Il decreto si applica alle singole persone giuridiche, non ai gruppi: se fai parte di un gruppo, rispondi per la società che stai valutando (FAQ ACN REG.1).

Le pubbliche amministrazioni seguono un elenco a parte, l'allegato III, e rientrano a prescindere dalle dimensioni (art. 3, comma 6). Le società in house, partecipate e a controllo pubblico seguono invece le regole delle imprese, e in più possono essere individuate dall'ACN (allegato IV, n. 4).

Rientrano le amministrazioni elencate nel conto economico consolidato dello Stato (l'elenco ISTAT) che appartengono alle categorie dell'allegato III. Le amministrazioni centrali sono soggetti essenziali (art. 6, comma 1, lett. e); le altre sono importanti, salvo diversa individuazione dell'ACN.

Per l'ACN restano fuori, salvo notifica di individuazione o attività degli allegati I e II, i Comuni non capoluogo di regione con 100.000 abitanti o meno, le Unioni di comuni e le scuole (FAQ AMB.PU.1).

Per l'ACN basta svolgere un'attività anche in forma residuale: non deve essere quella principale. Fanno eccezione acqua potabile, acque reflue e rifiuti, che contano solo se non sono un'attività secondaria (FAQ ACN REG.1, PDA3.1).

L'allegato I raccoglie i settori ad alta criticità, gli unici da cui si diventa soggetto essenziale per dimensione. L'allegato II gli altri settori critici. L'allegato IV tipologie che entrano solo se l'ACN le individua.

I fornitori di servizi gestiti e di sicurezza gestiti sono un settore ad alta criticità (allegato I, n. 9). Per l'ACN lo sei se intervieni sui sistemi del cliente tramite una interconnessione diretta fra la tua rete e la sua: domini federati, accesso da remoto con tuoi dispositivi, tuoi apparati collegati alla sua rete (FAQ A1.9.2 e A1.9.3).

Non lo sei se lavori solo su dispositivi messi a disposizione dal cliente, o dai istruzioni al suo personale. I rivenditori rientrano se fanno anche l'help desk tecnico, non se si occupano solo della parte commerciale (FAQ A1.9.5).

L'ACN non ha chiarito se la manutenzione di siti e applicazioni con accessi remoti puntuali, senza un collegamento permanente, sia interconnessione diretta.

I prestatori di servizi fiduciari rientrano tutti, a prescindere dalle dimensioni (art. 3, comma 5, lett. c). Quelli qualificati, cioè presenti nell'elenco di fiducia nazionale, sono soggetti essenziali; gli altri sono importanti.

La regola generale: rientra chi è stabilito in Italia, anche con una sola sede (art. 5, comma 1).

Per DNS, registri e registrar di domini, cloud, data center, CDN, servizi gestiti e di sicurezza gestiti, marketplace, motori di ricerca e social conta invece lo stabilimento principale nell'Unione: quello dove si decidono le misure di sicurezza informatica (art. 5, comma 1, lett. b, e comma 2). Chi non ha sedi nell'Unione ma offre servizi in Italia deve designare un rappresentante (comma 3).

Per le telecomunicazioni conta il Paese in cui si fornisce il servizio (lett. a). Le sedi fuori dall'Unione non contano (FAQ ACN REG.1).

Chi offre nell'Unione servizi digitali senza esservi stabilito designa un rappresentante in uno degli Stati in cui li offre, ed è soggetto alla giurisdizione di quello Stato. Se il rappresentante è in Italia, si applica il decreto italiano.

Le dimensioni si misurano con la Raccomandazione 2003/361/CE, che per le imprese associate o collegate tiene conto anche dei loro dati (art. 6, par. 2, del suo allegato; FAQ ACN AMB.DI.1). Una piccola società controllata da un grande gruppo può quindi superare le soglie.

Se i tuoi sistemi e i tuoi servizi sono del tutto indipendenti dal gruppo, puoi chiedere all'ACN la clausola di salvaguardia, che esclude questo calcolo (art. 3, comma 4; DPCM 221/2024).

Si è piccola impresa con meno di 50 occupati e un fatturato oppure un totale di bilancio non superiore a 10 milioni di euro. Si è media impresa con meno di 250 occupati e un fatturato non superiore a 50 milioni oppure un bilancio non superiore a 43 milioni (FAQ ACN AMB.DI.1).

Il decreto si applica ai settori degli allegati I e II a chi supera i massimali della piccola impresa (art. 3, comma 2). Nei settori dell'allegato I, chi supera anche quelli della media impresa è soggetto essenziale (art. 6, comma 1, lett. a).

Si può rientrare anche per strade diverse dalle attività e dalle dimensioni. L'ACN può individuare un soggetto e notificarglielo, anche se piccolo (art. 3, commi 8, 9 e 13). I soggetti critici ai sensi della disciplina sulla resilienza dei soggetti critici sono essenziali a prescindere dalle dimensioni (art. 3, comma 5, lett. a; art. 6, comma 1, lett. b).

L'impresa collegata a un soggetto NIS rientra, a prescindere dalle dimensioni, se ne decide le misure di sicurezza, ne gestisce i sistemi da cui dipendono i servizi, ne svolge le operazioni di sicurezza o gli fornisce servizi IT o di sicurezza (art. 3, comma 10).