Il recepimento italiano della Direttiva (UE) 2022/2555, il D.Lgs. 138/2024, ha allargato in modo netto la platea delle organizzazioni tenute a presidiare la sicurezza informatica. La prima domanda da porsi non è quali misure adottare, ma una più elementare: la mia organizzazione rientra nell’ambito di applicazione? E, in caso affermativo, come soggetto essenziale o come soggetto importante? La risposta determina obblighi, intensità della vigilanza e massimali sanzionatori. Vediamo come arrivarci con ordine, partendo dalle fonti.
Settori: Allegato I (alta criticità) e Allegato II (critici)
La classificazione ruota attorno agli allegati del decreto, che ricalcano quelli della direttiva. L’Allegato I elenca i settori ad alta criticità, l’Allegato II i settori critici. L’appartenenza a un allegato è il primo requisito: se il settore non è compreso, di norma l’organizzazione resta fuori.
| Allegato I – Alta criticità | Allegato II – Critici |
|---|---|
| Energia (elettricità, gas, petrolio, teleriscaldamento, idrogeno) | Servizi postali e di corriere |
| Trasporti (aereo, ferroviario, per vie d’acqua, su strada) | Gestione dei rifiuti |
| Settore bancario | Fabbricazione, produzione e distribuzione di sostanze chimiche |
| Infrastrutture dei mercati finanziari | Produzione, trasformazione e distribuzione di alimenti |
| Settore sanitario | Fabbricazione (dispositivi medici, computer ed elettronica, apparecchiature elettriche, macchinari, autoveicoli e altri mezzi di trasporto) |
| Acqua potabile e acque reflue | Fornitori di servizi digitali (marketplace, motori di ricerca, piattaforme di social network) |
| Infrastrutture digitali; gestione dei servizi TIC (B2B) | Ricerca |
| Spazio; pubblica amministrazione |
Attenzione a un equivoco diffuso: Allegato I non significa automaticamente «essenziale» e Allegato II non significa «importante». L’allegato individua il settore; la categoria dipende anche dalla dimensione, come vedremo. Molti soggetti dell’Allegato I, se di media dimensione, sono infatti classificati come importanti.
Soglie dimensionali: media o grande impresa
Il secondo filtro è dimensionale e si fonda sulla Raccomandazione 2003/361/CE. In estrema sintesi:
- Piccola impresa (meno di 50 dipendenti e fatturato o bilancio annuo fino a 10 milioni di euro): di regola fuori dall’ambito, salvo le eccezioni «a prescindere dalla dimensione».
- Media impresa (meno di 250 dipendenti e fatturato annuo fino a 50 milioni di euro oppure bilancio fino a 43 milioni): nell’ambito.
- Grande impresa (che supera i parametri della media, quindi almeno 250 dipendenti oppure oltre 50 milioni di fatturato con bilancio oltre 43 milioni): nell’ambito.
Da qui la regola dell’articolo 6 del D.Lgs. 138/2024. Sono essenziali i soggetti dei settori dell’Allegato I che superano le soglie della media impresa (in pratica le grandi imprese di quei settori), insieme ad alcune categorie qualificate a prescindere dalla dimensione: prestatori di servizi fiduciari qualificati, gestori di registri dei nomi di dominio di primo livello (TLD) e fornitori di servizi DNS, fornitori di reti o servizi di comunicazione elettronica, pubbliche amministrazioni centrali, soggetti critici ai sensi del D.Lgs. 134/2024 (CER) e i soggetti individuati con notifica specifica dell’ACN. Sono importanti tutti gli altri soggetti che rientrano nell’ambito e non sono essenziali: quindi le medie imprese dell’Allegato I e, in linea di principio, l’intero Allegato II, comprese le grandi imprese di quei settori.
Esempi pratici
- Distributore di energia elettrica con 600 dipendenti (Allegato I, grande): essenziale.
- Struttura sanitaria privata con 120 dipendenti e 30 milioni di fatturato (Allegato I, media): importante.
- Azienda alimentare con 800 dipendenti (Allegato II, grande): importante, perché l’Allegato II non porta al regime essenziale per sola dimensione.
- Fornitore di servizi DNS con 15 dipendenti: essenziale, in virtù della qualifica a prescindere dalla dimensione.
- Software house generalista con 40 dipendenti, non riconducibile ai servizi digitali elencati: fuori ambito.
Cosa cambia tra essenziale e importante
Gli obblighi di gestione del rischio e di notifica degli incidenti sono in larga parte comuni. La differenza pesa su due piani. Il primo è la vigilanza. Sui soggetti essenziali l’ACN esercita una supervisione anche ex ante, cioè proattiva: ispezioni, audit e controlli possono avvenire pure in assenza di un incidente segnalato. Sui soggetti importanti la vigilanza è di norma ex post, attivata quando emergono elementi che indicano una possibile violazione.
Il secondo piano è quello sanzionatorio (articolo 38). Per i soggetti essenziali, escluse le pubbliche amministrazioni, le sanzioni per la violazione degli obblighi di gestione del rischio e di notifica arrivano fino a 10 milioni di euro o al 2% del fatturato annuo mondiale dell’esercizio precedente, se superiore. Per i soggetti importanti il massimale è fino a 7 milioni di euro o all’1,4% del fatturato annuo mondiale. A queste si aggiungono sanzioni specifiche per la mancata o tardiva registrazione e per l’omesso aggiornamento dei dati, calibrate anch’esse in percentuale sul fatturato (da verificare l’esatta misura sul testo del decreto).
Come registrarsi sul portale ACN
La registrazione avviene sulla piattaforma digitale dell’Agenzia per la Cybersicurezza Nazionale (ACN). Il soggetto compila l’autovalutazione guidata e comunica i propri dati. La finestra ordinaria è annuale, dal 1° gennaio al 28 febbraio (per il primo ciclo la scadenza era il 28 febbraio 2025). Alcune categorie di fornitori di servizi digitali (DNS, TLD, cloud, data center, CDN, servizi gestiti e di sicurezza gestiti, marketplace, motori di ricerca, social network) hanno avuto un termine anticipato al 17 gennaio 2025. Entro il 31 marzo di ogni anno l’ACN redige l’elenco dei soggetti essenziali e importanti; nel mese di aprile comunica a ciascun registrato, tramite il domicilio digitale, l’esito e la categoria attribuita. Chi non si è registrato nella finestra deve provvedere comunque: l’appartenenza alla NIS 2 discende dalla legge, non dall’iscrizione.
Una volta chiarita la categoria, il passo successivo è pianificare gli adempimenti nel tempo: obblighi degli organi di amministrazione, misure di sicurezza, notifica degli incidenti e aggiornamento annuale seguono scadenze scaglionate, tema che approfondiamo nell’articolo dedicato al calendario delle scadenze NIS 2.
FAQ
Una piccola impresa è sempre esclusa?
No. Le categorie qualificate «a prescindere dalla dimensione» (per esempio fornitori DNS, gestori TLD, prestatori di servizi fiduciari, fornitori di reti di comunicazione elettronica) rientrano anche sotto le soglie.
Un’impresa dell’Allegato II può essere essenziale?
Non per la sola dimensione. Può diventarlo solo se individuata specificamente dall’ACN o se qualificata come soggetto critico ai sensi della normativa CER.
Chi decide in via definitiva la categoria?
L’ACN, che entro il 31 marzo di ogni anno forma l’elenco e notifica l’esito ai soggetti registrati.
La classificazione è stabile nel tempo?
No. Cambiamenti dimensionali, di attività o di settore possono spostare un soggetto da una categoria all’altra o farlo entrare o uscire dall’ambito: da qui l’obbligo di aggiornamento periodico dei dati.
Contenuto a scopo informativo; per la qualificazione della singola organizzazione si rinvia al testo del D.Lgs. 138/2024 e alle indicazioni ufficiali dell’ACN.