Chi rientra nella NIS2 lo decide un allegato, e quell’allegato è più largo di quanto sembri. Se la tua azienda tiene in piedi i sistemi informatici di altre aziende, parla anche di te.

Sembra una materia per centrali elettriche, ospedali e banche, e in buona parte lo è. L’allegato I del decreto che l’ha portata in Italia elenca però 10 settori ad alta criticità, e il nono si chiama Gestione dei servizi TIC (business-to-business). Ci stanno i fornitori di servizi gestiti e i fornitori di servizi di sicurezza gestiti. Chi amministra server, reti o applicazioni per conto dei clienti si ritrova nello stesso allegato dell’energia e della sanità.

Nessuno viene a dirtelo. L’elenco dei soggetti obbligati lo compilano le imprese stesse, e chi rientra si registra da solo sulla piattaforma dell’Agenzia per la cybersicurezza nazionale, fra il 1° gennaio e il 28 febbraio di ogni anno. Chi non si riconosce nell’ambito resta fuori da un elenco in cui doveva stare, e lo scopre quando un cliente gli chiede conto della conformità.

La zona grigia è larga. Un’agenzia che gestisce hosting e aggiornamenti dei siti dei propri clienti può rientrare oppure no, e la differenza sta in un dettaglio tecnico che l’Agenzia ha precisato soltanto nelle proprie risposte alle domande frequenti.

Chi è in elenco dal 2025 deve completare l’adozione delle misure di sicurezza di base entro ottobre 2026, e la prossima finestra di registrazione apre il 1° gennaio.

1. I diciassette settori, e i due che sorprendono

Il perimetro sta negli allegati, che fanno parte del decreto a tutti gli effetti.

L’allegato I raccoglie i 10 settori ad alta criticità:

• energia
• trasporti
• settore bancario
• infrastrutture dei mercati finanziari
• settore sanitario
• acqua potabile
• acque reflue
• infrastrutture digitali
• gestione dei servizi TIC (business-to-business)
• spazio

L’allegato II ne aggiunge altri sette, definiti critici, ossia servizi postali e di corriere, rifiuti, sostanze chimiche, alimenti, fabbricazione (dal dispositivo medico all’autoveicolo), fornitori di servizi digitali e ricerca.

Gli altri due allegati sono un’aggiunta italiana. Il terzo elenca le pubbliche amministrazioni. Il quarto porta dentro trasporto pubblico locale, istituti di istruzione che fanno ricerca, soggetti di interesse culturale e società in house, partecipate e a controllo pubblico.

1.1 Il settore che non ti aspetti

Il nono settore dell’allegato I si chiama Gestione dei servizi TIC (business-to-business), e contiene due sole voci, i fornitori di servizi gestiti e i fornitori di servizi di sicurezza gestiti.

Sta fra i settori ad alta criticità. Vuol dire che chi amministra i sistemi di altri sta, per il decreto, nella stessa categoria di rischio di chi gestisce una rete elettrica.

L’ottavo settore, Infrastrutture digitali, comprende cloud computing, data center, reti di distribuzione dei contenuti, servizi DNS, registri di dominio di primo livello, prestatori di servizi fiduciari e fornitori di reti e servizi di comunicazione elettronica. Nell’allegato II compaiono poi i fornitori di servizi digitali, ossia mercati online, motori di ricerca e piattaforme di social network.

Che il legislatore li considerasse prioritari lo dice il calendario. In fase di prima applicazione questi soggetti dovevano registrarsi entro il 17 gennaio 2025, prima di tutti gli altri, per effetto dell’art. 42, comma 1, lettera a), D.Lgs. 138/2024.

1.2 Chi è fornitore di servizi gestiti

Il decreto definisce il fornitore di servizi gestiti come chi installa, gestisce, fa funzionare o mantiene prodotti, reti, infrastrutture o applicazioni informatiche di un cliente, lavorando nella sua sede oppure a distanza.

La definizione da sola non basta, perché tutto dipende da cosa significhi lavorare a distanza. ACN lo ha precisato nelle proprie domande frequenti, e il criterio è tecnico. Ci rientri se esiste una interconnessione diretta fra la tua rete e quella del cliente.

Gli esempi che ACN elenca sono quelli di tutti i giorni:

• installi prodotti hardware o software;
• aggiorni configurazione, software o firmware, anche solo per ragioni funzionali;
• gestisci software o servizi di piattaforma.

Il confine è più largo di quanto sembri, e tre precisazioni lo allargano ancora.

Rivendere non ti salva. Broker e rivenditori sono trattati come fornitori quando la loro infrastruttura concorre al servizio, e ci rientrano anche quando si limitano a fare da help desk tecnico.

Restano fuori solo i rivenditori che si occupano di marketing, fatturazione e contratti, senza toccare i sistemi.

Il gruppo non è un riparo. Chi eroga servizi gestiti soltanto ad altre società del proprio gruppo rientra comunque, perché il decreto guarda alla singola società e non al gruppo.

ACN dice anche cosa resta fuori. Non sono servizi gestiti l’assistenza svolta solo su dispositivi che il cliente ti consegna, le istruzioni date al suo personale, e la rivendita di prodotti senza installazione né manutenzione. Ci rientra invece l’assistenza post-vendita su prodotti audio-video, se comporta interventi sui sistemi anche in teleassistenza.

Queste risposte pesano, perché vengono dall’autorità che applica il decreto. Non hanno però il rango della legge, e su un punto la questione resta aperta. ACN non ha pubblicato una casistica, e la posizione di una web agency che manutiene siti e applicazioni dei clienti dipende da come si legge l’interconnessione diretta.

2. Il mito della grande impresa obbligata

La prima obiezione è quasi sempre la dimensione, e quasi sempre è sbagliata.

Il confine è uno solo. Sotto i 50 dipendenti e sotto i 10 milioni di euro di fatturato, o di bilancio, resti fuori. Superi uno dei due e sei dentro, ammesso che tu svolga una delle attività degli allegati. Una società di sessanta persone è obbligata quanto una da seimila.

La soglia taglia via le micro e le piccole imprese e lascia dentro tutto il resto. Il decreto la usa come filtro d’ingresso all’art. 3, comma 2.

2.1 Il gruppo fa saltare il conto

I dipendenti non si contano sul libro paga della tua società, se la società fa parte di un gruppo.

Il decreto somma i numeri delle imprese collegate e associate. Una controllata di venti persone dentro un gruppo industriale supera la soglia senza aver assunto nessuno, e si ritrova obbligata come la capogruppo.

Un correttivo esiste, ed è l’unico argomento per restare fuori. La somma non si applica quando è sproporzionata, e la sproporzione si misura sull’indipendenza informatica. Se la tua società usa sistemi e reti propri, separati da quelli del gruppo, hai un caso da sostenere. Se condividete tutto, non ce l’hai. Sta all’art. 3, comma 4.

2.2 Anche un’attività marginale conta

La scappatoia che molti tentano è dire che l’informatica è marginale, due clienti su cento, un ramo che non fa fatturato.

ACN l’ha chiusa. Se una sola delle tipologie degli allegati descrive quello che fai, ti registri anche se quell’attività è residuale. Fanno eccezione tre settori soltanto, acqua potabile, acque reflue e rifiuti.

Un’azienda manifatturiera che tiene in piedi i sistemi di due clienti storici, più per rapporto che per business, quel ramo lo deve valutare.

3. Essenziale o importante: cosa cambia davvero

La qualifica non la scegli tu. Discende da due cose, l’allegato in cui stai e quanto sei grande.

Sei soggetto essenziale se stai nell’allegato I e superi anche i massimali della media impresa. Lo sei comunque, quale che sia la dimensione, se ti hanno identificato come soggetto critico, se sei un prestatore di servizi fiduciari qualificato, se gestisci un registro di dominio di primo livello o fornisci servizi DNS. La regola sta all’art. 6, comma 1, D.Lgs. 138/2024.

Sei soggetto importante in tutti gli altri casi.

Gli obblighi da rispettare sono gli stessi. Cambia come ti controllano e quanto paghi se sbagli.

3.1 I controlli

Se sei essenziale, ACN può venire a verificare quando vuole, e i controlli comprendono le ispezioni in sede, quelle a distanza e le verifiche a campione.

Se sei importante, gli stessi poteri scattano soltanto quando l’Agenzia ha in mano qualcosa, cioè elementi di prova, segnalazioni o informazioni che facciano sospettare una violazione. Il controllo nasce da un incidente o da una denuncia, non da un programma di vigilanza. La distinzione è all’art. 36, comma 2.

3.2 Le sanzioni

I tetti sono due, e il decreto li fissa all’art. 38, comma 9, per chi viola gli obblighi di gestione del rischio e di notifica.

• Essenziali, escluse le pubbliche amministrazioni: fino a 10.000.000 euro o al 2% del fatturato mondiale dell’anno prima, se più alto.
• Importanti, escluse le pubbliche amministrazioni: fino a 7.000.000 euro o all’1,4%, alle stesse condizioni.

Per le pubbliche amministrazioni e per parte delle società pubbliche gli importi sono fissi, da 25.000 a 125.000 euro se essenziali, ridotti di un terzo se importanti.

Cambia anche quante misure di sicurezza ACN ti chiede di adottare, e quelle misure meritano un discorso a parte.

4. Chi rientra nella NIS2 a qualsiasi dimensione

La soglia dimensionale ha delle eccezioni, e alcune riguardano proprio il mondo digitale.

Rientri a prescindere da quanto sei grande se fornisci reti pubbliche di comunicazione elettronica o servizi di comunicazione accessibili al pubblico, se sei un prestatore di servizi fiduciari, se gestisci un registro di dominio di primo livello, se fornisci servizi DNS o se vendi registrazioni di domini. Vale anche per chi è stato identificato come soggetto critico. L’elenco sta all’art. 3, comma 5, D.Lgs. 138/2024.

Un registrar con tre dipendenti è obbligato quanto un operatore telefonico nazionale.

4.1 PA e società a controllo pubblico

Le pubbliche amministrazioni elencate nel terzo allegato rientrano sempre, senza soglie.

Per le società in house, partecipate e a controllo pubblico il meccanismo è diverso, e conviene conoscerlo. Se non svolgi attività dei primi due allegati, non ti registri di tua iniziativa, ma aspetti che ACN ti mandi una notifica di individuazione al domicilio digitale. Solo allora scattano i termini.

4.2 La catena di approvvigionamento

C’è una norma che permette ad ACN di portare dentro un singolo fornitore, piccolo quanto si vuole, quando è un elemento sistemico della catena di approvvigionamento di un soggetto essenziale o importante. Sta all’art. 3, comma 9, lettera f).

L’individuazione la fa l’Agenzia e arriva al domicilio digitale, quindi nessuno ci finisce senza accorgersene. Cambia però il modo di trattare i contratti con i clienti già obbligati, che hanno tutto l’interesse a mettersi al riparo scaricando a valle i propri obblighi.

5. La verifica in tre passi secondo ACN

Il procedimento non è un’invenzione nostra. ACN lo ha descritto nelle proprie domande frequenti come l’autovalutazione che ogni organizzazione privata svolge prima di registrarsi. Sono tre passi in fila, e quando uno dà esito negativo ci si ferma.

Primo, la giurisdizione

• Sei stabilito in Italia? Se sì, salvo le eccezioni qui sotto, passi al punto due.
• Fornisci reti o servizi di comunicazione elettronica al pubblico in Italia? Allora rientri, e ti registri senza proseguire.
• Eroghi servizi che per natura attraversano le frontiere, cioè DNS e domini, cloud, data center, CDN, servizi gestiti e di sicurezza gestita, mercati online, motori di ricerca o social network? Allora conta dove hai lo stabilimento principale, e se sei fuori dall’Unione conta il rappresentante che hai designato in Italia.

Secondo, la dimensione

• Conta dipendenti, fatturato e bilancio. Sotto i 50 dipendenti e sotto i 10 milioni di euro resti fuori.
• Somma le società collegate e associate, se fai parte di un gruppo.
• Salta questo passo se sei prestatore di servizi fiduciari, gestore di registri di dominio di primo livello, fornitore DNS o venditore di registrazioni di domini, perché rientri comunque.

Terzo, la tipologia

• Confronta le voci degli allegati con quello che fai davvero, una per una.
• Basta una sola corrispondenza, e vale anche se quell’attività è residuale.
• Se corrisponde, ti registri sul portale dei servizi di ACN.

6. Le date che contano, e quella di ottobre 2026

Il Vademecum pubblicato da ACN nel settembre 2026 mette in fila sei adempimenti e ne fissa il calendario.

Tre scadenze tornano ogni anno.

• Dal 1° gennaio al 28 febbraio ti registri, o aggiorni la registrazione che hai già. Chi rispetta il termine sa entro il 14 aprile se è dentro, se ci resta o se ne esce.
• Dal 15 aprile al 31 maggio trasmetti le informazioni sull’organizzazione. Se qualcosa cambia dopo, hai 14 giorni per aggiornarla.
• Dal 1° maggio al 30 giugno elenchi e categorizzi le tue attività e i tuoi servizi.

Le altre due dipendono dall’anno in cui sei entrato in elenco.

• Sei entrato nel 2025: notifichi gli incidenti dal gennaio 2026, e completi le misure di sicurezza di base entro ottobre 2026.
• Sei entrato nel 2026: notifichi dal gennaio 2027, e completi le misure entro luglio 2027.

Tutti gli adempimenti passano dal portale dei servizi di ACN, previa registrazione dell’utenza e associazione all’organizzazione.

Una cosa da non confondere. La notifica dell’incidente al CSIRT Italia ha tempi e modalità sue, e non sostituisce la notifica di violazione dei dati personali al Garante, che segue gli artt. 33 e 34 GDPR. Un solo incidente può farle scattare entrambe, e i due termini non coincidono.

Conclusioni

Il perimetro della NIS2 è più largo del suo racconto pubblico. Riguarda le infrastrutture nazionali, e mette nello stesso allegato ad alta criticità chi tiene in piedi i sistemi di qualcun altro. La soglia che filtra l’ingresso è quella della piccola impresa, e tiene conto del gruppo.

La nostra posizione è che il rischio più concreto oggi sia la qualificazione sbagliata fatta in buona fede. Il meccanismo è dichiarativo e nessuno viene a correggerla. Chi decide di non rientrare senza aver svolto e documentato l’autovalutazione si trova senza difesa su due fronti, davanti all’Agenzia e davanti al cliente che gli chiede conto della catena di fornitura.

Su un punto la disciplina resta aperta, e va detto. Il criterio dell’interconnessione diretta sta nelle risposte di ACN e non nel decreto, e non esiste ancora una casistica che dica dove passi il confine per chi fa manutenzione applicativa. Chi si trova in quella zona ha bisogno di una valutazione documentata.

Punti chiave

Fonti e risorse utili