NIS2 acqua potabile e acque reflue: chi rientra

Risposta breve: chi gestisce acqua potabile o acque reflue rientra nella NIS2. Il D.Lgs. 138/2024 colloca i due servizi nell'Allegato I, quello dei settori ad alta criticità, ma come due settori distinti, il numero 6 e il numero 7, con clausole di esclusione scritte in modo diverso. Essere in Allegato I non basta però a diventare soggetto essenziale: quella categoria dipende dalla dimensione.

Il riferimento è il D.Lgs. 4 settembre 2024, n. 138, in Gazzetta Ufficiale Serie generale n. 230 del 1 ottobre 2024, che recepisce la Direttiva (UE) 2022/2555. L'autorità competente è l'ACN. Per il quadro generale parti dalla guida completa alla NIS2.

Dove stanno acqua potabile e acque reflue nel decreto

Nell'Allegato I, che l'articolo 3 comma 1 descrive come l'elenco dei settori altamente critici, il settore acqua potabile è il numero 6 e il settore acque reflue è il numero 7. Lo conferma l'articolo 11 comma 2 lettera e), che designa il Ministero dell'ambiente e della sicurezza energetica come Autorità di settore per entrambi, con quei due numeri.

Sono due voci separate, ciascuna con una sola tipologia di soggetto, come riepiloga lo schema degli ambiti pubblicato da ACN. Un gestore del servizio idrico integrato ricade in tutte e due.

Le due voci non sono scritte allo stesso modo

Per l'acqua potabile l'Allegato I individua i fornitori e distributori di acque destinate al consumo umano come definiti dalla direttiva (UE) 2020/2184, "ma esclusi i distributori per i quali la distribuzione di acque destinate al consumo umano è una parte non essenziale dell'attività generale di distribuzione di altri prodotti e beni".

Per le acque reflue individua invece le imprese che raccolgono, smaltiscono o trattano acque reflue urbane, domestiche o industriali come definite dalla direttiva 91/271/CEE, "escluse le imprese per cui la raccolta, lo smaltimento o il trattamento di acque reflue urbane, domestiche o industriali è una parte non essenziale della loro attività generale".

La differenza pesa. Sull'acqua potabile l'esclusione è ritagliata sui soli distributori e si misura sulla distribuzione di altri prodotti e beni. Sulle acque reflue parla di imprese in generale e si misura sull'attività generale. Tradotto: uno stabilimento che depura i propri reflui come attività accessoria ha una via di uscita esplicita dalla voce 7, senza equivalente simmetrico sulla voce 6.

Essenziale o importante: decide la dimensione, non l'allegato

Qui cade l'equivoco più diffuso. L'articolo 6 comma 1 lettera a) considera essenziali "i soggetti di cui all'allegato I che superano i massimali per le medie imprese di cui all'articolo 2, paragrafo 1, dell'allegato della raccomandazione 2003/361/CE". Il comma 3 chiude il cerchio: sono importanti tutti i soggetti che non risultano essenziali. Lo schema ACN lo dice in tre righe: per acqua potabile e acque reflue, grandi imprese essenziali, medie imprese importanti, piccole e micro fuori ambito, con la nota che l'Autorità può identificare come essenziali anche altri soggetti.

La soglia di ingresso e la congiunzione che la regge

L'articolo 3 comma 2 non fissa una soglia propria. Dice che il decreto si applica ai soggetti degli allegati I e II "che superano i massimali per le piccole imprese ai sensi dell'articolo 2, paragrafo 2, dell'allegato alla raccomandazione 2003/361/CE". Vale la pena leggere quella definizione com'è scritta, perché la scorciatoia 50 dipendenti o 10 milioni non la riporta fedelmente.

La raccomandazione dice: "Nella categoria delle PMI si definisce piccola impresa un'impresa che occupa meno di 50 persone e realizza un fatturato annuo o un totale di bilancio annuo non superiori a 10 milioni di EUR".

Due congiunzioni, due funzioni diverse. La e lega gli addetti al parametro finanziario: per restare piccola impresa servono entrambe le condizioni. La o lega fatturato e totale di bilancio: basta che uno dei due resti entro i 10 milioni. Il conteggio non si ferma alla singola società: l'articolo 3 comma 4 richiama l'articolo 6, paragrafo 2, dell'allegato alla raccomandazione, il calcolo che tiene conto delle imprese collegate e associate, salvo che ciò non sia proporzionato. I criteri generali sono in a chi si applica la NIS2.

Sotto soglia non si è fuori per sempre: l'articolo 3 comma 9 consente all'Autorità di individuare soggetti indipendentemente dalla dimensione, tra l'altro quando una perturbazione del servizio potrebbe avere un impatto significativo sulla sicurezza pubblica, l'incolumità pubblica o la salute pubblica.

Registrazione ACN e termini in corso

L'articolo 7 comma 1 fissa la finestra: dal 1° gennaio al 28 febbraio di ogni anno i soggetti si registrano o aggiornano la registrazione sulla piattaforma digitale dell'ACN, con recapiti, punto di contatto e settori pertinenti. Entro il 31 marzo l'Autorità redige l'elenco e ne comunica l'esito; dal 15 aprile al 31 maggio chi è dentro completa le informazioni, tra cui spazio di indirizzamento IP pubblico e nomi di dominio. Il dettaglio è in registrazione ACN e obblighi NIS2.

I termini degli obblighi dipendono da quando si è entrati nell'elenco. La Determinazione ACN 379907/2025 fissa 18 mesi dalla comunicazione di inserimento per le misure di sicurezza di base e 9 mesi per la notifica degli incidenti significativi di base; ACN, che ha iniziato a comunicare l'inserimento dal 12 aprile 2025, traduce i due termini della prima coorte in ottobre 2026 e gennaio 2026. Per chi è entrato per la prima volta nel 2026 vale la Determinazione ACN 127434/2026: misure entro il 31 luglio 2027, obbligo di notifica dal 1° gennaio 2027. Chi era già nell'elenco 2025 e vi permane mantiene i termini precedenti.

Le misure di base, lette su un impianto

Le specifiche di base sono 37 misure con 87 requisiti per i soggetti importanti (allegato 1) e 43 misure con 116 requisiti per i soggetti essenziali (allegato 2), sviluppate in accordo al Framework nazionale per la Cybersecurity e la Data Protection, edizione 2025. Alcune parlano al mondo idrico.

• ID.AM-01: inventario aggiornato degli apparati fisici, "ivi inclusi i dispositivi IT, IoT, OT e mobili". Gli RTU di un sollevamento e i PLC di un potabilizzatore ci stanno dentro.
• ID.AM-03, prevista per i soli soggetti essenziali (allegato 2): inventario aggiornato dei flussi di rete verso l'esterno. Con telecontrollo su rete cellulare o radio, è la mappa che quasi nessuno ha completa.
• PR.AA-01: tutte le utenze, comprese quelle amministrative e quelle per l'accesso remoto, censite, approvate e di regola individuali. È il punto in cui cade l'utenza condivisa del fornitore SCADA.
• PR.IR-01: attività consentite da remoto definite e documentate, elenco aggiornato dei sistemi raggiungibili da remoto con le relative modalità, sistemi perimetrali configurati.
• DE.CM-01: strumenti tecnici per rilevare tempestivamente gli incidenti significativi e definizione documentata dei livelli di servizio attesi.

L'ultimo è il più sottovalutato, ed è il presupposto della notifica. Fra soggetti essenziali e importanti cambia sia l'elenco sia il regime di vigilanza: agli essenziali si applicano 6 misure in più (ID.AM-03, PR.AT-02, PR.PS-01, PR.PS-03, PR.IR-03 e RC.CO-03) oltre a requisiti aggiuntivi su misure comuni, e i poteri di verifica e ispettivi sui soggetti importanti si esercitano solo in presenza di elementi che suggeriscano una violazione.

Notifica degli incidenti: i tempi dell'articolo 25

L'articolo 25 comma 5 scandisce la sequenza verso il CSIRT Italia, senza ingiustificato ritardo:

1. pre-notifica entro 24 ore da quando si è venuti a conoscenza dell'incidente significativo, indicando ove possibile se sia il risultato di atti illegittimi o malevoli;
2. notifica entro 72 ore, con valutazione iniziale di gravità e impatto e, ove disponibili, gli indicatori di compromissione;
3. relazione intermedia su richiesta del CSIRT Italia;
4. relazione finale entro un mese dalla notifica, con causa originale e mitigazioni.

Un incidente è significativo, ai sensi del comma 4, se ha causato o può causare una grave perturbazione operativa dei servizi o perdite finanziarie, oppure se ha ripercussioni su altri con perdite considerevoli. In prima applicazione le tipologie da notificare sono quelle di base: tre per i soggetti importanti (allegato 3), quattro per gli essenziali (allegato 4). In entrambi la terza è la violazione dei livelli di servizio attesi definiti ai sensi di DE.CM-01: senza quei livelli scritti, un fermo impianto non ha un metro che dica se va notificato. La procedura è in notifica degli incidenti NIS2.

Segmentare IT e OT: che cosa significa davvero

Nel settore idrico il bene da tenere in piedi non è un archivio, è un processo fisico: pressione in rete, dosaggio dei reagenti, portata a un depuratore. Lo governano PLC, SCADA e telecontrollo con cicli di vita lunghi, spesso su piattaforme non più aggiornabili e raggiungibili da remoto, perché gli impianti stanno sul territorio.

Segmentare non è comprare un apparato. Vuol dire, nell'ordine:

• Sapere che cosa parla con che cosa. Senza inventario dei flussi, ogni regola su un firewall è una scommessa.
• Togliere le rotte dirette tra rete d'ufficio e rete di impianto, a partire dalla postazione di supervisione che sta anche sul dominio aziendale.
• Far passare la manutenzione remota da un punto controllato, con utenze individuali e sessioni registrate, non da collegamenti aperti in permanenza sui quadri.
• Osservare il traffico OT senza interrogarlo: un controllore non tollera scansioni attive né agenti pensati per i server.
• Provare il ripristino delle logiche di controllo e delle configurazioni, non dei soli gestionali.

Le misure ACN non usano la parola segmentazione: chiedono inventari, controllo degli accessi remoti e sistemi perimetrali configurati. La segmentazione è il modo ingegneristico di soddisfarli su una rete di impianti. La famiglia di norme tecniche di riferimento resta la IEC 62443, titolo di serie "Security for industrial automation and control systems".

C'è poi il capitolo fornitori: l'articolo 24 comma 2 lettera d) include la sicurezza della catena di approvvigionamento e i rapporti con i fornitori diretti. Nel settore idrico il fornitore critico è quasi sempre chi ha costruito il telecontrollo e ne mantiene l'accesso: lì il tema diventa contrattuale. Il parallelo su reti ed energia è in NIS2 per energia e utility.

Da dove si parte

1. Verifica il perimetro voce per voce, con le rispettive esclusioni. Se le due attività convivono nella stessa società, si dichiarano entrambe.
2. Determina la categoria. Massimali della media impresa, con il calcolo esteso a collegate e associate dove previsto.
3. Fissa la data di riferimento. I termini dipendono dall'anno di inserimento nell'elenco, non dall'entrata in vigore.
4. Parti da inventario OT e livelli di servizio attesi. Senza inventario non c'è segmentazione che regga, senza livelli di servizio non c'è criterio di notifica.

Da mettere a calendario per tempo: ai sensi dell'articolo 23 gli organi di amministrazione e direttivi approvano le modalità di implementazione delle misure, rispondono delle violazioni e devono seguire una formazione in materia di sicurezza informatica. Nel settore idrico, dove il consiglio è spesso espressione di enti locali, non è un dettaglio.

Se vuoi un confronto sul tuo caso, dal perimetro alle misure di base sugli ambienti OT, scrivici: partiamo da quello che hai già in campo.

In sintesi: acqua potabile e acque reflue sono due voci separate dell'Allegato I, con esclusioni diverse; la categoria dipende dalla dimensione, non dall'allegato; i termini dipendono dall'anno di inserimento nell'elenco. Il lavoro tecnico si gioca su inventario, accessi remoti e livelli di servizio.