NIS2: come capire se la tua azienda rientra

Prima domanda, e l'unica che conta davvero all'inizio: l'attività dell'azienda rientra fra quelle elencate negli allegati del decreto? I settori sono diciotto, divisi in due gruppi.

Undici settori altamente critici: energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, settore sanitario, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi TIC business-to-business, spazio, pubblica amministrazione.

Sette settori critici: servizi postali e di corriere, gestione dei rifiuti, fabbricazione e distribuzione di sostanze chimiche, produzione e distribuzione di alimenti, fabbricazione, fornitori di servizi digitali, ricerca.

Dentro i diciotto settori il decreto elenca oltre ottanta tipologie di soggetto: il settore da solo non basta, bisogna arrivare alla tipologia. Due avvertenze. Per il settore bancario e per le infrastrutture dei mercati finanziari vale il regolamento DORA come normativa speciale, quindi il percorso è un altro. E l'Autorità può individuare come critici anche soggetti che dagli elenchi resterebbero fuori.

Attenzione poi a due trappole. La prima: conta l'attività effettivamente svolta, non il codice ATECO dichiarato, che spesso è vecchio di anni. La seconda: alcune voci degli allegati sono più larghe di quanto sembri — «fabbricazione» da sola comprende sei tipologie di soggetto, e aziende che si considerano estranee al perimetro scoprono di esserci dentro.

Si usano i criteri della raccomandazione 2003/361/CE, calcolati sull'ultimo esercizio e tenendo conto delle imprese associate e collegate — un dettaglio che fa rientrare parecchie aziende che guardando solo i propri numeri si considererebbero fuori.

La tabella si legge al contrario di come viene istintivo. Sono soglie massime per restare nella categoria, e il criterio degli occupati è vincolante mentre quello economico ammette l'alternativa: si resta media impresa con meno di 250 occupati e almeno uno dei due limiti economici rispettato. Si diventa grande impresa raggiungendo i 250 occupati, oppure superando entrambi i limiti economici. È la differenza fra «o» e «e» che fa sbagliare la metà delle autovalutazioni.

Lo schema che ne risulta: nei settori altamente critici le grandi imprese sono soggetti essenziali e le medie soggetti importanti; nei settori critici le grandi e le medie sono soggetti importanti. Sotto la soglia di media impresa, di norma si resta fuori — salvo le eccezioni previste dal decreto, che prescindono dalla dimensione per alcune categorie di soggetti (per esempio chi fornisce servizi critici in esclusiva o è stato individuato dall'autorità).

La categoria dipende dalla combinazione di settore e dimensione: in prima approssimazione, grandi imprese nei settori ad alta criticità sono soggetti essenziali, mentre medie imprese negli stessi settori e imprese negli altri settori critici sono soggetti importanti. Gli obblighi di sicurezza e di notifica sono sostanzialmente gli stessi; cambia il regime di vigilanza, che per gli essenziali è proattivo e per gli importanti interviene a seguito di eventi.

L'inserimento nell'elenco non è automatico: la registrazione sul portale ACN è un onere dell'azienda, e la finestra è dal 1° gennaio al 28 febbraio di ogni anno. Chi è già registrato ha un secondo appuntamento: l'aggiornamento annuale delle informazioni, dal 15 aprile al 31 maggio.

Dalla data di consolidamento dell'elenco partono due termini, e sono diversi fra loro: nove mesi per l'obbligo di notifica degli incidenti significativi, diciotto mesi per l'adozione delle misure di sicurezza di base. Per i soggetti inseriti nella prima tornata, consolidata ad aprile 2025, questo ha significato notifica da gennaio 2026 e misure entro ottobre 2026. Chi entra più tardi ha gli stessi mesi a partire dalla propria comunicazione: il calendario è scaglionato, le scadenze no.

Quali misure, e quali incidenti, non è lasciato all'interpretazione: li fissa la determinazione ACN 379907/2025, con allegati distinti per i soggetti importanti e per quelli essenziali. Le misure sono costruite sul Framework nazionale per la Cybersecurity e la Data Protection.

Due blocchi di obblighi, entrambi in capo agli organi di amministrazione, che ne rispondono.

Misure di gestione del rischio. Un approccio multirischio proporzionato all'esposizione e alla dimensione: politiche di analisi dei rischi, gestione degli incidenti, continuità operativa e backup, sicurezza della catena di fornitura, sicurezza nell'acquisizione e manutenzione dei sistemi, procedure per valutare l'efficacia delle misure, igiene informatica e formazione, crittografia, sicurezza del personale e controllo degli accessi, autenticazione a più fattori.

Notifica degli incidenti. Con tempistiche scandite: una prima segnalazione tempestiva, una notifica, una relazione finale. La logica è la stessa della notifica di violazione dei dati personali: meglio una segnalazione tempestiva e incompleta che una tardiva e completa.

A questi se ne aggiunge un terzo, che è anche la direzione in cui gli obblighi si muoveranno.

Categorizzazione delle attività e dei servizi (art. 30). Ogni anno, dal 1° maggio al 30 giugno, i soggetti essenziali e importanti comunicano sulla piattaforma ACN l'elenco delle proprie attività e dei propri servizi, attribuendo a ciascuno una categoria di rilevanza — minimo, basso, medio o alto — in base all'impatto che una sua compromissione avrebbe sulla capacità di erogare i servizi per cui si rientra nel decreto. Il modello dell'Agenzia organizza l'elenco in dieci macro-aree e assegna a ognuna una categoria di partenza. Le modalità sono fissate dalla determinazione ACN 127437/2026, il modello dalla 155238/2026.

Serve a far crescere gli obblighi in modo proporzionato: ai sistemi più esposti si applicheranno requisiti più alti, invece di un unico livello uguale per tutta l'azienda. È la ragione per cui conviene arrivarci con un inventario già fatto — se non sai quali servizi eroghi e su quali sistemi girano, la categorizzazione diventa un esercizio di fantasia che poi ti vincola. Chi ha già classificato dati e servizi per il Regolamento Cloud riusa quella classificazione invece di rifarla.

La catena di fornitura. Se sei fornitore di un soggetto NIS2, le misure sulla sicurezza della filiera si riversano su di te per via contrattuale: questionari, requisiti minimi, clausole, a volte la richiesta di una certificazione. Non sei soggetto NIS2, ma ne subisci gli effetti — e il modo più economico di rispondere è avere già analisi dei rischi, procedure e registri invece di costruirli a ogni questionario.

È anche la ragione per cui conviene fare la verifica anche quando si è ragionevolmente certi di essere fuori: serve a sapere quali clienti ti porteranno requisiti, e quando.

Su NIS2 le fonti secondarie si contraddicono su date e numeri. Queste sono quelle che contano.

• ACN — Ambito di applicazione — lo schema dei settori e la classificazione per dimensione, con il dettaglio delle tipologie di soggetto.
• ACN — Modalità e specifiche di base — la determinazione 379907/2025 e i suoi allegati tecnici, con le misure e gli incidenti di base.
• ACN — Categorizzazione — il modello delle dieci macro-aree e delle quattro categorie di rilevanza, con le determinazioni che lo disciplinano.
• D.Lgs. 4 settembre 2024, n. 138 — il decreto NIS. Gli allegati I, II, III e IV sono l'elenco dei settori e delle tipologie di soggetto.

Riferimenti verificati sul portale ACN il 4 novembre 2026.