Articolo Pubblicazioni

NIS2: soggetti essenziali e importanti, come capire se si è obbligati

di · Pubblicato il 14 novembre 2026

Abstract

Il d.lgs. 138/2024, che recepisce la direttiva NIS2, si applica a decine di migliaia di organizzazioni italiane, e molte imprese non sanno ancora se rientrano. L’articolo spiega il ragionamento da seguire, cioè il settore di attività, la dimensione, i casi in cui la dimensione non conta, la distinzione fra soggetti essenziali e importanti e la registrazione annuale sul portale dell’ACN, e chiarisce la posizione dei fornitori esclusi dall’obbligo che ricevono comunque requisiti dai clienti.

Vincenzo Calabrò | NIS2: soggetti essenziali e importanti, come capire se si è obbligati
 

Tre domande in ordine

Per capire se un’organizzazione rientra nella disciplina NIS conviene porsi tre domande in sequenza. Se svolge un’attività compresa negli allegati del decreto, se supera le soglie dimensionali, se rientra in uno dei casi in cui la dimensione non conta. Solo dopo si stabilisce se è un soggetto essenziale o importante.

Il settore

Gli allegati del d.lgs. 138/2024 elencano i settori. L’Allegato I raccoglie quelli ad alta criticità, come energia, trasporti, settore bancario e infrastrutture dei mercati finanziari, sanità, acqua potabile e reflue, infrastrutture digitali, gestione dei servizi ICT per conto di terzi, pubblica amministrazione e spazio. L’Allegato II comprende altri settori critici, come servizi postali e di corriere, gestione dei rifiuti, chimica, alimentare, fabbricazione di dispositivi medici, computer, elettronica, macchinari e veicoli, fornitori digitali come marketplace, motori di ricerca e social network, e ricerca. Gli Allegati III e IV aggiungono categorie di amministrazioni pubbliche e altri soggetti, come i trasporti pubblici locali e gli istituti di istruzione che svolgono attività di ricerca. Conta l’attività effettivamente svolta, anche se secondaria, a prescindere dal codice ATECO prevalente.

La dimensione

Di regola il decreto si applica alle medie e grandi imprese, secondo la raccomandazione europea 2003/361. È media un’impresa con almeno 50 dipendenti, oppure con fatturato annuo e totale di bilancio superiori a 10 milioni di euro. Il calcolo tiene conto delle imprese associate e collegate, quindi una piccola società che fa parte di un gruppo può superare le soglie.
Alcuni soggetti rientrano a prescindere dalla dimensione. Sono, fra gli altri, i fornitori di reti e servizi di comunicazione elettronica accessibili al pubblico, i prestatori di servizi fiduciari, i gestori di registri dei nomi di dominio e i fornitori di servizi DNS, le pubbliche amministrazioni indicate negli allegati e i soggetti che l’ACN individua come unici fornitori di un servizio essenziale o la cui interruzione avrebbe effetti significativi.

Essenziali o importanti

Sono in genere essenziali le grandi imprese dei settori dell’Allegato I, cioè con almeno 250 dipendenti, oppure con fatturato superiore a 50 milioni e totale di bilancio superiore a 43 milioni, oltre ad alcuni soggetti indicati espressamente, come i prestatori qualificati di servizi fiduciari e le amministrazioni centrali. Sono importanti gli altri soggetti che rientrano nell’ambito. Gli obblighi di fondo sono gli stessi, cioè misure di gestione del rischio, notifica degli incidenti e responsabilità degli organi di amministrazione. Cambiano l’estensione delle misure, il regime di vigilanza, attivo per gli essenziali e successivo per gli importanti, e l’importo massimo delle sanzioni.

La registrazione

Chi ritiene di rientrare deve registrarsi sulla piattaforma dell’ACN e aggiornare i propri dati ogni anno, nella finestra che va dal 1° gennaio al 28 febbraio. Sulla base delle registrazioni l’ACN redige l’elenco dei soggetti e comunica a ciascuno l’inclusione e la categoria. Per il 2026 l’elenco nazionale contava oltre ventimila organizzazioni, e per quelle già incluse il termine per adeguarsi alle misure di sicurezza di base è il 31 ottobre 2026.

I fornitori fuori ambito

Molte piccole imprese non sono obbligate e ricevono comunque richieste di sicurezza dai clienti che lo sono. Il decreto chiede infatti ai soggetti NIS di gestire i rischi della propria catena di approvvigionamento, e questo si traduce in questionari, clausole contrattuali e verifiche. Per un fornitore conviene prepararsi con un inventario dei propri sistemi, un responsabile della sicurezza, procedure di gestione degli incidenti e un piano di miglioramento documentato, che saranno chiesti da più clienti con domande simili.

Tre esempi

  • Un’azienda di trasporti merci con 120 dipendenti rientra nel settore trasporti dell’Allegato I ed è una media impresa, quindi è un soggetto importante. Se superasse i 250 dipendenti diventerebbe essenziale;
  • Un produttore di macchinari con 60 dipendenti rientra nella fabbricazione dell’Allegato II ed è un soggetto importante, anche se i suoi clienti non sono infrastrutture critiche;
  • Una software house con 30 dipendenti che gestisce i sistemi di clienti in modalità di servizio gestito è sotto le soglie e di regola resta fuori, ma riceverà requisiti dai clienti obbligati e potrebbe essere individuata dall’ACN se fosse l’unico fornitore di un servizio critico.

Gli obblighi una volta inclusi

Chi rientra deve registrarsi ogni anno, nominare un punto di contatto, adottare le misure di sicurezza di base definite dall’ACN entro i termini fissati, notificare gli incidenti significativi al CSIRT Italia e garantire che gli organi di amministrazione approvino e vigilino. Le misure di base sono differenziate per essenziali e importanti e coprono governo, gestione del rischio, sicurezza della catena di fornitura, gestione degli asset, controllo degli accessi, protezione dei dati, monitoraggio, gestione degli incidenti, continuità operativa e formazione. Per le organizzazioni già incluse nell’elenco il termine per l’adeguamento completo è il 31 ottobre 2026.

Se si è in dubbio

Nei casi dubbi conviene documentare l’analisi svolta, con le attività considerate, i dati dimensionali del gruppo e le ragioni della conclusione, e conservarla. In caso di verifica l’ACN valuterà se la valutazione era ragionevole. Sul sito dell’Agenzia sono disponibili domande frequenti e strumenti di autovalutazione, e la registrazione stessa guida attraverso le domande sul settore e sulla dimensione. Una registrazione fatta per prudenza, che porta poi a una comunicazione di esclusione, ha costi molto minori di un obbligo ignorato.
 
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn