NIS2 trasporti: chi rientra e quali obblighi

Nel D.Lgs. 138/2024, che recepisce la NIS2, i trasporti sono un settore ad alta criticità dell'Allegato I, diviso in quattro sottosettori: aereo, ferroviario, per vie d'acqua e su strada. Non rientra chiunque muova merci o persone: contano la tipologia di soggetto elencata e la dimensione. Da grande impresa si è soggetto essenziale, da media impresa soggetto importante.

I quattro sottosettori dei trasporti nell'Allegato I

L'Allegato I elenca i settori ad alta criticità. I trasporti sono il settore 2, e le tipologie elencate mettono in posizioni diverse aziende che nel linguaggio comune fanno lo stesso mestiere.

Trasporto aereo

• Vettori aerei ai sensi dell'articolo 3, punto 4), del regolamento (CE) n. 300/2008, utilizzati a fini commerciali.
• Gestori aeroportuali e aeroporti ai sensi della direttiva 2009/12/CE, compresi gli aeroporti centrali dell'allegato II, sezione 2, del regolamento (UE) n. 1315/2013, e i soggetti che gestiscono impianti annessi situati in aeroporti.
• Operatori del controllo del traffico aereo ai sensi dell'articolo 2, punto 1), del regolamento (CE) n. 549/2004.

Trasporto ferroviario

• Gestori dell'infrastruttura ai sensi dell'articolo 3, punto 2), della direttiva 2012/34/UE.
• Imprese ferroviarie ai sensi dell'articolo 3, punto 1), della stessa direttiva, compresi gli operatori degli impianti di servizio del punto 12).

Chi gestisce scali merci, scali di smistamento e centri di manutenzione rientra quindi nell'elencazione come operatore di impianto di servizio.

Trasporto per vie d'acqua

• Compagnie di navigazione per il trasporto per vie d'acqua interne, marittimo e costiero di passeggeri e merci, con una esclusione scritta nell'Allegato: "escluse le singole navi gestite da tale compagnia".
• Organi di gestione dei porti ai sensi della direttiva 2005/65/CE, compresi i relativi impianti portuali ai sensi del regolamento (CE) n. 725/2004, e i soggetti che gestiscono opere e attrezzature all'interno di porti.
• Gestori di servizi di assistenza al traffico marittimo (VTS) ai sensi della direttiva 2002/59/CE.

Trasporto su strada

• Autorità stradali ai sensi dell'articolo 2, punto 12), del regolamento delegato (UE) 2015/962, responsabili del controllo della gestione del traffico, con questa esclusione testuale: "esclusi i soggetti pubblici per i quali la gestione del traffico o la gestione di sistemi di trasporto intelligenti costituiscono soltanto una parte non essenziale della loro attività generale".
• Gestori di sistemi di trasporto intelligenti ai sensi dell'articolo 4, punto 1), della direttiva 2010/40/UE.

Chi non c'è nel sottosettore stradale

Sorprende cosa manca. Nel trasporto su strada non compaiono gli operatori di autotrasporto merci, gli spedizionieri, i gestori di magazzini o le flotte conto terzi: nel perimetro c'è chi governa il traffico e i sistemi che lo regolano, non chi ci viaggia sopra. Non vuol dire che la logistica su gomma sia fuori da tutto: restano due strade per rientrare.

• Un altro settore dell'elenco. I fornitori di servizi postali, tra cui i fornitori di servizi di corriere, sono il settore 1 dell'Allegato II, gli altri settori critici: chi vi rientra è di norma soggetto importante.
• La catena di approvvigionamento. L'art. 24 c. 2 lett. d) mette la sicurezza della catena di approvvigionamento fra le misure minime, quindi i requisiti arrivano per contratto dai clienti che rientrano. E l'art. 3 c. 9 lett. f) consente di far rientrare, a prescindere dalla dimensione, chi è critico come elemento sistemico della catena di approvvigionamento di soggetti essenziali o importanti. L'individuazione spetta all'ACN su proposta delle Autorità di settore (art. 3 c. 13), e la Determinazione ACN n. 127437/2026 prevede all'art. 18 l'elencazione dei fornitori rilevanti, con dati identificativi, codici CPV e criterio di rilevanza: i clienti NIS ti stanno già scrivendo in un elenco.

La stessa dinamica, in un altro comparto, sta in NIS2 nel manifatturiero.

Essenziale o importante: qui decide la dimensione

Nei trasporti la qualifica non discende dal settore una volta per tutte. Si legge in tre passaggi.

1. Si rientra se si supera il massimale della piccola impresa (art. 3 c. 2), che nella raccomandazione 2003/361/CE occupa meno di 50 persone e realizza un fatturato annuo o un totale di bilancio annuo non superiori a 10 milioni di euro.
2. Si è essenziali se, stando nell'Allegato I, si superano i massimali della media impresa (art. 6 c. 1 lett. a), che nella stessa raccomandazione occupa meno di 250 persone e ha un fatturato annuo non superiore a 50 milioni di euro oppure un totale di bilancio annuo non superiore a 43 milioni.
3. Si è importanti negli altri casi (art. 6 c. 3).

Due avvertenze. Il conteggio somma il 100% dei dati delle imprese collegate e, in proporzione alla quota di capitale o di voti, quelli delle imprese associate (art. 3 c. 4 del decreto, che rinvia all'art. 6 par. 2 dell'allegato alla raccomandazione 2003/361/CE, con una clausola di salvaguardia), quindi una società piccola dentro un gruppo grande può risultare grande. E si è essenziali a prescindere dalla dimensione quando si è identificati come soggetti critici ai sensi del decreto che recepisce la direttiva (UE) 2022/2557, cioè il D.Lgs. 134/2024 (art. 6 c. 1 lett. b). I criteri generali sono in a chi si applica la NIS2.

Cosa cambia davvero fra le due qualifiche

Le misure dell'art. 24 e gli obblighi di notifica dell'art. 25 sono gli stessi. Cambiano tre cose.

• Vigilanza. Verso i soggetti importanti i poteri di verifica e ispettivi si applicano solo quando l'ACN acquisisce o riceve elementi di prova, indicazioni o informazioni che suggeriscano possibili violazioni (art. 36 c. 2). Per gli essenziali quel presupposto non serve.
• Sanzioni. Per gli essenziali il massimo è 10 milioni di euro o il 2% del fatturato annuo mondiale se superiore, con minimo pari a un ventesimo del massimo edittale; per gli importanti 7 milioni o l'1,4%, con minimo pari a un trentesimo (art. 38 c. 9).
• Misure di base. La Determinazione ACN n. 379907 del 19 dicembre 2025 stabilisce le specifiche di base all'art. 2 c. 2 in due allegati asimmetrici: allegato 1 per i soggetti importanti, allegato 2 per i soggetti essenziali. Gli incidenti significativi di base seguono la stessa logica, allegato 3 per gli importanti e allegato 4 per gli essenziali. La stessa determinazione, all'art. 9, aggiorna e sostituisce la determinazione ACN n. 164179 del 14 aprile 2025 e si applica dal 15 gennaio 2026: un documento che rimanda ancora alla 164179 è un testo superato.

Il trasporto pubblico locale ha una porta sua

Il decreto italiano aggiunge un Allegato IV, "Ulteriori tipologie di soggetti", e al punto 1 mette i "Soggetti che forniscono servizi di trasporto pubblico locale". A questi si applica indipendentemente dalle dimensioni (art. 3 c. 8), ma non in automatico: vanno individuati dall'ACN su proposta delle Autorità di settore (art. 3 c. 13), che notifica l'individuazione ai fini della registrazione.

Due conseguenze. L'Autorità di settore è il Ministero delle infrastrutture e dei trasporti, sia per l'Allegato I sia per il trasporto pubblico locale dell'Allegato IV (art. 11 c. 2 lett. f). E il regime sanzionatorio cambia: per i soggetti dell'Allegato IV punto 1 partecipati o sottoposti a controllo pubblico le sanzioni vanno da 25.000 a 125.000 euro se sono essenziali, ridotte di un terzo se sono importanti (art. 38 c. 9 lett. c e d).

Le regole di settore non spariscono, si affiancano

Chi lavora in aeroporto o in porto convive già con discipline di security nate prima della NIS2. Il decreto le richiama per definire chi rientra, ma non le dichiara sostitutive: l'art. 14 c. 1 prevede la cooperazione fra l'Autorità nazionale competente NIS e, fra gli altri, l'ENAC quale autorità nazionale ai sensi dei regolamenti (CE) n. 300/2008 e (UE) 2018/1139, con scambio periodico di informazioni anche sugli incidenti e sulle minacce informatiche rilevanti.

Una clausola di equivalenza, nel decreto, esiste in un solo punto: l'art. 33 considera almeno equivalenti gli obblighi previsti dalla disciplina del perimetro di sicurezza nazionale cibernetica. Per i trasporti non c'è niente di simile, e l'unica esclusione settoriale sta all'art. 3 c. 14, che ai soggetti dei settori 3 e 4 dell'Allegato I, bancario e infrastrutture dei mercati finanziari, non applica l'art. 17 e i Capi IV e V del decreto, perché a loro si applica il regolamento (UE) 2022/2554. Il decreto, per i trasporti, non prevede nessuna esenzione dagli obblighi NIS in ragione della disciplina di security aeroportuale o portuale: chi rientra nell'Allegato I resta dentro anche se è già vigilato come operatore aeroportuale o portuale.

Cosa fare, e in che ordine

1. Verifica la tipologia. Non il nome del settore: la riga dell'Allegato I, II o IV che descrive quello che fai.
2. Misura la dimensione con i criteri della raccomandazione 2003/361/CE, imprese collegate comprese.
3. Registrati sulla piattaforma ACN fra il 1° gennaio e il 28 febbraio (art. 7 c. 1). L'elenco è redatto entro il 31 marzo, l'inserimento ti viene comunicato, fra il 15 aprile e il 31 maggio si aggiornano le informazioni (c. 2, 3 e 4). Il percorso sta in ACN e NIS2: ruolo, registrazione e obblighi.
4. Designa il referente CSIRT entro il 31 dicembre dell'anno in cui sei stato inserito in elenco, come prevede l'art. 7 della Determinazione ACN n. 127437/2026.
5. Adotta le misure di base entro diciotto mesi dalla comunicazione di inserimento (art. 3 della Determinazione 379907/2025). Per chi entra in elenco nel 2026, la Determinazione ACN n. 127434/2026 sposta il termine al 31 luglio 2027 e fa decorrere la notifica degli incidenti significativi di base dal 1° gennaio 2027.
6. Porta il tema in consiglio. L'art. 23 chiede agli organi di amministrazione e direttivi di approvare le modalità di implementazione delle misure, di sovrintendere agli obblighi, di seguire una formazione in materia di sicurezza informatica e di essere informati degli incidenti.

Il nodo operativo di chi muove persone e merci

La superficie esposta di una azienda di trasporto non finisce ai suoi server: sistemi di prenotazione e ticketing, piattaforme di handling e di terminal condivise con altri operatori, telematica di bordo, sistemi di gestione del traffico, interfacce verso dogane e autorità. Sistemi distribuiti e spesso governati da terzi: la mappatura degli asset è un lavoro vero, non un adempimento.

Poi c'è il tempo. La continuità si misura in corse, rotazioni e finestre di scalo, e il metro della norma è il servizio: l'art. 25 c. 4 considera significativo l'incidente che ha causato o è in grado di causare una grave perturbazione operativa dei servizi o perdite finanziarie per il soggetto, oppure ripercussioni su altre persone fisiche o giuridiche con perdite materiali o immateriali considerevoli. E le 24 ore della pre-notifica decorrono da quando si viene a conoscenza dell'incidente, non da quando è iniziato: chi se ne accorge tardi non ha un problema di modulistica, ha un problema di rilevamento. I tempi sono in notifica degli incidenti NIS2, il quadro generale nella guida completa alla NIS2.

In sintesi

I trasporti sono un settore ad alta criticità dell'Allegato I del D.Lgs. 138/2024, con quattro sottosettori e un elenco di tipologie molto più preciso del nome del settore. Il primo controllo è sulla riga dell'elenco, il secondo sulla dimensione, che qui decide fra essenziale e importante e quindi fra due allegati di misure, due regimi di vigilanza e due massimali di sanzione. Il trasporto pubblico locale ha una porta dedicata, e le regole di security di settore restano in piedi accanto agli obblighi NIS.

Se vuoi capire come si costruisce il presidio di rilevamento e risposta che regge quelle finestre, guarda i nostri servizi NIS2.