NIS2: a chi si applica davvero (settori, soglie ed esempi)

La risposta breve: la NIS2 si applica ai soggetti, pubblici e privati, che operano in uno dei settori indicati negli allegati della direttiva e che superano determinate soglie dimensionali, cioè di regola medie e grandi imprese. Il criterio è doppio: prima il settore, poi la dimensione. Ma ci sono eccezioni che fanno rientrare anche aziende piccole, e c'è la supply chain, che tira dentro anche chi da solo non sarebbe obbligato.

Come funziona il criterio: settore più dimensione

La NIS2 (in Italia recepita dal D.Lgs 138/2024) non guarda al tuo fatturato in astratto. Guarda prima cosa fai e poi quanto sei grande. Un'azienda rientra se soddisfa entrambe le condizioni: opera in un settore elencato negli allegati e supera le soglie dimensionali. Se manca uno dei due pezzi, di regola sei fuori (salvo le eccezioni che vediamo più avanti).

Questo spiega perché due aziende dello stesso fatturato possono avere destini opposti: una fa logistica sanitaria e rientra, l'altra vende articoli di cancelleria e resta fuori. Il settore viene prima di tutto.

Quali settori rientrano negli allegati

Gli allegati distinguono due grandi gruppi. Gli allegato I raccolgono i settori "ad alta criticità", gli allegato II gli "altri settori critici". A titolo indicativo:

• Alta criticità (allegato I): energia, trasporti, settore bancario e infrastrutture dei mercati finanziari, sanità, acqua potabile e acque reflue, infrastrutture digitali, gestione dei servizi ICT, pubblica amministrazione, spazio.
• Altri settori critici (allegato II): servizi postali e di corriere, gestione dei rifiuti, produzione e distribuzione di sostanze chimiche, produzione e distribuzione di alimenti, fabbricazione (dispositivi medici, elettronica, macchinari, autoveicoli e altro), fornitori di servizi digitali, ricerca.

La distinzione non è cosmetica: il settore concorre a stabilire se sei un soggetto essenziale o un soggetto importante, e questo cambia sia il regime di vigilanza sia il tetto delle sanzioni. Abbiamo messo i numeri esatti in quanto rischi davvero con le sanzioni NIS2.

Le soglie dimensionali: quando sei "abbastanza grande"

Qui entra il criterio delle dimensioni, ripreso dalla classificazione europea delle PMI. In sintesi, un'azienda supera la soglia quando ricade nelle medie o grandi imprese, cioè quando ha:

• almeno 50 dipendenti, oppure
• un fatturato annuo o un totale di bilancio superiore a 10 milioni di euro.

Sotto entrambe le soglie, cioè meno di 50 dipendenti e non oltre i 10 milioni, si parla di piccola o micro impresa e di regola si resta fuori dal perimetro NIS2. È il cosiddetto size-cap: la dimensione fa da filtro d'ingresso.

Attenzione a un dettaglio che confonde molti: nel conteggio non guardi solo la tua società isolata. Se fai parte di un gruppo, i criteri di dimensione vanno valutati tenendo conto anche delle imprese collegate e associate. Una controllata piccola dentro un gruppo grande può rientrare comunque.

Le eccezioni: quando la dimensione non conta

Il size-cap ha delle deroghe importanti. Alcuni soggetti rientrano a prescindere dalla dimensione, anche se sono piccoli o micro. È il caso, tra gli altri, di:

• fornitori di reti pubbliche di comunicazione elettronica o di servizi di comunicazione elettronica accessibili al pubblico;
• prestatori di servizi fiduciari, registri dei nomi di dominio di primo livello e fornitori di servizi DNS;
• soggetti che sono l'unico fornitore in uno Stato di un servizio essenziale, o la cui interruzione avrebbe un impatto significativo;
• parte della pubblica amministrazione, secondo quanto stabilito a livello nazionale.

Tradotto: se svolgi un ruolo critico, non puoi contare sulle dimensioni per stare fuori. Il legislatore ha deciso che certi servizi rientrano comunque nel perimetro, anche quando li eroga un'azienda da dieci persone.

Esempi concreti per capire se rientri

Qualche caso pratico, per rendere il ragionamento meno astratto:

• Azienda manifatturiera da 120 dipendenti che produce macchinari. Settore in allegato II, sopra le soglie: rientra come soggetto importante.
• Software house da 30 persone e 4 milioni di fatturato. Fornitori di servizi digitali sono in allegato II, ma qui manca la dimensione: di regola fuori, salvo che rientri in una categoria "a prescindere dalla dimensione".
• Distributore alimentare da 200 dipendenti. Produzione e distribuzione di alimenti è in allegato II, la dimensione c'è: dentro.
• Piccolo provider di connettività regionale, 15 dipendenti. Rete di comunicazione elettronica accessibile al pubblico: rientra a prescindere dalla dimensione.
• Studio di consulenza generico da 80 persone. Nessun settore in allegato: fuori perimetro.

Il filo conduttore è sempre lo stesso: parti dal settore, poi verifica la dimensione, poi controlla se ricadi in un'eccezione. Se questo percorso ti sembra già delicato, hai capito perché conviene formalizzarlo invece di andare a memoria.

La supply chain: puoi essere coinvolto anche se non rientri

C'è un ultimo tassello che sfugge a molti. Anche se la tua azienda non rientra direttamente, puoi essere trascinata dentro dai tuoi clienti. La NIS2 impone ai soggetti obbligati di gestire il rischio della catena di approvvigionamento: chi rientra deve valutare la sicurezza dei propri fornitori e dei fornitori di servizi.

Nella pratica significa che i requisiti si trasferiscono lungo la filiera per via contrattuale. Se fornisci software, servizi gestiti, connettività o componenti a un soggetto NIS2, aspettati questionari di sicurezza, clausole contrattuali e richieste di garanzie. Non sei obbligato dalla direttiva in prima persona, ma il mercato ti chiede di comportarti come se lo fossi. È uno dei motivi per cui la conformità sta diventando un requisito commerciale, non solo normativo, e per cui molte aziende la affrontano insieme a standard riconosciuti: ne parliamo in NIS2 e ISO 27001, come si parlano.

Rientri: e adesso cosa cambia davvero

Capire di rientrare è solo metà del lavoro. La parte che pesa arriva dopo, perché a quel punto scattano obblighi concreti. In estrema sintesi, un soggetto NIS2 deve:

• Registrarsi presso l'autorità nazionale competente (in Italia l'ACN), fornendo i dati richiesti entro le finestre stabilite.
• Adottare le misure di gestione del rischio previste dalla direttiva: analisi del rischio, gestione degli incidenti, continuità operativa, sicurezza della catena di approvvigionamento, igiene informatica di base e altre.
• Notificare gli incidenti significativi entro tempi stretti, con un primo preallarme nell'ordine delle ore e report successivi più dettagliati.
• Coinvolgere gli organi di gestione, perché la responsabilità dell'adozione delle misure arriva al vertice aziendale, non resta confinata all'IT.

Il punto importante è che essere "dentro" non è una condizione formale da annotare e dimenticare: apre una lista di adempimenti con scadenze. Ecco perché la verifica del perimetro non è un esercizio burocratico, ma il momento in cui decidi quanto lavoro ti aspetta e con quanta urgenza. La differenza tra soggetto essenziale e importante, tra l'altro, si sente proprio qui, sia sull'intensità dei controlli sia sul rischio sanzionatorio, come raccontiamo in quanto rischi davvero con le sanzioni NIS2.

Come verificare la tua posizione senza indovinare

Riassumendo, per sapere se rientri devi rispondere in ordine a tre domande: opero in un settore degli allegati? Supero le soglie dimensionali? Ricado in una delle eccezioni a prescindere dalla dimensione? Aggiungi la quarta, spesso decisiva: sono nella supply chain di qualcuno che rientra?

Farlo a occhio è rischioso, perché gli errori tipici, dimenticare le imprese collegate o ignorare le eccezioni, portano a sottostimare l'obbligo. Il modo più rapido è un check guidato: rispondi a poche domande e ottieni l'inquadramento. Puoi partire dal nostro NIS2 check per una verifica veloce, oppure leggere la pagina di approfondimento su a chi si applica la NIS2. Se poi vuoi capire cosa fare in concreto una volta stabilito che rientri, i nostri servizi NIS2 partono esattamente da lì.

In sintesi: la NIS2 non è un tema solo da grandi aziende. Conta il settore, poi la dimensione, poi le eccezioni, e infine la posizione nella filiera. Il primo passo utile non è mettersi in regola alla cieca, ma capire con certezza se e come rientri.