 luglio 2027 per l'adozione delle misure e fa decorrere dal 1° gennaio 2027 l'obbligo di notifica degli incidenti significativi. Per chi era già in elenco nel 2025 e vi permane, restano i termini della 379907.

Cosa rende diverso il progetto nel farmaceutico

Gli obblighi sono quelli di tutti, ma il contesto ha tre caratteristiche da mettere in conto subito. Il riferimento è l'Annex 11 di EudraLex Volume 4, la guida della Commissione europea sui sistemi computerizzati in ambito GMP, in inglese e qui riassunta senza virgolettarla.

I sistemi sono convalidati

In ambiente GxP un sistema non si aggiorna come un gestionale. L'Annex 11 prevede che ogni modifica, configurazioni comprese, avvenga in modo controllato secondo una procedura, che i sistemi siano valutati periodicamente per confermare che restino in stato convalidato e che esista un inventario aggiornato dei sistemi rilevanti con la loro funzionalità GMP. È compatibile con l'articolo 24 del decreto, ma allunga i tempi del patching: un piano che promette di chiudere le vulnerabilità in pochi giorni su una linea convalidata non regge.

La filiera passa da accessi remoti

Produzione conto terzi, ricerca contrattuale, manutentori di apparecchiature analitiche, fornitori di software di laboratorio: la filiera è fatta di terzi che entrano nei sistemi. L'articolo 24 comma 2 lettera d) chiede misure sulla sicurezza della catena di approvvigionamento, compresi i rapporti con i fornitori diretti, e il comma 3 chiede di tenere conto delle vulnerabilità specifiche di ciascuno. Un precedente esiste già in casa: l'Annex 11 chiede accordi formali, con responsabilità dichiarate, con le terze parti che forniscono, convalidano, mantengono anche da remoto o modificano un sistema computerizzato.

Un processo produttivo non si mette in pausa

L'articolo 24 comma 2 lettera c) mette continuità operativa, gestione dei backup e ripristino in caso di disastro fra le misure minime. La domanda è concreta: se il sistema che governa un processo critico si ferma, cosa lo sostituisce e in quanto tempo. L'Annex 11 chiede lo stesso, cioè disposizioni documentate e testate, con tempi proporzionati al rischio. Un backup mai ripristinato per prova non risponde né alla NIS2 né a un ispettore.

In sintesi

Nel life science la NIS2 non si legge per settore, si legge per voce di allegato: farmaci e ricerca sui medicinali nell'Allegato I, dispositivi medici e IVD nell'Allegato II salvo quelli critici in emergenza di sanità pubblica. Da lì la dimensione decide se si è essenziali o importanti, e quella casella cambia vigilanza, sanzioni e perfino l'elenco delle misure da adottare.

L'ordine di lavoro è quello: voce di allegato, categoria sui dati consolidati, gap misurati sull'allegato giusto, date contate dalla comunicazione. Resta poi la parte che nessun documento risolve, cioè accorgersi dell'incidente: le finestre dell'articolo 25 decorrono da quando se ne è venuti a conoscenza. Se vuoi capire dove cade la tua azienda e come coprire rilevamento e risposta nei termini previsti, parti dai nostri servizi NIS2.