Soggetti essenziali e importanti NIS2: la differenza

Nella NIS2 italiana, il D.Lgs. 138/2024, chi rientra nel perimetro è soggetto essenziale o soggetto importante. Sono essenziali soprattutto le grandi imprese dei settori dell'Allegato I, più alcune categorie indicate a prescindere dalla dimensione (art. 6). Tutti gli altri sono importanti. Gli obblighi hanno la stessa struttura; cambiano misure, controlli e tetto delle sanzioni.

Se il dubbio è a monte, cioè se rientri o no, il punto di partenza è a chi si applica la NIS2. Qui si parte da dentro il perimetro.

La regola dell'articolo 6

L'art. 6 c. 1 del D.Lgs. 138/2024 elenca chi è essenziale:

• i soggetti dell'Allegato I, i settori che l'art. 3 chiama altamente critici (fra gli altri energia, trasporti, sanità, acqua, infrastrutture digitali), che superano i massimali per le medie imprese;
• a prescindere dalla dimensione, i soggetti identificati come soggetti critici ai sensi della normativa che recepisce la direttiva (UE) 2022/2557;
• i fornitori di reti pubbliche di comunicazione elettronica e di servizi di comunicazione elettronica accessibili al pubblico che si considerano medie imprese;
• a prescindere dalla dimensione, i prestatori di servizi fiduciari qualificati, i gestori di registri dei nomi di dominio di primo livello e i fornitori di servizi DNS;
• a prescindere dalla dimensione, le pubbliche amministrazioni centrali dell'Allegato III.

Il comma 2 aggiunge un canale discrezionale: l'ACN può individuare come essenziali, indipendentemente dalle dimensioni, alcuni soggetti che il decreto include per ragioni diverse dalla taglia (pubbliche amministrazioni dell'Allegato III, soggetti dell'Allegato IV, soggetti individuati con i criteri di criticità dell'art. 3 c. 9, imprese collegate a un soggetto NIS).

Il comma 3 chiude per esclusione: sono importanti tutti i soggetti dell'art. 3 che non sono essenziali.

La dimensione si misura due volte

La stessa raccomandazione europea, la 2003/361/CE, viene usata con due soglie per due domande diverse.

Prima soglia: rientri o no

Per i settori degli Allegati I e II, l'art. 3 c. 2 applica il decreto a chi supera i massimali della piccola impresa. L'art. 2 dell'allegato alla raccomandazione definisce piccola l'impresa che occupa meno di 50 persone e ha un fatturato annuo o un totale di bilancio annuo non superiori a 10 milioni di euro. Si supera quindi la soglia con almeno 50 persone, oppure con fatturato e bilancio entrambi sopra i 10 milioni.

Seconda soglia: essenziale o importante

Per i settori dell'Allegato I, l'art. 6 c. 1 lett. a) guarda ai massimali della media impresa. Lo stesso art. 2, al paragrafo 1, fissa il limite superiore della media impresa: meno di 250 persone e un fatturato annuo non superiore a 50 milioni di euro oppure un totale di bilancio annuo non superiore a 43 milioni. Si supera la soglia, e si diventa grande impresa, con almeno 250 persone, oppure con fatturato oltre 50 milioni e bilancio oltre 43 milioni, entrambi.

Due dettagli che spostano il risultato

• Le persone si contano in ULA. L'art. 5 dell'allegato alla raccomandazione conta gli effettivi in unità lavorative-anno: part-time e stagionali valgono in frazioni.
• Il gruppo conta. L'art. 3 c. 4 del decreto richiama l'art. 6, paragrafo 2, dell'allegato alla raccomandazione: ai dati dell'impresa si sommano quelli delle imprese associate, in proporzione alla partecipazione, e il 100% di quelli delle collegate. Il decreto ammette un correttivo quando l'aggregazione non è proporzionata, tenendo conto di quanto l'impresa è indipendente dalle collegate nei sistemi informativi e di rete e nei servizi. Una controllata da 120 persone dentro un gruppo da 3.000 può risultare grande.

Cinque casi per orientarsi

• Distributore di gas con 400 dipendenti. Energia è Allegato I, la soglia della media impresa è superata: essenziale.
• Lo stesso distributore con 120 dipendenti e 30 milioni di fatturato. Allegato I, ma media impresa: importante.
• Costruttore di macchinari con 1.500 dipendenti. La fabbricazione sta nell'Allegato II, e la lettera a) dell'art. 6 c. 1 vale solo per l'Allegato I: resta importante, per quanto grande, salvo designazione dell'ACN o identificazione come soggetto critico.
• Operatore di connettività con 80 dipendenti. Con 80 dipendenti non è piccola impresa, e da media impresa è già essenziale per la regola specifica della lettera c), come spieghiamo negli obblighi NIS2 per le telecomunicazioni.
• Banca di medie dimensioni. Il settore bancario è nell'Allegato I, ma l'art. 3 c. 14 esclude per i settori 3 e 4 dell'Allegato I l'art. 17 (accordi di condivisione delle informazioni) e i Capi IV e V del decreto (gestione del rischio e notifica degli incidenti; monitoraggio, vigilanza ed esecuzione): si applica il regolamento (UE) 2022/2554, DORA. Il confronto è in DORA vs NIS2.

Cosa è uguale per entrambi

La qualifica non cambia l'impianto degli obblighi. Essenziali e importanti:

• si registrano ogni anno sulla piattaforma ACN dal 1° gennaio al 28 febbraio (art. 7), con la procedura descritta in ACN e NIS2: registrazione e obblighi;
• hanno organi di amministrazione che approvano le modalità di implementazione delle misure, ne sovrintendono l'attuazione, sono responsabili delle violazioni e devono seguire una formazione in materia di sicurezza informatica (art. 23);
• notificano gli incidenti significativi al CSIRT Italia con la stessa catena: pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese (art. 25 c. 5);
• rispettano gli stessi termini: per chi è stato inserito nell'elenco nel 2026, la Determinazione ACN 127434/2026 fissa al 31 luglio 2027 l'adozione delle misure, sia dell'allegato per gli importanti sia di quello per gli essenziali, e fa decorrere dal 1° gennaio 2027 l'obbligo di notifica per entrambi.

Un soggetto importante non ha più tempo: ha un elenco di requisiti più corto e un controllo meno assiduo.

Cosa cambia davvero

Le misure di sicurezza

La Determinazione ACN 379907/2025 traduce gli obblighi in due allegati distinti: l'allegato 1 per gli importanti, l'allegato 2 per gli essenziali. Secondo la Guida alla lettura dell'ACN (versione 2.1) sono 37 misure con 87 requisiti per i soggetti importanti e 43 misure con 116 requisiti per gli essenziali.

Dei 29 requisiti in più, 10 stanno in 6 misure previste solo per gli essenziali e 19 rafforzano 10 misure comuni. Le sei misure riservate agli essenziali chiedono in sostanza:

• un inventario aggiornato dei flussi di rete fra i sistemi del soggetto e l'esterno (ID.AM-03);
• una formazione dedicata ai ruoli specializzati, amministratori di sistema compresi (PR.AT-02);
• configurazioni di riferimento sicure, documentate, almeno per i sistemi rilevanti (PR.PS-01);
• procedure per il trasferimento e la dismissione sicura dei supporti di memorizzazione e registri delle manutenzioni hardware (PR.PS-03);
• sistemi di comunicazione di emergenza protetti, secondo l'esito della valutazione del rischio (PR.IR-03);
• procedure per comunicare internamente le attività di ripristino dopo un incidente (RC.CO-03).

L'esempio che la Guida porta per le misure comuni è PR.DS-11, sui backup: 2 requisiti nella versione per gli importanti, 5 in quella per gli essenziali. Nei due allegati la differenza si legge bene: backup periodici e copie offline valgono per tutti, mentre la cifratura o la protezione fisica dei supporti e i test di ripristino periodici sono richiesti agli essenziali.

Gli incidenti da notificare

Gli incidenti significativi di base stanno nell'allegato 3 per gli importanti e nel 4 per gli essenziali, che ha una tipologia in più, IS-4: l'evidenza di un accesso non autorizzato o con abuso dei privilegi a dati digitali del soggetto, rilevata anche sulla base dei parametri di monitoraggio definiti con la misura DE.CM-01. Tradotto: per un essenziale non conta solo la perdita di riservatezza verso l'esterno (IS-1), conta anche l'accesso abusivo in quanto tale, e per accorgersene servono soglie di monitoraggio definite e qualcuno che le guardi.

La vigilanza

Qui la differenza è netta. L'art. 36 c. 2 stabilisce che nei confronti dei soggetti importanti i poteri di verifica e ispettivi si applicano unicamente quando l'ACN "acquisisca o riceva elementi di prova, indicazioni o informazioni che suggeriscano possibili violazioni del presente decreto". Per gli essenziali quel presupposto non c'è: ispezioni in loco e a distanza e controlli casuali (art. 36 c. 1) possono partire anche senza un indizio.

L'art. 37 c. 3 lett. a) aggiunge che l'ACN "non può prescrivere l'esecuzione periodica di audit di sicurezza ai soggetti importanti". Agli essenziali sì. In entrambi i casi i costi degli audit e delle scansioni sono di regola a carico del soggetto (art. 34 c. 7).

Le sanzioni

L'art. 38 c. 9 fissa i tetti per le violazioni degli obblighi principali (organi di amministrazione, misure, notifica, inottemperanza alle disposizioni ACN):

• essenziali: fino a 10 milioni di euro o al 2% del fatturato annuo mondiale, se superiore, con un minimo pari a un ventesimo del massimo;
• importanti: fino a 7 milioni di euro o all'1,4%, con un minimo pari a un trentesimo.

Per le violazioni del comma 10, come la mancata registrazione, il tetto è lo 0,1% del fatturato per gli essenziali e lo 0,07% per gli importanti. Il dettaglio, comprese le pubbliche amministrazioni, è in sanzioni NIS2.

Le persone

Due misure valgono solo per gli essenziali. L'art. 38 c. 5 rende le persone fisiche che rappresentano o controllano un soggetto essenziale responsabili del rispetto del decreto. L'art. 38 c. 4 consente, se una diffida resta inadempiuta, la sospensione temporanea di un certificato o di un'autorizzazione relativi ai servizi del soggetto essenziale. Vale invece per entrambi l'art. 38 c. 6: dopo una diffida inadempiuta, l'incapacità a svolgere funzioni dirigenziali all'interno del soggetto per i membri degli organi di amministrazione e direttivi e per chi ne è amministratore delegato o rappresentante legale.

Chi decide la qualifica, e quando può cambiare

La qualifica non si sceglie e non è fissata per sempre. Il soggetto si registra indicando settore, sottosettore e tipologia; entro il 31 marzo l'ACN redige l'elenco dei soggetti essenziali e importanti e comunica in piattaforma inserimento, permanenza o espunzione (art. 7 cc. 2 e 3). Ogni modifica delle informazioni trasmesse va notificata entro quattordici giorni (art. 7 c. 7).

Un'azienda dell'Allegato I che supera i 250 effettivi con un'acquisizione può quindi passare da importante a essenziale, e trovarsi con l'allegato 2 al posto dell'allegato 1. Chi è vicino alla soglia fa bene a ragionare già sulle 43 misure.

Cosa fare con la qualifica in mano

1. Rifai il calcolo dimensionale sul gruppo, in unità lavorative-anno e con collegate e associate.
2. Prendi l'allegato giusto: 1 se sei importante, 2 se sei essenziale. Un gap assessment sull'allegato sbagliato misura la distanza da un traguardo che non è il tuo.
3. Se sei essenziale, tieni le evidenze pronte: un'ispezione non ha bisogno di un indizio, e la notifica comprende anche gli accessi abusivi, che senza un monitoraggio continuo non si vedono.
4. Se sei importante, non leggere la vigilanza successiva come una franchigia: le verifiche partono da indicazioni di possibili violazioni, l'art. 35 c. 3 lett. b) consente all'ACN di chiedere audit mirati in particolare dopo un incidente significativo, e i tetti delle sanzioni restano alti.

Per un primo inquadramento c'è il NIS2 check; il quadro completo è nella guida completa alla NIS2.

Se la qualifica è chiara e il punto aperto è coprire le misure e il monitoraggio che comporta, guarda come lavoriamo sui servizi NIS2.