Da quando la NIS2 è entrata in vigore, la domanda che arriva più spesso a chi si occupa di sicurezza informatica in azienda è sempre la stessa: “ma questa normativa riguarda anche noi?”. La risposta non è un semplice sì o no valido per tutti: dipende dal settore in cui opera l’azienda e dalla sua dimensione economica. In questo articolo vediamo come orientarsi, con un metodo pratico per capire, in autonomia, se la propria azienda rientra nel perimetro di applicazione.
Cos’è la NIS2, in due frasi
La NIS2 (Direttiva UE 2022/2555) è la normativa europea che impone alle organizzazioni di settori considerati critici per l’economia e la società di adottare misure minime di sicurezza informatica e di notificare gli incidenti gravi alle autorità competenti. In Italia è stata recepita con il Decreto Legislativo 4 settembre 2024, n. 138, che ne definisce nel dettaglio soggetti obbligati, adempimenti e sanzioni: se vuoi un quadro d’insieme più ampio, prima di entrare nei dettagli di questo articolo può esserti utile leggere la nostra pagina dedicata alla NIS2, pensata come punto di partenza generale sul tema.
I settori “essenziali” e “importanti”: chi rientra nel perimetro
La normativa distingue due macro-categorie di soggetti, in base al settore di attività: i “soggetti essenziali” e i “soggetti importanti”. Non è una gerarchia di importanza economica, ma una classificazione che determina il livello di vigilanza e, come vedremo in un altro articolo di questo blog, anche l’entità delle sanzioni.
Tra i settori considerati ad alta criticità, quindi tipicamente associati ai soggetti essenziali, troviamo: energia (elettricità, gas, teleriscaldamento, idrogeno), trasporti (aereo, ferroviario, marittimo, su strada), sistema bancario e infrastrutture dei mercati finanziari, sanità (ospedali, laboratori, produzione di farmaci e dispositivi medici critici), acqua potabile e acque reflue, infrastrutture digitali (data center, provider cloud, gestori di DNS, registri dei nomi a dominio di primo livello), gestione dei servizi ICT (in particolare i fornitori di servizi gestiti e di servizi di sicurezza gestiti, i cosiddetti MSP e MSSP), pubblica amministrazione centrale e settore spaziale.
Accanto a questi, la direttiva individua altri settori critici, tipicamente associati ai soggetti importanti: servizi postali e di corriere, gestione dei rifiuti, fabbricazione, produzione e distribuzione di sostanze chimiche, produzione e distribuzione alimentare, manifatturiero in ambiti specifici (dispositivi medici, elettronica, apparecchiature elettriche, macchinari, mezzi di trasporto), fornitori di servizi digitali come marketplace online, motori di ricerca e piattaforme di social network, ed enti di ricerca.
Un esempio concreto aiuta a capire la logica: un ospedale privato di medie dimensioni rientra tipicamente tra i soggetti importanti o essenziali del settore sanitario; un’azienda manifatturiera che produce componenti elettronici di medie dimensioni può rientrare tra i soggetti importanti; un fornitore di servizi cloud, indipendentemente dalla sua dimensione in alcuni casi, può essere considerato soggetto essenziale per il ruolo che svolge nella catena digitale.
Le soglie dimensionali che fanno scattare l’obbligo
Oltre al settore, conta la dimensione dell’azienda. La normativa fa riferimento ai criteri europei standard per la classificazione delle imprese in micro, piccole, medie e grandi, basati su numero di dipendenti e volume economico (fatturato annuo o totale di bilancio).
In estrema sintesi, e con le dovute cautele che spieghiamo più sotto: le imprese di medie dimensioni (indicativamente a partire da 50 dipendenti, oppure con fatturato o bilancio annuo superiore a una soglia nell’ordine dei 10 milioni di euro) e le imprese di grandi dimensioni (indicativamente a partire da 250 dipendenti, oppure con fatturato superiore a circa 50 milioni di euro o totale di bilancio superiore a circa 43 milioni di euro) operanti nei settori sopra elencati rientrano nel perimetro di applicazione della NIS2. Le imprese di grandi dimensioni nei settori ad alta criticità sono generalmente classificate come soggetti essenziali; le medie imprese nei settori ad alta criticità e le medie/grandi imprese negli altri settori critici sono generalmente classificate come soggetti importanti.
Questi valori numerici sono soggetti a un’interpretazione tecnica precisa nel testo del decreto legislativo italiano, che può prevedere eccezioni, arrotondamenti o casi particolari: per questo, prima di escludersi dal perimetro sulla sola base di “siamo sotto i 50 dipendenti”, è sempre meglio verificare la propria posizione con un confronto puntuale, anche perché — come vediamo nel prossimo paragrafo — la dimensione da sola non è sempre l’unico criterio.
Casi limite: aziende sotto soglia ma comunque coinvolte
Esistono situazioni in cui un’azienda, pur non superando le soglie dimensionali generali, viene comunque inclusa nel perimetro NIS2: è il caso, ad esempio, di alcuni fornitori di infrastrutture digitali critiche (come i gestori di domini di primo livello o alcuni fornitori di servizi di fiducia digitale) che possono rientrare negli obblighi indipendentemente dalle dimensioni, per il ruolo sistemico che ricoprono.
C’è poi un tema distinto, ma altrettanto rilevante nella pratica: anche un’azienda che non è direttamente obbligata dalla legge può trovarsi coinvolta perché è fornitrice di un cliente che invece è soggetto essenziale o importante. In questi casi, l’obbligo normativo del cliente si trasforma spesso in una richiesta contrattuale verso i propri fornitori. È un tema che meritava un approfondimento a sé, e che trovi trattato in modo specifico in un altro articolo di questo blog dedicato al rapporto tra NIS2 e filiera fornitori.
Come capire in autonomia se rientri nel perimetro: una checklist
Prima di rivolgerti a un consulente o richiedere un check-up, puoi farti un’idea di massima rispondendo a queste domande:
- La tua azienda opera in uno dei settori elencati sopra (energia, trasporti, sanità, digitale, manifatturiero critico, alimentare, chimico, servizi postali, ricerca, e così via)?
- L’azienda ha almeno 50 dipendenti oppure un fatturato/bilancio annuo superiore a circa 10 milioni di euro?
- L’azienda fa parte di un gruppo più ampio che, nel suo insieme, potrebbe far scattare soglie dimensionali superiori?
- Anche se l’azienda non rientra direttamente, è fornitrice diretta o indiretta di un’azienda che potrebbe essere un soggetto essenziale o importante?
Se hai risposto “sì” o “non sono sicuro” ad almeno una di queste domande, vale la pena approfondire con una verifica puntuale, perché le conseguenze di un mancato adeguamento — anche solo in termini di sanzioni, come vedremo in un altro articolo — non sono trascurabili.
Verifica la tua posizione con un check-up gratuito
Capire da soli se si rientra o meno nel perimetro NIS2 è un buon primo passo, ma la classificazione esatta dipende da dettagli che richiedono una lettura tecnica del decreto e della propria situazione aziendale specifica. Il modo più rapido per togliersi il dubbio è richiedere il check-up gratuito NIS2 di Defendia su defendia.pro/nis2: in poco tempo avrai un quadro chiaro della tua posizione, senza impegno.
Domande frequenti
La mia azienda sotto i 50 dipendenti deve preoccuparsi della NIS2?
Nella maggior parte dei casi, le soglie dimensionali della NIS2 escludono le micro e piccole imprese dall’obbligo diretto. Tuttavia, anche un’azienda sotto soglia può essere coinvolta indirettamente se lavora come fornitrice di un cliente che è invece soggetto essenziale o importante: in quel caso, il cliente può chiedere contrattualmente livelli di sicurezza allineati alla normativa, pur senza un obbligo di legge diretto per il fornitore. Vale quindi la pena fare una verifica anche sotto soglia, soprattutto se si opera in filiere con clienti di grandi dimensioni.
Cosa succede se non sono sicuro di rientrare nell’obbligo?
L’incertezza è comune, perché la classificazione dipende da una combinazione di settore, dimensione e a volte ruolo specifico nella catena di fornitura digitale. In questi casi la scelta più prudente non è ignorare il tema, ma verificarlo: un’analisi mirata permette di capire con certezza la propria posizione ed evitare sia il rischio di trovarsi inadempienti sia lo spreco di risorse per adempimenti non dovuti.
Chi decide se un’azienda è soggetta alla NIS2?
La classificazione discende direttamente dai criteri stabiliti dalla normativa (settore di attività e dimensione), ma è compito di ogni azienda autovalutarsi e, dove previsto, registrarsi presso l’Agenzia per la Cybersicurezza Nazionale (ACN), che è l’autorità nazionale competente in materia di NIS2 in Italia. In caso di dubbio, è comunque possibile e consigliabile rivolgersi all’ACN o a un consulente specializzato per una verifica puntuale della propria posizione.
Non sai se la tua azienda rientra negli obblighi NIS2?
Richiedi un check-up gratuito e senza impegno: in pochi minuti avrai un quadro chiaro della tua posizione rispetto alla normativa.
