NIS2 nel manifatturiero: quali produzioni rientrano

La risposta breve: il manifatturiero non rientra in blocco nella NIS2. La direttiva non tratta "l'industria" come un unico settore obbligato: rientrano solo alcune specifiche fabbricazioni elencate nell'Allegato II, e di norma come soggetti "importanti", non "essenziali". Chi resta fuori da quei codici non è un soggetto diretto, ma può essere coinvolto lo stesso come fornitore nella catena di approvvigionamento di un'azienda soggetta. Vediamo con precisione quali produzioni rientrano e cosa comporta.

Un promemoria di contesto: la NIS2 è la Direttiva (UE) 2022/2555, recepita in Italia con il D.Lgs. 138/2024, in vigore dal 16 ottobre 2024, con l'ACN (Agenzia per la Cybersicurezza Nazionale) come autorità di riferimento. Se ti serve il quadro completo su obblighi e scadenze, parti dalla guida completa alla NIS2 e poi torna qui per il taglio verticale sull'industria.

Perché "manifatturiero" non significa automaticamente "dentro"

È l'equivoco più comune, e chiarirlo evita mesi di lavoro nella direzione sbagliata. La NIS2 classifica i soggetti in base a due criteri combinati: il settore (con gli elenchi dell'Allegato I, i settori ad alta criticità, e dell'Allegato II, gli altri settori critici) e la dimensione dell'azienda. La fabbricazione non compare come categoria unica e indistinta: la direttiva ha selezionato alcune produzioni precise e ha lasciato fuori tutte le altre.

Tradotto: due aziende manifatturiere con lo stesso fatturato possono avere obblighi opposti. Chi produce apparecchiature elettriche rientra; chi produce mobili o articoli tessili, per fare due esempi, non è un soggetto diretto. Il primo filtro è sempre il codice di attività, non la parola "industria".

Quali produzioni manifatturiere rientrano (Allegato II)

Le fabbricazioni che la NIS2 include tra gli "altri settori critici" dell'Allegato II sono un elenco chiuso:

• Dispositivi medici e dispositivi medico-diagnostici in vitro (IVD).
• Computer e prodotti di elettronica e ottica.
• Apparecchiature elettriche.
• Macchinari e apparecchiature n.c.a. (non classificati altrove).
• Autoveicoli, rimorchi e semirimorchi.
• Altri mezzi di trasporto (per esempio ferroviario, navale, aeronautico).

Una precisazione utile per chi lavora nel medicale: la fabbricazione di dispositivi medici considerati critici in caso di emergenza sanitaria è classificata a parte, tra i settori ad alta criticità dell'Allegato I (nel comparto sanità). La fabbricazione generale di dispositivi medici e IVD resta invece tra le produzioni dell'Allegato II. È una distinzione che conta, perché cambia la categoria del soggetto e quindi il regime di vigilanza.

Serve anche la dimensione: la soglia della media impresa

Il settore da solo non basta. Perché una fabbricazione dell'Allegato II diventi soggetto NIS2 occorre anche superare la soglia dimensionale, indicativamente quella della media impresa: da 50 addetti oppure oltre 10 milioni di euro di fatturato annuo o di totale di bilancio. Sotto entrambe le soglie, di regola, si resta fuori dal perimetro diretto.

Attenzione al conteggio: se fai parte di un gruppo, la dimensione va valutata considerando anche le imprese collegate e associate, non solo la singola società. Una controllata piccola dentro un gruppo grande può rientrare comunque. I criteri completi, con esempi, sono in a chi si applica la NIS2.

Essenziale o importante? Per il manifatturiero, di norma "importante"

La NIS2 distingue due categorie di soggetti, e la differenza pesa. I soggetti essenziali sono sottoposti a una vigilanza più intensa, con controlli anche di tipo preventivo; i soggetti importanti hanno un regime di vigilanza prevalentemente ex post, che scatta cioè in presenza di indizi di violazione.

Le fabbricazioni dell'Allegato II, quando raggiungono la soglia dimensionale, rientrano di norma tra i soggetti importanti, sia come medie sia come grandi imprese. Questo non significa obblighi "leggeri": le misure di gestione del rischio e gli obblighi di notifica sono sostanzialmente gli stessi. Cambia soprattutto l'intensità dei controlli e il momento in cui l'autorità interviene.

Se non rientri direttamente: la supply chain ti coinvolge lo stesso

Qui sta il punto che molte PMI manifatturiere sottovalutano. Anche se la tua produzione non è tra quelle dell'Allegato II, puoi essere coinvolto ugualmente, non come soggetto obbligato ma come fornitore. La NIS2 impone infatti ai soggetti che rientrano di gestire la sicurezza della catena di fornitura: chi è obbligato deve valutare e presidiare il rischio legato ai propri fornitori.

Nella pratica i requisiti si trasferiscono lungo la filiera per via contrattuale. Se fornisci componenti, lavorazioni, software o servizi a un'azienda soggetta a NIS2, aspettati questionari di sicurezza, clausole nei contratti e richieste di garanzie. In un tessuto industriale fatto di terzisti e subfornitori come quello italiano, questo effetto a cascata riguarda molte più aziende di quante rientrino direttamente. La conformità diventa così un requisito commerciale, non solo normativo: chi la affronta per tempo se ne serve come argomento di vendita verso i grandi clienti, mentre chi arriva impreparato rischia di uscire dagli albi fornitori.

Esempi concreti per capire se rientri

Qualche caso pratico rende il ragionamento meno astratto:

• Produttore di macchinari industriali, 150 dipendenti. Fabbricazione in Allegato II, sopra la soglia dimensionale: rientra come soggetto importante.
• Azienda di componenti elettronici, oltre 500 dipendenti. Sempre Allegato II: rientra, e resta comunque tra i soggetti importanti, perché nell'Allegato II anche le grandi imprese non diventano essenziali.
• Officina meccanica di precisione, 20 dipendenti, subfornitrice di un gruppo automotive. Sotto la soglia: non è soggetto diretto, ma viene coinvolta come fornitore nella supply chain del cliente soggetto a NIS2.
• Produttore di mobili, 200 dipendenti. La fabbricazione di mobili non è tra le voci dell'Allegato II: fuori dal perimetro diretto.
• Fabbricante di dispositivi medici, 80 dipendenti. Rientra tra le produzioni dell'Allegato II; se realizza dispositivi considerati critici in caso di emergenza sanitaria, va verificata la collocazione nel comparto sanità dell'Allegato I, con effetti sulla categoria.

Il filo conduttore è sempre lo stesso: prima il codice di attività, poi la dimensione, poi la posizione nella filiera. Saltare il primo passaggio è ciò che porta agli errori più frequenti, in entrambe le direzioni: chi si crede obbligato senza esserlo e chi si crede fuori mentre è dentro.

Il nodo tecnico del manifatturiero: la convergenza IT/OT

C'è una ragione per cui la NIS2 nel manifatturiero non si risolve copiando le misure pensate per un ufficio. La fabbrica moderna è un ambiente dove il mondo IT (gestionali, rete, posta) e il mondo OT (Operational Technology: linee, PLC, sistemi SCADA, macchine a controllo numerico) sono sempre più connessi tra loro. Questa convergenza amplia la superficie esposta: un attacco che parte dal lato IT può arrivare a fermare la produzione.

Il punto delicato è che i sistemi OT hanno regole diverse da quelle dell'IT tradizionale. Spesso restano in servizio per decenni, girano su piattaforme non più aggiornabili e sono stati progettati dando la priorità alla disponibilità continua, non alla resistenza agli attacchi. Fermare una linea per applicare una patch, in molti stabilimenti, semplicemente non è un'opzione praticabile a piacere. Serve quindi un approccio che tenga insieme le esigenze della produzione e quelle della sicurezza, invece di trapiantare sull'OT strumenti nati per i personal computer.

Le priorità tecniche che emergono più spesso in un contesto industriale sono:

• Segmentazione tra reti IT e OT, per evitare che un problema sul lato ufficio raggiunga le linee produttive.
• Visibilità sugli asset OT, spesso datati e difficili da aggiornare, che vanno censiti e tenuti sotto controllo.
• Rilevamento e risposta continui, perché il fermo di una linea si misura in ore e in ricavi persi, non in semplice fastidio.
• Backup e ripristino testati davvero, la misura che decide se un ransomware resta un incidente gestito o diventa un blocco della produzione.

La continuità operativa, qui, non è un tema astratto: è la ragione economica per cui conviene muoversi prima dell'incidente, non dopo.

Gli obblighi concreti per chi rientra

Una volta stabilito che sei un soggetto NIS2, scattano adempimenti precisi. In sintesi:

• Registrazione sulla piattaforma dell'ACN, nei tempi previsti.
• Misure di gestione del rischio di sicurezza informatica: dall'analisi del rischio alla gestione degli incidenti, dalla continuità operativa alla sicurezza della catena di fornitura.
• Notifica degli incidenti significativi: un preallarme entro 24 ore e la notifica entro 72 ore.
• Responsabilità degli organi di amministrazione: il vertice approva le misure, ne risponde e deve seguire una formazione specifica. Non è un tema che resta confinato all'ufficio IT.

Chi vuole capire come mettere in fila queste attività, in che ordine e con quali evidenze, trova la sequenza operativa in adeguamento NIS2, la roadmap pratica.

Da dove parte un'azienda manifatturiera

Il percorso ragionevole è sempre lo stesso, e parte dalle domande giuste invece che dagli acquisti. Primo: la mia produzione è tra quelle dell'Allegato II e supero le soglie dimensionali? Secondo: se non rientro direttamente, chi sono i miei clienti soggetti a NIS2 che mi chiederanno garanzie? Terzo: dove sono i gap tra quello che faccio oggi e quello che la norma chiede, con priorità alla convergenza IT/OT e alla continuità?

Rispondere per gradi evita sia l'eccesso di zelo (comprare tecnologia senza aver misurato) sia la sottovalutazione (dare per scontato di essere fuori perché "siamo una fabbrica piccola"). Nel manifatturiero mid-market, l'errore che costa di più è proprio il secondo.

AmagisTech affianca il mid-market industriale italiano esattamente su questo: verifica del perimetro, gap assessment sulle misure, presidio di rilevamento e risposta gestito e documentazione pronta per il vertice, con attenzione specifica agli ambienti OT. Puoi vedere come lavoriamo nei servizi di cybersecurity gestita, oppure inquadrare prima la tua posizione con a chi si applica la NIS2.

In sintesi: nel manifatturiero la prima mossa non è mettersi in regola alla cieca, ma capire con precisione se rientri. Solo alcune fabbricazioni dell'Allegato II sono soggetti diretti, di norma come "importanti"; tutte le altre aziende vanno guardate attraverso la lente della supply chain. Da lì, il lavoro vero è tenere insieme sicurezza informatica e continuità della produzione.