NIS2 e pubblica amministrazione: quali comuni rientrano

Un'amministrazione pubblica rientra nella NIS2 se soddisfa due condizioni insieme: comparire nell'elenco ISTAT delle amministrazioni pubbliche e appartenere a una delle categorie dell'allegato III del D.Lgs. 138/2024. Fra gli enti locali l'allegato ne elenca quattro: Città metropolitane, Comuni sopra i 100.000 abitanti, Comuni capoluogo di regione, Aziende sanitarie locali. Per la PA il criterio dimensionale non si applica.

È il punto più frainteso del perimetro italiano, perché per gli enti pubblici la regola è costruita diversamente da quella per le imprese. Qui la ricostruiamo articolo per articolo.

La regola per la PA sta nell'articolo 3, comma 6

Il D.Lgs. 4 settembre 2024, n. 138, che recepisce la direttiva NIS2, dedica alle amministrazioni pubbliche una disposizione a parte. L'articolo 3, comma 6, stabilisce che il decreto si applica, anche indipendentemente dalle loro dimensioni, alle pubbliche amministrazioni di cui all'articolo 1, comma 3, della legge 31 dicembre 2009, n. 196, ricomprese nelle categorie elencate nell'allegato III. Due filtri, da superare entrambi.

Primo filtro: l'elenco ISTAT

Il rinvio all'articolo 1, comma 3, della legge 196/2009 punta alla ricognizione che l'ISTAT opera ogni anno e pubblica in Gazzetta Ufficiale entro il 30 settembre: l'elenco delle amministrazioni pubbliche inserite nel conto economico consolidato, da ultimo in Gazzetta Ufficiale n. 227 del 30 settembre 2025. Se l'ente non c'è, questa strada si chiude subito.

Secondo filtro: le categorie dell'allegato III

L'allegato III individua le categorie su quattro lettere:

• a) amministrazioni centrali: Organi costituzionali e di rilievo costituzionale; Presidenza del Consiglio dei ministri e Ministeri; Agenzie fiscali; Autorità amministrative indipendenti.
• b) amministrazioni regionali: le Regioni e le Province autonome.
• c) amministrazioni locali: le Città metropolitane; i Comuni con popolazione superiore a 100.000 abitanti; i Comuni capoluoghi di regione; le Aziende sanitarie locali.
• d) altri soggetti pubblici: Enti di regolazione dell'attività economica; Enti produttori di servizi economici; Enti a struttura associativa; Enti produttori di servizi assistenziali, ricreativi e culturali; Enti e Istituzioni di ricerca; Istituti zooprofilattici sperimentali.

I comuni: la soglia dei 100.000 abitanti e i capoluoghi

Per un ente locale la lettura è secca: rientrano i Comuni sopra i 100.000 abitanti e i Comuni capoluoghi di regione, oltre a Città metropolitane e Aziende sanitarie locali. Per differenza, non compaiono fra le categorie dell'allegato III le Province, le Comunità montane, le Unioni di comuni e i Comuni sotto soglia non capoluogo: nell'elenco ISTAT quelle voci esistono, ma l'allegato non le riprende.

Il criterio è l'opposto di quello che vale per le imprese, dove l'articolo 3, comma 2, chiede di superare i massimali per le piccole imprese della raccomandazione 2003/361/CE: prima il settore, poi la dimensione. Per la PA la dimensione è irrilevante, e al suo posto c'è una soglia demografica. I criteri per i privati stanno in a chi si applica la NIS2.

Fuori dall'allegato III non vuol dire fuori dal tema

Un comune sotto soglia può comunque entrare nel perimetro per tre strade. La prima: l'articolo 3, comma 7, prevede che con uno o più decreti del Presidente del Consiglio dei ministri possano essere individuate ulteriori categorie di pubbliche amministrazioni, adeguando l'allegato III. La seconda: l'allegato IV contempla al punto 4 società in house, partecipate e a controllo pubblico come definite dal D.Lgs. 19 agosto 2016, n. 175, e al punto 1 i servizi di trasporto pubblico locale, che però non rientrano in automatico, perché l'articolo 3, comma 8, li sottopone al decreto solo se individuati secondo le procedure del comma 13, cioè dall'ACN su proposta delle Autorità di settore. La terza è indiretta: l'articolo 24, comma 2, lettera d), mette la sicurezza della catena di approvvigionamento fra le misure obbligatorie, quindi i requisiti arrivano per contratto a chi fornisce servizi informatici a un ente NIS2.

Ci sono poi esclusioni esplicite: l'articolo 4, comma 2, stabilisce che i soggetti dell'articolo 3, commi 6 e 7, non ricomprendono il Parlamento italiano, l'Autorità giudiziaria, la Banca d'Italia e l'Unità di informazione finanziaria per l'Italia; il comma 3 esclude gli enti della PA che operano nei settori della pubblica sicurezza, della difesa nazionale o dell'attività di contrasto.

Essenziale o importante: per la PA è già scritto

La qualifica determina quali misure si applicano e quanto pesano le sanzioni. L'articolo 6, comma 1, lettera e), considera soggetti essenziali, a prescindere dalle dimensioni, le pubbliche amministrazioni centrali dell'allegato III, comma 1, lettera a). Il comma 2 consente all'ACN di individuare come essenziali anche soggetti dell'articolo 3, commi 6, 8, 9 e 10, quindi pure le amministrazioni regionali e locali. Il comma 3 considera soggetti importanti tutti i soggetti dell'articolo 3 non essenziali ai sensi dei commi 1 e 2.

Lo schema pubblicato dall'ACN nella sezione "Ambito" del proprio sito dice la stessa cosa: quattro categorie di PA centrale essenziali, undici di PA regionale e locale importanti, con possibile identificazione come essenziali. Per un comune capoluogo il punto di partenza è quindi soggetto importante.

Chi decide, e come lo si scopre

La posizione di ciascun ente si consolida in un procedimento annuale, scandito dall'articolo 7:

1. Dal 1 gennaio al 28 febbraio i soggetti dell'articolo 3 si registrano o aggiornano la registrazione sulla piattaforma digitale dell'Autorità nazionale competente NIS, indicando fra l'altro un punto di contatto e i pertinenti settori e tipologie degli allegati.
2. Entro il 31 marzo l'Autorità redige l'elenco dei soggetti essenziali e importanti e, tramite la piattaforma, comunica l'inserimento nell'elenco, la permanenza o l'espunzione.
3. Dal 15 aprile al 31 maggio chi ha ricevuto la comunicazione aggiorna ulteriori informazioni, fra cui indirizzi IP pubblici e nomi di dominio; ogni modifica successiva va notificata entro quattordici giorni.

La decisione non la prende l'ente: la prende l'ACN, e arriva come comunicazione formale sulla piattaforma. All'ente spetta il passo prima, registrarsi per tempo. Piattaforma e ruolo dell'Agenzia sono in ACN e NIS2: ruolo, registrazione e obblighi.

Le nomine, e una scorciatoia per gli enti piccoli

I ruoli li disciplina la Determinazione ACN 127437/2026, che ai sensi del suo articolo 24, comma 1, aggiorna e sostituisce la Determinazione ACN 379887 del 19 dicembre 2025. Il punto di contatto effettua la registrazione e interloquisce con l'Autorità: l'articolo 4, comma 4, prevede che, se il soggetto NIS è una pubblica amministrazione, le funzioni possano essere svolte da personale di un'altra pubblica amministrazione anch'essa nell'ambito del decreto, previa autorizzazione ai sensi dell'articolo 53 del D.Lgs. 165/2001. Il sostituto punto di contatto va designato entro il 31 maggio dell'anno di inserimento in elenco (articolo 5, comma 3), il referente CSIRT, che effettua le notifiche, entro il 31 dicembre dello stesso anno (articolo 7, comma 1).

Una semplificazione poco sfruttata: l'articolo 4, comma 8, prevede che la designazione del punto di contatto, per i soggetti dell'articolo 1, comma 1, della legge 28 giugno 2024, n. 90, possa soddisfare l'obbligo di nomina e comunicazione del referente per la cybersicurezza dell'articolo 8, comma 2, della stessa legge.

Cosa scatta dopo l'inserimento in elenco

I termini non decorrono dall'entrata in vigore del decreto, ma dipendono da quando l'ente entra in elenco. La regola generale sta nella Determinazione ACN 379907/2025, che ai sensi del suo articolo 9, comma 1, aggiorna e sostituisce la Determinazione ACN 164179 del 14 aprile 2025 e si applica dal 15 gennaio 2026: l'articolo 3 fissa diciotto mesi per le misure di sicurezza di base e nove mesi per la notifica degli incidenti significativi di base, contati dalla ricezione della comunicazione di inserimento. Per chi entra in elenco dalla coorte 2026, però, quei termini sono diventati date. La Determinazione ACN 127434/2026, applicabile dal 30 aprile 2026, stabilisce all'articolo 1 che per i soggetti inseriti per la prima volta nell'elenco nel corso del 2026 il termine per l'adozione delle misure di sicurezza scade il 31 luglio 2027 e l'obbligo di notifica degli incidenti significativi decorre dal 1 gennaio 2027; per chi era già in elenco nel 2025 e vi permane restano fermi i termini dell'articolo 3 della 379907/2025.

Il dettaglio che conta di più è quale allegato riguarda il tuo ente. L'articolo 2, comma 2, assegna le misure di sicurezza di base all'allegato 1 per i soggetti importanti e all'allegato 2 per i soggetti essenziali; il comma 3 fa lo stesso per gli incidenti significativi, allegato 3 per gli importanti e allegato 4 per gli essenziali. Un comune capoluogo, classificato importante, lavora quindi sull'allegato 1 e sull'allegato 3. Le misure seguono il Framework nazionale per la Cybersecurity e la Data Protection, edizione 2025.

C'è poi un adempimento periodico: l'articolo 30, comma 1, chiede di comunicare e aggiornare, dal 1 maggio al 30 giugno di ogni anno, l'elenco delle attività e dei servizi dell'ente con la relativa categoria di rilevanza. Il calendario sta in scadenze e adempimenti NIS2, la segnalazione al CSIRT Italia in notifica degli incidenti NIS2.

NIS2, perimetro cibernetico e misure minime AgID sono tre cose diverse

• Misure minime AgID. La Circolare AgID 18 aprile 2017, n. 2/2017, in Gazzetta Ufficiale n. 103 del 5 maggio 2017, indica le misure minime per la sicurezza ICT delle amministrazioni, destinatari i soggetti dell'articolo 2, comma 2, del Codice dell'amministrazione digitale, con attuazione fissata al 31 dicembre 2017. Base tecnica generale, non perimetro NIS2.
• Perimetro di sicurezza nazionale cibernetica. L'articolo 33 del D.Lgs. 138/2024 considera gli obblighi del decreto-legge 21 settembre 2019, n. 105, almeno equivalenti a quelli NIS2 e stabilisce che alle reti, ai sistemi e ai servizi informatici inseriti nell'elenco del perimetro non si applicano le disposizioni del decreto NIS, restando fermi gli obblighi per i sistemi diversi.
• Legge 90/2024. L'articolo 1, comma 1, individua per i suoi obblighi di notifica una platea molto simile a quella dell'allegato III, compresi i comuni sopra i 100.000 abitanti e i capoluoghi di regione; l'articolo 8 chiede una struttura per la sicurezza delle informazioni e un referente per la cybersicurezza, anche in forma associata.

Le tre discipline si sommano, non si sostituiscono. Il quadro d'insieme sta nella guida completa alla NIS2.

Le sanzioni per la PA hanno una scala propria

I tetti da 10 e 7 milioni di euro che si leggono ovunque valgono per i soggetti diversi dalle pubbliche amministrazioni, e li confrontiamo in sanzioni NIS2. Per le amministrazioni l'articolo 38 costruisce un regime separato.

• Per le violazioni del comma 8 (obblighi degli organi di amministrazione dell'articolo 23, gestione del rischio e notifica degli articoli 24 e 25) il comma 9, lettera c), prevede sanzioni da 25.000 a 125.000 euro per le amministrazioni dell'allegato III qualificate essenziali e, alle stesse condizioni, per i soggetti dell'allegato IV punto 1 partecipati o sottoposti a controllo pubblico e punto 4; la lettera d) riduce di un terzo l'importo quando gli stessi soggetti sono qualificati importanti.
• Per le violazioni del comma 10 (fra cui mancata registrazione o mancato aggiornamento delle informazioni dell'articolo 7 e mancata categorizzazione dell'articolo 30) il comma 11, lettera c), prevede da 10.000 a 50.000 euro per le essenziali della stessa platea, ridotte di un terzo per le importanti dalla lettera d).
• Il comma 7 riguarda le persone: la violazione degli obblighi del decreto può costituire causa di responsabilità dirigenziale, disciplinare e amministrativo-contabile.

In sintesi

Rientrano nella NIS2 le amministrazioni che stanno nell'elenco ISTAT e in una delle categorie dell'allegato III, a prescindere dalle dimensioni: per gli enti locali, Città metropolitane, Comuni sopra i 100.000 abitanti, Comuni capoluogo di regione e Aziende sanitarie locali. Le centrali della lettera a) sono essenziali per legge, le altre importanti salvo diversa individuazione dell'ACN.

Resta il punto che la norma non risolve: i termini di notifica decorrono da quando si viene a conoscenza dell'incidente, e un ente con due persone in servizio informatico e nessun presidio fuori orario non ha un problema di modulistica, ha un problema di rilevamento. Se stai costruendo quel presidio, puoi partire dai nostri servizi NIS2.