In due righe
- La NIS2 si applica a medie e grandi imprese dei settori degli Allegati I e II, e alla pubblica amministrazione.
- Sotto i 50 dipendenti si resta di regola fuori, salvo eccezioni precise e il caso in cui si superino entrambi i 10 milioni.
- Se sei fornitore di un soggetto obbligato, i requisiti arrivano per contratto, non per legge.
- Il verdetto ufficiale è dell'ACN: la tua verifica serve a muoverti, non a classificarti da solo.
Capire a quali aziende si applica la NIS2 è il primo passo per capire se la tua è dentro. La direttiva, recepita in Italia dal d.lgs. 138/2024, obbliga le medie e grandi imprese che operano in uno dei 18 settori degli allegati I e II (energia, trasporti, sanità, infrastrutture digitali, chimica, alimentare, manifattura e altri) e le pubbliche amministrazioni. La soglia pratica è avere almeno 50 dipendenti e superare 10 milioni di fatturato o bilancio. Micro e piccole imprese restano di regola fuori, salvo categorie senza soglia e un effetto indiretto sui fornitori. La classificazione ufficiale spetta all'ACN.
Chi rientra nella NIS2: i tre criteri da incrociare
Per capire se la tua azienda rientra devi incrociare tre elementi. Il primo è il settore in cui operi, cioè se rientri in uno degli 11 settori altamente critici dell'Allegato I o in uno dei 7 settori critici dell'Allegato II del d.lgs. 138/2024. Il secondo è la dimensione: solo le medie e grandi imprese, definite secondo la raccomandazione 2003/361/CE, sono in perimetro. Il terzo è l'eventuale appartenenza a categorie speciali senza soglia, elencate dall'art. 3 del decreto.
I tre criteri non sono alternativi: in generale servono insieme settore e dimensione. Chi opera in un settore degli allegati ma è micro o piccola impresa resta fuori. Chi è grande impresa ma non opera in uno di quei settori resta fuori. Le eccezioni arrivano solo dalle categorie senza soglia e dalla designazione discrezionale dell'ACN.
La soglia dimensionale: 50 dipendenti e 10 milioni, con una trappola
La size-cap rule è la regola per cui la NIS2 si applica, in linea generale, solo alle medie e grandi imprese, lasciando fuori micro e piccole imprese. Concretamente: la media impresa ha almeno 50 dipendenti e supera i 10 milioni di euro di fatturato o di bilancio. La grande impresa ha almeno 250 dipendenti, oppure supera i 50 milioni di fatturato o i 43 milioni di bilancio.
Qui c'è la trappola più frequente. Fatturato e bilancio sono criteri alternativi: basta superarne uno. Ma sotto i 50 dipendenti si rientra comunque se si superano entrambi i 10 milioni. In altre parole, una piccola impresa per numero di addetti può diventare media impresa ai fini della norma se i due parametri economici sono alti.
Facciamo il conto su un'azienda tipo: una software house con 45 dipendenti, 14 milioni di fatturato e 13 milioni di bilancio. È sotto i 50 dipendenti, quindi di regola piccola impresa. Ma supera entrambi i 10 milioni, quindi per il diritto europeo è media impresa. Se opera in un settore dell'Allegato II, rientra come soggetto importante. Il numero dei dipendenti da solo non basta per sentirsi fuori.
I settori: gli 11 dell'Allegato I e i 7 dell'Allegato II
I settori altamente critici dell'Allegato I sono: energia, trasporti, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi TIC, spazio e altri soggetti. I settori critici dell'Allegato II sono: poste e corriere, rifiuti, chimica, alimentare, fabbricazione, servizi digitali e ricerca.
La distinzione non è solo descrittiva. Chi opera in un settore dell'Allegato I come media impresa è soggetto importante, come grande impresa è soggetto essenziale. Chi opera in un settore dell'Allegato II è sempre soggetto importante, sia media sia grande impresa. In totale le tipologie di soggetti superano le 80.
La tabella riassume l'incrocio tra settore e dimensione.
| La tua azienda |
Settore |
Dimensione |
Esito NIS2 |
| Impresa privata |
Allegato I (11 settori altamente critici) |
Grande impresa (250 o più dipendenti, o fatturato oltre 50 milioni) |
Soggetto essenziale |
| Impresa privata |
Allegato I |
Media impresa (50-249 dipendenti e oltre 10 milioni di fatturato o bilancio) |
Soggetto importante |
| Impresa privata |
Allegato II (7 settori critici) |
Media o grande impresa |
Soggetto importante |
| Impresa privata |
Qualsiasi settore |
Piccola o micro impresa |
Fuori perimetro (salvo categorie senza soglia e designazione ACN) |
| Pubblica amministrazione |
Allegato III, amministrazioni centrali |
Indipendente dalla dimensione |
Soggetto essenziale |
| Pubblica amministrazione |
Allegato III, regioni ed enti locali |
Indipendente dalla dimensione |
Soggetto importante |
Piccolo ma dentro lo stesso: le categorie senza soglia dimensionale
Il criterio dimensionale non vale per tutti. L'art. 3, comma 5, del d.lgs. 138/2024 elenca categorie soggette a prescindere dalla dimensione: registri TLD, servizi DNS, servizi fiduciari, reti e servizi di comunicazione elettronica, soggetti critici CER e servizi di registrazione di nomi di dominio.
Significa che un registrar o un provider DNS con tre dipendenti può essere soggetto alla NIS2 anche se è micro impresa. La logica è che questi servizi sono infrastruttura critica per tutti, indipendentemente da quanto fatturano. In più l'ACN può designare altri soggetti per criticità qualitativa, ai sensi dei commi 8-10 dell'art. 3. Non si può quindi escludere il perimetro solo perché un'azienda è piccola: serve sempre il controllo della categoria.
Lo strumento
Delera Agent AI costruisce agenti su misura sui processi che oggi ti portano via ore ogni settimana.
Scopri Delera Agent AI
PA, banche e soggetti esclusi: le regole speciali
Le pubbliche amministrazioni seguono un percorso diverso. Quelle dell'Allegato III non passano dal criterio dimensionale: le amministrazioni centrali sono soggetti essenziali, le regionali e locali sono soggetti importanti. Non conta quanti dipendenti hanno.
Banche e infrastrutture dei mercati finanziari sono classificate secondo la NIS2, ma gli obblighi operativi arrivano dal regolamento DORA (UE) 2022/2554, che funziona come disciplina speciale. Restano quindi esclusi dagli obblighi di sicurezza e notifica del d.lgs. 138/2024 pur restando nell'impianto di classificazione. L'art. 4 esclude poi Parlamento, magistratura, Banca d'Italia, UIF, difesa e intelligence.
Fuori perimetro? L'effetto indiretto sui fornitori
Anche se la tua azienda non rientra, può esserci un effetto indiretto. L'art. 24 impone ai soggetti NIS2 di gestire il rischio della supply chain. In pratica, chi è soggetto deve chiedere ai propri fornitori requisiti minimi di sicurezza: autenticazione a più fattori, backup, patch management, cifratura, clausole contrattuali, notifica rapida degli incidenti e spesso un diritto di audit.
Facciamo un esempio: un fornitore IT con 10 dipendenti serve una società energetica soggetta alla NIS2. Il fornitore è fuori perimetro per legge. Ma il cliente energetico, per adempiere ai propri obblighi, gli chiederà per contratto di attivare determinate misure e di accettare verifiche. Non si diventa soggetti NIS2, ma si ricevono requisiti vincolanti: la compliance, qui, passa dal contratto, non dalla legge.
La verifica in quattro passi, e cosa fare se rientri
Per capire la tua posizione, applica questa sequenza.
- Individua il settore: controlla se la tua attività rientra negli Allegati I o II del d.lgs. 138/2024.
- Calcola la dimensione: numero di dipendenti, fatturato e bilancio, ricordando la trappola dei due 10 milioni.
- Controlla le categorie senza soglia: se operi in DNS, TLD, servizi fiduciari, telecomunicazioni o registrazione domini, la dimensione non conta.
- Se hai dubbi, registrati sulla piattaforma ACN nella finestra annuale dal 1° gennaio al 28 febbraio, designando un punto di contatto.
Se rientri, gli obblighi non si limitano alla registrazione annuale: servono misure di sicurezza, notifica degli incidenti e coinvolgimento del vertice aziendale. Non aspettare la designazione ufficiale per verificare: la registrazione è un tuo obbligo e la finestra è stretta. E non fermarti alla conta dei dipendenti: il parametro economico può far rientrare un'azienda che sembra piccola.
Il passo più piccolo che puoi fare domani mattina è prendere visura camerale, bilancio degli ultimi due anni e la lista dei settori degli allegati: incroci i tre criteri e hai già una risposta indicativa. Se il risultato è dubbio, ti registri sulla piattaforma ACN e lasci che sia l'agenzia a classificarti.
Domande frequenti
La NIS2 si applica alla mia azienda se ho meno di 50 dipendenti?
Di regola no. Sotto i 50 dipendenti e con fatturato o bilancio entro i 10 milioni sei una piccola o micro impresa e resti fuori perimetro. Fanno eccezione le categorie senza soglia (servizi DNS, registri TLD, servizi fiduciari, telecomunicazioni, registrar), il caso in cui superi sia il fatturato sia il bilancio di 10 milioni, e la designazione discrezionale dell’ACN.
Che differenza c’è tra soggetti essenziali e importanti?
Gli obblighi di base sono simili, ma gli essenziali devono attuare più misure (43 misure e 116 requisiti contro 37 e 87), subiscono anche vigilanza preventiva e rischiano sanzioni fino a 10 milioni o al 2% del fatturato mondiale, contro i 7 milioni o l’1,4% degli importanti.
Sono un fornitore di un’azienda soggetta: cosa mi verrà chiesto?
Non rientri per legge, ma per contratto. I soggetti NIS2 devono gestire il rischio della propria supply chain: ti chiederanno requisiti minimi di sicurezza (MFA, backup, patch management, cifratura), clausole contrattuali, notifica rapida degli incidenti e probabilmente un diritto di audit.
Quando e come mi registro sulla piattaforma ACN?
Se rientri, ti registri o aggiorni la registrazione sulla piattaforma dell’ACN ogni anno nella finestra dal 1° gennaio al 28 febbraio, designando un punto di contatto. La classificazione ufficiale come essenziale o importante è fatta dall’ACN, non dalla tua autovalutazione.
Le banche e le società finanziarie devono adeguarsi alla NIS2?
Restano classificate come soggetti essenziali o importanti, ma gli obblighi di sicurezza e di notifica della NIS2 non si applicano: per banche e infrastrutture dei mercati finanziari opera il regolamento DORA (UE) 2022/2554 come disciplina speciale.
Come faccio a sapere con certezza se la mia azienda rientra?
Incrocia settore (Allegati I o II del d.lgs. 138/2024) e dimensione, controlla se ricadi in una categoria senza soglia e, se hai dubbi, registrati sulla piattaforma ACN nella finestra annuale. La parola definitiva spetta all’ACN, che compila l’elenco dei soggetti essenziali e importanti.
Delera CRM
Delera Agent AI
UmanValue
PMI Speed Test