NIS2: a chi si applica e come verificarlo
Un percorso decisionale per capire se la tua azienda rientra nell'ambito NIS2, in base a settore, dimensione e classificazione ACN.
di Elias Mahdavi · Pubblicato il · 10 min
La NIS2 si applica alle aziende di dimensione media o grande attive in uno dei 18 settori elencati negli Allegati I e II della direttiva (UE) 2022/2555, con alcune eccezioni che includono realtà più piccole quando svolgono un ruolo critico. Per verificarlo servono tre passaggi: settore, dimensione e classificazione ACN come soggetto essenziale o importante.
In sintesi
- La NIS2 si applica in base a tre fattori combinati: settore di attività, dimensione dell'organizzazione e ruolo svolto nella catena di fornitura di un servizio critico.
- Le microimprese e le piccole imprese restano generalmente escluse, salvo eccezioni specifiche legate al ruolo critico che svolgono.
- Un'organizzazione dell'Allegato I di grandi dimensioni è "essenziale"; la stessa organizzazione di dimensioni medie è "importante"; le organizzazioni dell'Allegato II sono generalmente "importanti" a prescindere dalla dimensione.
- Alcune categorie sono essenziali indipendentemente dalla dimensione: fornitori di reti pubbliche di comunicazione elettronica, prestatori di servizi fiduciari qualificati, registri di domini di primo livello ed enti della pubblica amministrazione centrale.
- Anche un'azienda esclusa sulla carta può rientrare indirettamente nell'ambito NIS2 come fornitore critico nella catena di approvvigionamento di un cliente essenziale o importante.
- L'ACN gestisce la registrazione e la classificazione ufficiale dei soggetti in Italia attraverso il proprio portale.
Indice
Quali aziende sono soggette alla NIS2?
Sono soggette alla NIS2 le aziende di dimensione media o grande che operano in uno dei 18 settori elencati negli Allegati I e II della direttiva (UE) 2022/2555, indipendentemente dal fatto che l'attività sia pubblica o privata.
La direttiva non introduce un elenco nominativo di aziende: la soggezione si determina incrociando settore di attività e dimensione, con alcune eccezioni che includono anche realtà più piccole quando svolgono un ruolo critico per la continuità di un servizio essenziale. Per un quadro generale dei settori coperti, la nostra <a href="/it/blog/nis2-cosa-e-guida-completa">guida completa alla NIS2</a> descrive la struttura dei due allegati; questa pagina si concentra invece sul percorso pratico per verificare la propria classificazione.
Quali sono i soggetti obbligati dalla normativa NIS2?
I soggetti obbligati dalla NIS2 si dividono in "essenziali" e "importanti": entrambe le categorie devono rispettare gli stessi obblighi di sicurezza, ma sono soggette a un regime di vigilanza e a un tetto sanzionatorio diversi.
In generale, un'organizzazione dell'Allegato I di grandi dimensioni è un soggetto essenziale; la stessa organizzazione di dimensioni medie è un soggetto importante. Le organizzazioni dell'Allegato II sono generalmente importanti a prescindere dalla dimensione. Esistono poi soggetti considerati essenziali indipendentemente dalla dimensione: fornitori di reti pubbliche di comunicazione elettronica, prestatori di servizi fiduciari qualificati, registri dei nomi a dominio di primo livello ed enti della pubblica amministrazione centrale.
5 passaggi per verificare se la NIS2 si applica alla tua azienda
Questo percorso decisionale, in cinque passaggi, permette di capire con ragionevole certezza se la tua organizzazione rientra nell'ambito NIS2, senza dover consultare un elenco astratto di definizioni.
1. Verifica se operi in uno dei settori elencati dalla NIS2
Controlla se la tua attività principale rientra in uno dei settori dell'Allegato I (alta criticità) o dell'Allegato II (altri settori critici). Se la risposta è no, e non fornisci servizi critici a chi vi opera, è probabile che la tua organizzazione sia esclusa.
2. Verifica la dimensione della tua organizzazione
Controlla dipendenti e fatturato secondo i criteri UE standard: sei "media" con almeno 50 dipendenti o oltre 10 milioni di euro di fatturato annuo, "grande" con almeno 250 dipendenti o oltre 50 milioni di euro. Le microimprese e le piccole imprese restano generalmente escluse in questo passaggio.
3. Individua la tua classificazione incrociando settore e dimensione
Con settore e dimensione noti, la tabella qui sotto indica la classificazione attesa: essenziale, importante, o generalmente escluso.
| Settore | Allegato | Media impresa | Grande impresa |
|---|---|---|---|
| Energia | I | Importante | Essenziale |
| Trasporti | I | Importante | Essenziale |
| Settore bancario | I | Importante | Essenziale |
| Infrastrutture dei mercati finanziari | I | Importante | Essenziale |
| Sanità | I | Importante | Essenziale |
| Acqua potabile | I | Importante | Essenziale |
| Acque reflue | I | Importante | Essenziale |
| Infrastrutture digitali (cloud, data center, DNS, reti pubbliche) | I | Importante o Essenziale* | Essenziale |
| Gestione dei servizi ICT (B2B) | I | Importante | Essenziale |
| Pubblica amministrazione centrale | I | Essenziale* | Essenziale |
| Spazio | I | Importante | Essenziale |
| Servizi postali e di corriere | II | Importante | Importante |
| Gestione dei rifiuti | II | Importante | Importante |
| Fabbricazione di sostanze chimiche | II | Importante | Importante |
| Produzione e distribuzione alimentare | II | Importante | Importante |
| Industria manifatturiera | II | Importante | Importante |
| Fornitori digitali (marketplace, motori di ricerca, social network) | II | Importante | Importante |
| Ricerca | II | Importante | Importante |
* Alcune sotto-categorie (fornitori di reti pubbliche di comunicazione elettronica, prestatori di servizi fiduciari qualificati, registri TLD, PA centrale) sono essenziali indipendentemente dalla dimensione: vedi il passaggio 4.
4. Controlla le eccezioni che si applicano a prescindere dalla dimensione
Anche una microimpresa o una piccola impresa può rientrare nell'ambito NIS2 come soggetto essenziale se è l'unico fornitore di un servizio critico in Italia, se la sua interruzione avrebbe un impatto significativo sulla sicurezza pubblica o sulla salute, o se rientra in una delle categorie elencate al passaggio 3.
5. Verifica se un cliente essenziale o importante ti classifica come fornitore critico
Anche un'organizzazione esclusa sui primi quattro passaggi può rientrare indirettamente nell'ambito NIS2: l'Art. 21 impone ai soggetti essenziali e importanti di valutare la sicurezza dei propri fornitori diretti, e un cliente di questo tipo può richiedere contrattualmente requisiti equivalenti a chi lo rifornisce, anche se quel fornitore non è formalmente un soggetto NIS2. L'<a href="https://www.enisa.europa.eu/" target="_blank" rel="noopener">ENISA</a> segnala proprio la catena di approvvigionamento come una delle superfici di rischio in più rapida crescita tra i soggetti NIS2 di tutta l'Unione.
Cosa fare se la tua azienda rientra nell'ambito NIS2
Se il percorso decisionale conferma che la tua azienda rientra nell'ambito NIS2, il passo successivo è la registrazione presso l'<a href="https://www.acn.gov.it/" target="_blank" rel="noopener">Agenzia per la Cybersicurezza Nazionale</a>, seguita da una verifica sistematica delle dieci misure di sicurezza richieste dall'<a href="https://eur-lex.europa.eu/eli/dir/2022/2555/oj" target="_blank" rel="noopener">Art. 21 della NIS2</a>.
Un punto spesso sottovalutato riguarda proprio gli strumenti AI adottati dai team: se rientrano nell'ambito della sicurezza della catena di approvvigionamento richiesta dall'Art. 21, devono essere censiti e valutati come qualunque altro fornitore critico, non lasciati fuori dal perimetro solo perché non sono infrastruttura tradizionale. Il tema si collega direttamente allo <a href="/it/blog/shadow-ai-cosa-e-come-governarlo">shadow it e alla sua definizione</a>: strumenti adottati senza approvazione dell'IT sfuggono per definizione a qualunque valutazione di sicurezza della catena di fornitura.
Per un'analisi degli obblighi che si applicano in parallelo quando l'azienda usa anche sistemi di intelligenza artificiale, la guida su<a href="/it/blog/ai-act-obblighi-aziende-italiane"> gli obblighi AI Act per le aziende italiane</a> approfondisce ogni livello di rischio previsto dal <a href="https://eur-lex.europa.eu/eli/reg/2024/1689/oj" target="_blank" rel="noopener">Regolamento (UE) 2024/1689</a>, mentre l'approfondimento su<a href="/it/blog/acn-nis2-ruolo-normativa"> il ruolo dell'ACN nella NIS2</a> spiega cosa aspettarsi durante la fase di registrazione e vigilanza.
Domande frequenti
Quali aziende sono soggette alla NIS2?
Sono soggette le aziende di dimensione media o grande attive in uno dei 18 settori elencati negli Allegati I e II della direttiva (UE) 2022/2555. Alcune categorie specifiche, come i fornitori di reti pubbliche di comunicazione elettronica o gli enti della PA centrale, sono incluse indipendentemente dalla dimensione.
Quali sono i soggetti obbligati dalla normativa NIS2?
I soggetti obbligati si dividono in "essenziali" e "importanti" in base a settore e dimensione. Gli obblighi di sicurezza previsti dall'Art. 21 sono identici per entrambe le categorie; cambiano il regime di vigilanza, più proattivo per i soggetti essenziali, e il tetto massimo delle sanzioni applicabili.
Le PMI sono escluse dalla NIS2?
Le microimprese e le piccole imprese sono generalmente escluse, ma non automaticamente: se rientrano in una delle eccezioni dimensione-indipendenti, o se forniscono un servizio critico nella catena di approvvigionamento di un soggetto essenziale o importante, possono comunque rientrare nell'ambito della direttiva.
Come faccio a sapere se la mia azienda è "essenziale" o "importante"?
Dipende dalla combinazione di settore e dimensione: le organizzazioni dell'Allegato I di grandi dimensioni sono generalmente essenziali, quelle di dimensioni medie sono importanti; le organizzazioni dell'Allegato II sono generalmente importanti a prescindere dalla dimensione. La classificazione ufficiale avviene comunque tramite la registrazione sul portale dell'ACN.
Cosa succede se la mia azienda non rientra direttamente ma è fornitrice di un soggetto NIS2?
Anche senza rientrare direttamente nell'ambito NIS2, un'azienda può dover rispettare requisiti di sicurezza equivalenti se è fornitrice diretta di un soggetto essenziale o importante, perché l'Art. 21 impone a questi ultimi di valutare la sicurezza della propria catena di approvvigionamento.
Prossimo passo
Verificare l'ambito di applicazione della NIS2 è il primo passo, non l'ultimo: una volta confermata la soggezione, serve visibilità continua su chi accede a dati, sistemi e strumenti AI per dimostrare che le misure di sicurezza sono davvero applicate.
<a href="/it/book-a-demo">Prenota una demo di DevKira</a> per vedere come tracciare gli accessi a dati e strumenti AI in modo continuo, oppure torna alla nostra <a href="/it/blog/nis2-cosa-e-guida-completa">guida completa alla NIS2</a> per il quadro normativo nel suo complesso.
