È la prima domanda che si fa un imprenditore quando sente parlare di NIS2, e la risposta non è «dipende da quanto sei grande» né «dipende dal settore»: dipende da due cose insieme, il settore in cui operi e la dimensione dell'impresa, più una serie di casi particolari in cui la dimensione non conta affatto. Le regole stanno negli articoli 3 e 6 del D.Lgs. 138/2024, il decreto che ha recepito in Italia la direttiva NIS2. Qui le traduciamo in italiano corrente.
Il decreto si applica ai soggetti pubblici e privati che appartengono alle tipologie descritte in quattro allegati, che sono parte integrante del testo di legge:
Se l'attività dell'azienda non ricade in nessuna di queste tipologie, il discorso finisce qui. Se invece ci ricade, si passa alla dimensione. Attenzione a un punto che sfugge spesso: quello che conta non è l'etichetta commerciale che l'azienda si dà, ma la tipologia di soggetto descritta nell'allegato, che rinvia a definizioni tecniche precise (per esempio i codici NACE per diverse voci della fabbricazione).
Per i settori degli allegati I e II il decreto si applica ai soggetti che superano i massimali previsti per le piccole imprese dalla raccomandazione europea 2003/361/CE. In quella raccomandazione:
| Categoria | Occupati | Fatturato annuo / totale di bilancio |
|---|---|---|
| Microimpresa | meno di 10 | fatturato oppure bilancio non superiori a 2 milioni di euro |
| Piccola impresa | meno di 50 | fatturato oppure bilancio non superiori a 10 milioni di euro |
| Media impresa | meno di 250 | fatturato non superiore a 50 milioni di euro oppure bilancio non superiore a 43 milioni di euro |
Tradotto: nei settori degli allegati I e II rientrano di regola le medie e le grandi imprese, mentre micro e piccole imprese restano fuori, salvo i casi speciali del paragrafo successivo. Due avvertenze pratiche che cambiano il risultato più spesso di quanto si creda:
Sono considerati soggetti essenziali:
Sono soggetti importanti tutti gli altri che rientrano nell'ambito di applicazione. Non è una classifica di merito: è una graduazione degli obblighi. Le misure di sicurezza di base dell'ACN sono più ampie per gli essenziali (ne parliamo nella guida alle misure ACN), le sanzioni massime sono più alte (guida alle sanzioni) e cambia anche il modo in cui l'Agenzia vigila: nei confronti dei soggetti importanti i poteri di verifica e ispezione si esercitano solo quando emergono elementi che suggeriscono possibili violazioni, mentre sugli essenziali la vigilanza può essere anche preventiva.
Sì, e sono più di quanti si immagini. Indipendentemente dal numero di dipendenti e dal fatturato il decreto si applica ai soggetti critici ex direttiva 2022/2557, ai fornitori di reti pubbliche di comunicazione elettronica e di servizi di comunicazione elettronica accessibili al pubblico, ai prestatori di servizi fiduciari, ai gestori di registri di nomi di dominio di primo livello, ai fornitori di servizi DNS e ai fornitori di servizi di registrazione dei nomi di dominio, oltre alle pubbliche amministrazioni dell'allegato III.
Inoltre l'Autorità nazionale competente NIS può individuare, su proposta delle Autorità di settore, ulteriori soggetti a prescindere dalla dimensione quando ricorre una di queste condizioni: il soggetto era già operatore di servizi essenziali con la vecchia NIS; è l'unico fornitore nazionale di un servizio essenziale; una perturbazione del suo servizio potrebbe avere un impatto significativo sulla sicurezza, l'incolumità o la salute pubblica; potrebbe comportare un rischio sistemico significativo, anche transfrontaliero; il soggetto è critico per la sua particolare importanza a livello nazionale o regionale; oppure è critico come elemento sistemico della catena di approvvigionamento, anche digitale, di soggetti essenziali o importanti.
Essere fornitore non fa rientrare automaticamente nel perimetro. Però due cose accadono comunque. La prima: il cliente in perimetro deve occuparsi della sicurezza della propria catena di approvvigionamento e quindi vi chiederà questionari, evidenze e impegni contrattuali — è la ragione per cui molte PMI incontrano la NIS2 «di rimbalzo». La seconda: il decreto si applica, a prescindere dalla dimensione, anche all'impresa collegata a un soggetto essenziale o importante quando adotta o influenza in modo dominante le decisioni sulla gestione del rischio informatico, quando detiene o gestisce i sistemi da cui dipende la fornitura dei servizi, quando svolge le operazioni di sicurezza informatica o quando fornisce servizi TIC o di sicurezza, anche gestiti. Chi fa outsourcing IT dentro un gruppo dovrebbe leggere due volte questo passaggio.
Sì. Le più rilevanti per le imprese: ai soggetti essenziali o importanti dei settori 3 e 4 dell'allegato I (settore bancario e infrastrutture dei mercati finanziari) non si applicano gli obblighi del Capo IV e le previsioni del Capo V del decreto, perché a loro si applica il regolamento (UE) 2022/2554 (DORA). Restano poi fuori le realtà escluse per ragioni di sicurezza nazionale, difesa e ordine pubblico previste dal decreto stesso.
Fonti normative: D.Lgs. 4 settembre 2024, n. 138, artt. 3, 5, 6, 7, 36 e allegati I, II, III, IV (Gazzetta Ufficiale n. 230 del 1° ottobre 2024) · raccomandazione 2003/361/CE della Commissione, allegato, art. 2 · regolamento (UE) 2022/2554 (DORA) · acn.gov.it, sezione NIS. Questa pagina è un riepilogo operativo: fanno fede i testi ufficiali e non sostituisce la consulenza legale.