A chi si applica la NIS2: settori, dimensioni e gruppi

Per sapere se la NIS2 vi riguarda non serve leggere tutto il decreto. Contano due cose: quali attività svolgete e quanto è grande la vostra impresa, gruppo compreso. Poi ci sono alcune eccezioni, in entrambe le direzioni.

Le regole sono negli articoli 3, 4, 5 e 6 del d.lgs. 138/2024 e nei suoi quattro allegati. L'ACN le ha chiarite con le sue FAQ, che citiamo dove servono.

Primo passo: le attività degli allegati

Il decreto elenca le attività che rientrano in quattro allegati:

Tre regole pratiche dell'ACN aiutano a leggere l'elenco:

• Conta ciò che fate davvero, non l'oggetto sociale o il codice ATECO. Fanno eccezione le voci definite con un codice NACE, come la farmaceutica (C21) e le fabbricazioni da C26 a C30 (FAQ AMB.GE.3 e AMB.GE.5).
• Basta anche un'attività marginale. Si rientra anche se l'attività dell'allegato è una piccola parte del vostro lavoro. Le eccezioni sono tre: acqua potabile, acque reflue e rifiuti, dove conta l'attività principale (FAQ AMB.GE.4).
• Vale anche l'attività svolta solo per il gruppo, per esempio la società di servizi informatici che lavora soltanto per le altre società del gruppo (FAQ AMB.GI.1).

Secondo passo: la dimensione

Per le attività degli allegati I e II il decreto si applica a chi «supera i massimali per le piccole imprese» (art. 3, c. 2), cioè alle medie e grandi imprese. Le soglie sono quelle della raccomandazione europea 2003/361/CE:

Come si legge: il limite dei dipendenti va sempre rispettato, mentre dei due valori economici ne basta uno (FAQ AMB.DI.1). Un'impresa con 40 dipendenti, 15 milioni di fatturato e 8 milioni di bilancio è quindi ancora piccola; con 60 dipendenti è almeno media, qualunque sia il bilancio.

I dipendenti si contano in unità lavorative annue (ULA): un tempo pieno per tutto l'anno vale 1, part-time e stagionali in proporzione; apprendisti, studenti in formazione e persone in congedo di maternità o parentale non si contano. Fatturato e bilancio sono quelli dell'ultimo esercizio chiuso.

I gruppi: si sommano i numeri

Se la vostra impresa fa parte di un gruppo, la dimensione non si calcola da sola (art. 3, c. 4). Ai vostri numeri si aggiungono:

• il 100% dei dati delle imprese collegate, cioè quelle legate da un controllo: maggioranza dei voti, potere di nominare gli amministratori, influenza dominante. Per l'ACN sono collegate anche le società di un gruppo sottoposto a direzione e coordinamento;
• la quota dei dati delle imprese associate, cioè quelle con una partecipazione tra il 25% e il 50%.

Così una società di 30 dipendenti controllata da una capogruppo che ne ha 400 è, per la NIS2, una grande impresa. Non vale invece la regola della raccomandazione per cui le imprese controllate per almeno il 25% da enti pubblici non sono PMI: qui contano solo i numeri (art. 3, c. 3).

Se il calcolo di gruppo vi sembra sproporzionato, in registrazione potete chiedere la clausola di salvaguardia (art. 3, c. 4 e 12; DPCM 221/2024). Viene concessa solo se i vostri sistemi informatici e le vostre attività NIS non dipendono in alcun modo, nemmeno in parte, da quelli del gruppo. Non la possono chiedere le imprese autonome né quelle che rientrano per l'art. 3, c. 10 (FAQ AMB.GI.2-3). L'esito arriva con la comunicazione dell'ACN di aprile.

Chi è dentro a prescindere dalla dimensione

Per alcuni soggetti la dimensione non conta (art. 3, c. 5-10):

• i soggetti critici identificati ai sensi del d.lgs. 134/2024;
• i fornitori di reti e servizi di comunicazione elettronica accessibili al pubblico;
• i prestatori di servizi fiduciari (firme e sigilli elettronici, PEC, marche temporali);
• i gestori di registri di primo livello, i fornitori di servizi DNS e chi offre la registrazione di nomi di dominio;
• le pubbliche amministrazioni dell'allegato III;
• le imprese collegate a un soggetto NIS che ne decidono le misure di sicurezza, ne gestiscono i sistemi, ne fanno le operazioni di sicurezza o gli forniscono servizi informatici o di sicurezza (art. 3, c. 10). Contano solo i rapporti con soggetti NIS italiani (FAQ AMB.GE.7);
• chi viene individuato dall'ACN, per esempio perché unico fornitore nazionale di un servizio essenziale o elemento importante della catena di fornitura di altri soggetti NIS (art. 3, c. 8, 9 e 13). In questo caso arriva una PEC.

Essere fornitori di un soggetto NIS, invece, non basta per entrare (FAQ AMB.GE.6). Cosa comporta lo spieghiamo in NIS2 e fornitori.

Restano fuori, tra gli altri, Parlamento, autorità giudiziaria, Banca d'Italia e gli enti pubblici che operano in pubblica sicurezza, difesa, contrasto ai reati e intelligence (art. 4). Le banche e le infrastrutture dei mercati finanziari si registrano, ma per misure, incidenti e vigilanza seguono il regolamento DORA (art. 3, c. 14).

Essenziali o importanti?

Chi rientra è classificato in una delle due categorie (art. 6):

Nell'allegato II si è sempre importanti, anche da grandi. La differenza pesa: gli essenziali applicano più misure (43 contro 37), possono essere ispezionati anche senza sospetti di violazioni e hanno sanzioni più alte (artt. 36 e 38). Se svolgete più attività con esiti diversi, il decreto non dice quale prevalga: è prudente considerare l'esito più severo, e comunque lo status lo attribuisce l'ACN.

I casi in cui è facile sbagliare

• Le aziende informatiche. Chi gestisce sistemi dei clienti come servizio continuativo è un «fornitore di servizi gestiti» (allegato I). Per l'ACN serve un collegamento diretto tra la rete del fornitore e quella del cliente, con assistenza o amministrazione attiva; non basta lavorare su dispositivi del cliente o dare istruzioni (FAQ A1.9.3). Resta incerto il caso di chi vende solo licenze o aggiornamenti senza gestire nulla.
• La chimica. Per l'ACN rientrano anche i «produttori di articoli» secondo il regolamento REACH (FAQ A2.3.1): una definizione così ampia da poter toccare molte manifatture. È una lettura discussa, che la stessa proposta di revisione europea vuole chiarire: valutatela con chi vi segue per il REACH.
• Gli alimenti. Rientrano produzione e trasformazione industriale e distribuzione all'ingrosso; il commercio al dettaglio non è citato (FAQ A2.4.1).
• Le attività accessorie. Una grande manifattura con un piccolo impianto che immette energia in rete potrebbe ricadere tra i produttori di energia elettrica dell'allegato I. È la conseguenza della lettura estensiva dell'ACN sulle attività marginali.

Chi è stabilito in Italia segue la legge italiana, società per società (art. 5). Per le telecomunicazioni e alcuni servizi digitali, come cloud e data center, valgono regole diverse sulla giurisdizione.

Cosa fare con la risposta

Se siete dentro, il passo successivo è la registrazione sulla piattaforma ACN, dal 1° gennaio al 28 febbraio; le date per chi entra adesso sono in scadenze 2026-2027. Se siete fuori, ricontrollate ogni anno: un'acquisizione o qualche assunzione possono farvi entrare. E se lavorate per aziende che sono dentro, leggete NIS2 e PMI.

Nella seconda tappa di Pilot rispondete a poche domande su attività, dimensione e gruppo e ottenete l'esito, con le regole applicate e i dubbi da verificare. Provate gratis.

Domande frequenti