La distinzione tra soggetti essenziali e importanti NIS2 richiede prima di accertare se l’organizzazione rientra nel decreto italiano. Settore, dimensione, attività effettiva e inclusioni speciali concorrono a questa verifica. Solo dopo si determina la categoria, che incide sulla vigilanza, sulle specifiche applicabili e sulle sanzioni. Un’impresa importante ha obblighi concreti di sicurezza: la denominazione non indica un livello facoltativo di conformità.
In Italia il riferimento è il D.Lgs. 138/2024, in particolare gli articoli 3 e 6. Occorre leggere questi articoli con gli allegati e con le determinazioni ACN aggiornate. La registrazione contiene informazioni dell’organizzazione; l’elenco e la comunicazione dell’ACN identificano i soggetti e la loro categoria. Questa guida distingue i passaggi, comprese le scadenze differenziate previste per i nuovi inserimenti del 2026.
Partire dall’attività effettivamente svolta
Il primo controllo riguarda la singola entità giuridica e i servizi che fornisce. Una descrizione commerciale come «società tecnologica» o un codice di attività prevalente non risolve da sola la questione. Bisogna confrontare i servizi reali con le tipologie elencate negli allegati: chi gestisce infrastrutture cloud non svolge necessariamente la stessa attività di chi vende licenze software senza gestire il servizio del cliente.
L’allegato I comprende settori altamente critici, fra cui energia, trasporti, sanità, acqua, infrastrutture digitali e gestione di servizi TIC. L’allegato II comprende altri settori critici, come servizi postali, rifiuti, determinate attività chimiche, alimentari e manifatturiere, fornitori digitali e ricerca. Il cloud appartiene alle infrastrutture digitali dell’allegato I; marketplace e motori di ricerca hanno un diverso inquadramento nell’allegato II.
Gli allegati III e IV completano il perimetro italiano con categorie di amministrazioni pubbliche e ulteriori tipologie di soggetti. Per queste ultime occorre verificare anche le procedure di individuazione previste dal decreto. Non è corretto trasferire automaticamente alla pubblica amministrazione il calcolo dimensionale usato per un’impresa privata. La guida alla NIS2 in Italia offre il contesto del recepimento; qui interessa arrivare a una motivazione verificabile della propria posizione.
Nell’analisi interna conviene descrivere anche i rami secondari. Un gruppo industriale può avere una società distinta che gestisce servizi informatici per altre società; una società sanitaria può offrire attività diverse sotto la stessa persona giuridica. Occorre identificare chi stipula i contratti, chi eroga il servizio e quali sistemi ne consentono il funzionamento. La mappa societaria e quella tecnica rispondono a domande diverse e vanno confrontate.
La soglia dimensionale non è un semplice «oltre 50»
La regola generale dell’articolo 3 riguarda i soggetti degli allegati I e II che superano i massimali delle piccole imprese. La definizione europea di piccola impresa richiede meno di 50 persone e un fatturato annuo oppure un totale di bilancio annuo non superiore a 10 milioni di euro. Di conseguenza, 50 persone soddisfano già il criterio degli effettivi: non occorre arrivare a 51.
Per un’impresa autonoma con meno di 50 persone, il solo fatturato superiore a 10 milioni non basta a escludere la dimensione piccola se il totale di bilancio rimane entro 10 milioni. Occorre leggere correttamente il rapporto tra le due soglie finanziarie. Restano necessari il settore pertinente e la verifica delle regole di calcolo: una soglia economica, isolata dal resto, non rende soggetto NIS qualunque impresa.
Per le medie imprese i massimali sono meno di 250 persone e fatturato non superiore a 50 milioni oppure totale di bilancio non superiore a 43 milioni. Il superamento di questi massimali rileva, fra l’altro, per la classificazione dei soggetti dell’allegato I come essenziali. Non si devono quindi confondere la soglia di ingresso ordinaria nel perimetro con quella che distingue determinate imprese importanti da quelle essenziali.
Il conteggio segue la raccomandazione europea richiamata dal decreto, comprese le regole su effettivi, dati finanziari e imprese associate o collegate. Il dato della sola busta paga dell’ultimo mese non sostituisce questo calcolo. Anche il periodo contabile e le regole relative al cambiamento di categoria vanno considerati quando l’impresa è vicina alla soglia, cresce rapidamente o ha appena completato un’acquisizione.
L’articolo 3, comma 4, prevede una clausola di salvaguardia legata alla proporzionalità e all’indipendenza dai sistemi e servizi delle imprese collegate. La sua applicazione compete all’ACN secondo i criteri previsti: non autorizza una società a ignorare autonomamente il gruppo perché mantiene un proprio reparto informatico. Il fascicolo di valutazione deve distinguere il calcolo ordinario dagli elementi eventualmente sottoposti all’Agenzia.
Quando la dimensione non decide l’inclusione
Alcune categorie rientrano indipendentemente dalle dimensioni. L’articolo 3 comprende, fra le altre, fornitori di reti pubbliche e servizi di comunicazione elettronica accessibili al pubblico, prestatori di servizi fiduciari, gestori di registri TLD, fornitori DNS e servizi di registrazione dei nomi di dominio. Le definizioni del decreto sono decisive: gestire il dominio del proprio sito non equivale necessariamente a fornire professionalmente uno di questi servizi.
Esistono inoltre inclusioni per soggetti critici e per soggetti individuati dall’ACN, su proposta delle autorità di settore, sulla base dei criteri legali. Contano, per esempio, l’unicità nazionale di un servizio essenziale o il rischio sistemico derivante dalla sua interruzione. Il decreto considera anche determinate imprese collegate che assumono decisioni di sicurezza o gestiscono sistemi dai quali dipende un soggetto NIS.
Queste eccezioni richiedono una verifica separata. Un’impresa con venti addetti non può chiudere l’analisi con la sola annotazione «sotto soglia». D’altra parte, la richiesta di compilare un questionario di sicurezza ricevuta da un cliente non costituisce, da sola, una comunicazione di individuazione da parte dell’ACN. Contratto commerciale, inclusione legislativa e provvedimento dell’autorità devono rimanere distinguibili.
Come si attribuisce la categoria essenziale o importante
L’articolo 6 considera essenziali, in via generale, i soggetti dell’allegato I che superano i massimali delle medie imprese. Comprende inoltre categorie specifiche: soggetti identificati come critici secondo la disciplina CER, prestatori di servizi fiduciari qualificati, registri TLD, fornitori DNS e amministrazioni centrali indicate nell’allegato III. Per questi ultimi casi la dimensione non è il criterio determinante.
Anche i fornitori di reti pubbliche o servizi di comunicazione elettronica accessibili al pubblico che sono medie imprese sono essenziali. Questa eccezione impedisce di applicare meccanicamente lo schema «media impresa dell’allegato I uguale importante». Occorre poi considerare gli ulteriori soggetti che l’ACN individua come essenziali ai sensi del comma 2. Gli altri soggetti compresi nell’ambito del decreto sono importanti.
Si considerino tre esempi ipotetici, assumendo verificati giurisdizione, dimensione e servizio. Un grande fornitore cloud dell’allegato I è essenziale. Un’impresa alimentare media che svolge una delle attività dell’allegato II è normalmente importante. Un piccolo fornitore DNS può essere essenziale indipendentemente dagli effettivi. Gli esempi spiegano il ragionamento; non sostituiscono la verifica delle definizioni settoriali e delle eventuali individuazioni particolari.
Per un’impresa manifatturiera, la grande dimensione non comporta automaticamente essenzialità: se l’attività ricade nell’allegato II, resta normalmente importante, salvo altra ragione di classificazione. Analogamente, non tutte le amministrazioni regionali diventano essenziali per il solo fatto di essere pubbliche. Conservare il riferimento al preciso comma applicato rende la conclusione più utile di una tabella costruita soltanto sui nomi dei settori.
Registrazione, comunicazione ACN e aggiornamenti
L’organizzazione deve raccogliere dati corretti, valutare il proprio assoggettamento e adempiere alla registrazione quando richiesta. L’ACN redige l’elenco e comunica l’inserimento e la classificazione. Parlare soltanto di «autoclassificazione» rischia di attribuire alla dichiarazione aziendale un effetto decisorio che non esaurisce il procedimento. Le incongruenze devono essere segnalate attraverso i canali previsti, con elementi concreti a sostegno.
La determinazione ACN 127437/2026 disciplina l’accesso alla piattaforma, i ruoli e gli aggiornamenti. Il punto di contatto cura gli adempimenti per conto del soggetto, ma non assorbe la responsabilità degli organi di amministrazione e direttivi. Un avvicendamento interno deve quindi comprendere accessi, deleghe, recapiti, documentazione e controllo delle comunicazioni ricevute.
La stessa determinazione disciplina l’elencazione dei fornitori rilevanti e la categorizzazione di attività e servizi. La determinazione 155238/2026 definisce i modelli di categorizzazione e richiede di conservare la valutazione quando si assegna una rilevanza diversa da quella predefinita. Questa rilevanza misura l’impatto della compromissione di un’attività: non va confusa con la categoria essenziale o importante dell’entità.
Un dossier utile collega attività, allegato, dimensione, eccezioni e comunicazione ACN. Può indicare chi ha verificato ciascun dato e quale evento impone il riesame, come una fusione, un nuovo servizio o una modifica dei sistemi condivisi. Sono accorgimenti organizzativi per ricostruire la decisione; non un formato documentale unico imposto dal decreto. L’obiettivo è poter correggere tempestivamente informazioni diventate inesatte.
Sicurezza e scadenze: distinguere le diverse coorti
Entrambe le categorie devono gestire i rischi, organizzare la risposta agli incidenti e coinvolgere la direzione. Tuttavia, non è preciso affermare che ogni misura sia identica. La determinazione ACN 379907/2025 distingue gli allegati di sicurezza per importanti ed essenziali, nonché le specifiche sugli incidenti. Occorre utilizzare l’allegato pertinente e valutarne l’applicazione nel contesto concreto.
Per i soggetti inseriti nel 2025 e rimasti nell’elenco 2026, restano i termini previsti dalla determinazione 379907: diciotto mesi dalla ricezione della comunicazione per le misure di base e nove mesi per l’obbligo di notifica degli incidenti significativi di base. La data da recuperare è quindi quella della propria comunicazione, non una data scelta sulla base di un calendario commerciale generico.
Per i soggetti inseriti per la prima volta nel 2026, la determinazione ACN 127434/2026 stabilisce invece il 31 luglio 2027 per le misure di sicurezza di base e il 1° gennaio 2027 per la decorrenza dell’obbligo di notifica degli incidenti significativi indicati. La registrazione e gli altri adempimenti seguono le proprie disposizioni: questi termini non sospendono indistintamente ogni obbligo.
La procedura di notifica degli incidenti all’ACN va preparata prima dell’operatività dell’obbligo. Nella classificazione interessa soprattutto sapere chi decide la significatività, chi riceve l’allarme e quale regime temporale si applica. Un incidente può richiedere anche una valutazione GDPR: le due notifiche hanno presupposti e destinatari distinti, come spiega il confronto NIS2 e GDPR.
Vigilanza e sanzioni: differenze senza false esenzioni
La vigilanza sugli essenziali comprende interventi preventivi e successivi; per gli importanti il regime è principalmente successivo, in presenza degli elementi previsti dalla normativa. Questo non autorizza gli importanti ad attendere un’ispezione per adottare le misure. L’ACN può richiedere elementi e intervenire secondo i propri poteri, mentre l’organizzazione deve già disporre delle evidenze relative agli obblighi applicabili.
L’articolo 38 distingue anche le violazioni. Per quelle principali di governance, gestione del rischio, notifica e determinate disposizioni dell’autorità, i massimi per i soggetti privati essenziali sono 10 milioni di euro o il 2% del fatturato mondiale, se superiore; per gli importanti, 7 milioni o l’1,4%, se superiore. Il decreto prevede minimi edittali e un diverso regime per altre inosservanze, comprese quelle informative.
Per le amministrazioni e gli altri soggetti pubblici espressamente indicati operano specifiche fasce e condizioni, non la trasposizione automatica dei massimi aziendali. Anche responsabilità dirigenziali, diffide e misure accessorie richiedono i rispettivi presupposti. Una valutazione economica del rischio deve quindi identificare la violazione ipotizzata e la natura del soggetto prima di utilizzare una cifra massima.
Fornitori, strumenti e coordinamento interno
La sicurezza della catena di fornitura può comportare richieste contrattuali anche a un’impresa esterna al perimetro NIS. Il cliente potrebbe chiedere tempi di segnalazione, gestione delle vulnerabilità, continuità e verifiche. Queste richieste devono essere comprese e negoziate in relazione al servizio; non provano da sole che il fornitore sia diventato importante o essenziale. La verifica dei fornitori tramite rating di sicurezza aiuta a distinguere un indicatore esterno dalle evidenze effettivamente necessarie.
Quando il fornitore tratta anche dati personali, occorre coordinare i ruoli e le misure con il registro dei trattamenti, senza trasformare quel registro nel fascicolo completo NIS. Una stessa prova tecnica può essere utile a più obblighi, ma finalità, sistemi e responsabilità restano da descrivere. Il processo di gestione del rischio TIC in DORA è rilevante per il settore finanziario, dove l’articolo 3 del decreto prevede specifiche esclusioni e coordinamenti con DORA.
Prima di scegliere un software per organizzare la conformità NIS2, definite quali informazioni devono essere mantenute e chi le aggiorna. Un sistema di raccolta delle evidenze è utile se rende visibili responsabilità e scadenze corrette. Non determina l’assoggettamento giuridico, non sostituisce la comunicazione ACN e non rende conforme un controllo che esiste soltanto sulla carta.
Domande frequenti
Con 50 persone si è già sopra la soglia delle piccole imprese?
Sì, il requisito della piccola impresa è inferiore a 50 persone. Restano da verificare il metodo di calcolo, il settore e le eccezioni. Sotto tale numero, fatturato e bilancio devono essere letti insieme secondo la definizione applicabile, senza usare una sola cifra isolata.
Una media impresa è sempre importante?
No. Esistono categorie essenziali anche nella dimensione media o indipendentemente dalla dimensione, come i casi specifici previsti dall’articolo 6. Per questo la qualificazione richiede una lettura delle eccezioni dopo il controllo ordinario di settore e dimensione.
Essere fornitore rilevante rende automaticamente soggetto NIS?
No. L’elencazione da parte di un cliente e i requisiti contrattuali vanno distinti dall’inclusione normativa e dall’individuazione dell’autorità. Il fornitore deve comunque verificare se la propria attività, il gruppo o una specifica comunicazione lo fanno rientrare autonomamente nel decreto.
Le scadenze sono uguali per tutti i soggetti importanti?
No. Oltre alla categoria conta l’anno di primo inserimento e, per i soggetti della prima fase, la ricezione della comunicazione. Le determinazioni del 2026 distinguono i nuovi inserimenti da quelli del 2025 rimasti nell’elenco. Conservare la comunicazione evita di applicare il calendario sbagliato.