NIS2: quali aziende sono coinvolte e quali obblighi comporta

Come capire se la tua azienda rientra, passo per passo

1. Individua la tua attività reale

   Non basta il codice ATECO: conta che cosa fai davvero. Confrontalo con gli allegati I e II del decreto (settori ad alta criticità e altri settori critici) e con l’allegato IV (trasporto pubblico locale, ricerca, cultura e alcune società pubbliche).

2. Calcola la dimensione con il gruppo

   Dipendenti, fatturato e totale di bilancio si sommano, di regola, con quelli delle società collegate e associate. Una società piccola che fa parte di un gruppo medio può rientrare.

3. Controlla i casi senza soglia

   Fornitori di reti e servizi di comunicazione elettronica, prestatori di servizi fiduciari, gestori di registri e servizi di nomi di dominio, registrar: rientrano anche se piccoli.

4. Verifica se l’ACN ti ha scritto

   L’ACN può individuare soggetti a prescindere dalle dimensioni, per esempio perché sono l’unico fornitore di un servizio essenziale o un anello critico della catena di fornitura di altri. In quel caso ricevi una comunicazione e devi registrarti.

5. Se rientri, registrati nella finestra annuale

   Dal 1° gennaio al 28 febbraio, sul portale dell’ACN, con un punto di contatto designato. Non serve aspettare una lettera: l’obbligo è tuo.

6. Se non rientri, mettilo per iscritto

   Una breve nota con i dati usati e il ragionamento: ti servirà se un cliente o un controllo lo chiedono.

Settori e soglie: chi rientra

Il decreto elenca le attività in quattro allegati. In sintesi:

Per gli allegati I e II conta la dimensione: il decreto si applica a chi supera i limiti della piccola impresa, cioè a chi ha almeno 50 dipendenti, oppure ha fatturato e totale di bilancio annui entrambi sopra i 10 milioni di euro. Le imprese grandi dei settori dell’allegato I (da 250 dipendenti, o sopra 50 milioni di fatturato e 43 di bilancio) sono di regola soggetti essenziali; le altre sono soggetti importanti. La differenza conta per i controlli e per le sanzioni.

Attenzione ai gruppi: i numeri si calcolano di regola insieme alle società collegate. Il decreto permette di non farlo solo se sarebbe sproporzionato, per esempio perché la società usa sistemi informatici del tutto separati da quelli del gruppo: è una valutazione da documentare bene.

L’effetto a catena sui fornitori

È il punto che riguarda più imprese di quanto si pensi. Il decreto obbliga i soggetti NIS2 a curare la sicurezza della catena di approvvigionamento: devono valutare i rischi dei loro fornitori diretti, in particolare di quelli informatici. In pratica, se lavori per un ospedale, un’azienda di trasporti, un’utility o un’industria alimentare media o grande, puoi ricevere:

• un questionario di sicurezza su backup, accessi, aggiornamenti, formazione e gestione degli incidenti;
• nuove clausole contrattuali: avviso immediato in caso di incidente, diritto di verifica, requisiti minimi, a volte penali;
• la richiesta di prove: procedure scritte, report dei backup, attestati di formazione.

Dal 2026, inoltre, l’ACN chiede ai soggetti NIS2 di indicare nell’aggiornamento annuale i propri fornitori rilevanti, cioè quelli informatici o difficili da sostituire. Se compari in quell’elenco non diventi per questo un soggetto NIS2: gli obblighi restano del tuo cliente, ma il cliente li scaricherà su di te attraverso il contratto.

Il caso diverso è quello dell’impresa collegata, cioè della stessa proprietà, che gestisce i sistemi informatici o la sicurezza di un soggetto NIS2: qui il decreto può applicarsi direttamente, a prescindere dalle dimensioni.

Cosa conviene preparare, anche se sei piccolo: un documento di due o tre pagine sulle misure che usi davvero, la verifica in due passaggi su tutti gli accessi (vedi password aziendali), backup separati e provati (vedi backup aziendale), una procedura per avvisare il cliente entro poche ore se succede qualcosa. Se tratti dati personali per il cliente, c’è anche la nomina a responsabile esterno del trattamento: le due cose vanno coordinate.

Il calendario annuale sulla piattaforma ACN

Per la registrazione del 2027 l’ACN ha introdotto, con una determinazione di ottobre 2026, una semplificazione: secondo le prime letture, chi è già nell’elenco presenta la dichiarazione solo se i dati sono cambiati. Prima di gennaio controlla comunque le istruzioni aggiornate sul portale.

Le scadenze reali 2025–2027

Gli obblighi sostanziali non partono dalla registrazione, ma dalla comunicazione di inserimento nell’elenco:

• Soggetti in elenco dal 2025 (comunicazioni inviate da aprile 2025): obbligo di notifica degli incidenti significativi da gennaio 2026; misure di sicurezza di base entro ottobre 2026, cioè 18 mesi. Oggi, a novembre 2026, entrambe le scadenze sono passate.
• Soggetti inseriti nel 2026: referente CSIRT entro il 31 dicembre 2026, notifica degli incidenti dal 1° gennaio 2027, misure di base entro il 31 luglio 2027.
• Chi si registra nel 2027: i termini saranno fissati dall’ACN dopo l’inserimento in elenco; di regola tempi analoghi.

Se ti accorgi solo ora di dover essere registrato, preparati per la prossima finestra: la mancata registrazione è sanzionata.

Cosa sono le misure di base, in parole semplici

Le misure di base sono fissate dall’ACN con una determinazione, oggi la n. 379907 del 2025, applicata da gennaio 2026. Sono più numerose e dettagliate per i soggetti essenziali che per quelli importanti, ma seguono gli elementi che la legge indica come minimi:

• governo: ruoli e responsabilità scritti, politiche di sicurezza approvate dai vertici, analisi dei rischi;
• conoscere cosa si protegge: inventario di computer, server, programmi, servizi cloud e fornitori;
• proteggere: accessi personali con autenticazione a più fattori, aggiornamenti, cifratura dove serve, formazione del personale;
• rilevare e reagire: monitoraggio degli eventi, piano di gestione degli incidenti, procedure per le notifiche;
• ripartire: continuità operativa, backup e piani di ripristino, con prove periodiche;
• fornitori: requisiti di sicurezza negli acquisti e nei contratti.

Non sono un elenco di prodotti da comprare: per ogni misura bisogna poter dimostrare cosa è stato fatto, con documenti e registrazioni. Per chi tratta anche dati personali, molte misure coincidono con quelle che il GDPR già chiede: conviene un’unica documentazione, come spiega la guida alla sicurezza informatica in azienda.

La notifica degli incidenti

I soggetti NIS2 notificano al CSIRT Italia, la squadra di risposta dell’ACN, gli incidenti con impatto significativo: una pre-notifica entro 24 ore da quando ne vengono a conoscenza, una notifica entro 72 ore con la prima valutazione, una relazione finale entro un mese. Per la fase iniziale l’ACN ha indicato alcuni casi tipici: dati usciti verso l’esterno, dati alterati, servizi scesi sotto i livelli attesi e, per i soggetti essenziali, accessi non autorizzati.

È una notifica diversa da quella al Garante privacy per i dati personali: se l’incidente riguarda entrambi, si fanno tutte e due. Il percorso pratico delle prime 72 ore è in data breach: cosa fare nelle prime 72 ore; come gestire un attacco in corso è in ransomware in azienda. Chi non rientra nella NIS2 può comunque segnalare un incidente al CSIRT in modo volontario.

Amministratori responsabili e sanzioni

La NIS2 porta la sicurezza informatica nel consiglio di amministrazione. Gli organi di amministrazione dei soggetti NIS2:

• approvano il modo in cui le misure vengono applicate e ne sorvegliano l’attuazione;
• devono seguire una formazione in sicurezza informatica e promuoverla per i dipendenti;
• sono responsabili delle violazioni.

Le sanzioni arrivano fino a 10 milioni di euro o il 2% del fatturato mondiale per i soggetti essenziali e fino a 7 milioni o l’1,4% per quelli importanti, se l’importo in percentuale è più alto. Sono sanzionate a parte anche la mancata registrazione e il mancato aggiornamento dei dati, fino allo 0,1% o allo 0,07% del fatturato. L’ACN può fare ispezioni, chiedere documenti e dare diffide.

Un esempio concreto

Elena amministra un’azienda di 38 dipendenti che produce componenti elettronici, con 9 milioni di fatturato. Da sola sarebbe sotto la soglia. Ma l’azienda è controllata al 70% da una società che ne ha altri 60, e il gruppo supera i limiti: rientra tra le attività dell’allegato II e i numeri si sommano.

• Con un consulente verifica che i sistemi informatici sono in comune con il gruppo: la clausola di sproporzione non si applica.
• L’azienda si registra nella finestra di gennaio-febbraio, designa il punto di contatto e riceve a marzo la comunicazione di inserimento come soggetto importante.
• Entro maggio comunica domini, indirizzi IP, sostituto e fornitori rilevanti; entro dicembre il referente CSIRT.
• Il consiglio approva un piano: inventario, verifica in due passaggi per tutti, backup con copia offline, procedura incidenti, formazione dei vertici. La notifica degli incidenti scatta prima delle misure.

Nello stesso periodo Luca, che ha una software house di 8 persone, riceve da un cliente ospedaliero un questionario NIS2. La sua azienda non rientra, ma per tenere il cliente deve dimostrare misure concrete e firmare una clausola di avviso entro 24 ore: è l’effetto a catena.

Cosa fa il consulente su Intervento

Descrivi l’attività, il numero di dipendenti, fatturato e bilancio, l’eventuale gruppo, i clienti principali e cosa ti hanno chiesto; carica il questionario o la comunicazione dell’ACN, se li hai. L’orientamento gratuito ti dice se il tema ti riguarda e cosa approfondire. Con l’Analisi ottieni una lettura automatica dei documenti che carichi. Con l’Esperto un consulente privacy e sicurezza verificato ti risponde per iscritto: se rientri e come soggetto essenziale o importante, quali scadenze ti riguardano, come rispondere al questionario di un cliente. Con il livello Soluzione, su preventivo, ti aiuta con registrazione, analisi dei rischi, piano di adeguamento e procedure.