C’è una domanda che ci sentiamo fare quasi ogni settimana, in versioni leggermente diverse: “ma noi siamo dentro alla NIS2 o no?”. E quasi sempre chi ce la fa parte già convinto della risposta — di solito “no, siamo troppo piccoli” — e quasi altrettanto spesso si sbaglia.
Non è colpa loro. La normativa (decreto legislativo 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024) mette insieme tre criteri diversi — settore, dimensione, e un pugno di eccezioni che ribaltano tutto — e basta sbagliarne uno per finire dalla parte sbagliata della classificazione, con tanto di sanzioni.
Primo filtro: il settore
La lista è più lunga di quanto la gente pensi. Non parliamo solo di energia e banche: ci sono 18 settori in tutto, divisi in due gruppi. Undici “ad alta criticità” — energia, trasporti, bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi ICT, pubblica amministrazione, spazio — e sette “altri settori critici”: postale, rifiuti, chimico, alimentare, manifatturiero (dispositivi medici, elettronica, elettrico, macchinari, automotive), servizi digitali, ricerca.
Il manifatturiero è quello che sorprende di più i nostri clienti. Un’azienda che produce componenti per l’automotive spesso si vede come “un’officina meccanica”, non come un soggetto rilevante per la cybersicurezza nazionale. Eppure è proprio lì dentro.
Secondo filtro: quanto sei grande
Qui la regola generale è più semplice di quanto sembri: dentro il perimetro NIS2 ci stanno le medie e grandi imprese. In pratica, chi supera i 50 dipendenti (calcolati in ULA, unità lavorative annue — quindi part-time e stagionali contano in proporzione, non a testa) oppure i 10 milioni di euro tra fatturato e bilancio. Sotto quella soglia, di norma, sei fuori.
“Di norma” è la parola chiave, e arriviamo al punto che fa arrabbiare di più.
Quando la dimensione non ti salva
Ci sono situazioni in cui anche una piccola impresa finisce dentro comunque: se sei l’unico fornitore di un certo servizio critico sul territorio, se un tuo stop avrebbe un impatto sulla sicurezza pubblica o sulla sanità, se la tua indisponibilità avrebbe ripercussioni oltre confine, o se un’autorità di settore ti ha già individuato come critico. Ci finiscono dentro di default anche le pubbliche amministrazioni centrali, i gestori di domini internet, i fornitori di reti pubbliche di comunicazione, e chi era già “operatore di servizi essenziali” sotto la vecchia NIS1.
E il caso che nessuno si aspetta: il “trascinamento” di gruppo
Questo è quello che spiazza di più. Se la tua azienda ha 15 dipendenti ma fa parte di un gruppo, la norma ti chiede di sommare anche i numeri delle imprese collegate — secondo la Raccomandazione europea 2003/361/CE. Il risultato: una controllata piccolissima, magari con un’attività completamente scollegata dal resto del gruppo, può ritrovarsi “trascinata” nella categoria media o grande impresa solo per via degli assetti societari.
Buona notizia: esiste un correttivo. Si chiama clausola di salvaguardia (introdotta dal DPCM 9 dicembre 2024, n. 221, pubblicato in Gazzetta Ufficiale il 10 febbraio 2025) e permette, in fase di registrazione, di chiedere di essere valutati come entità autonoma — a patto di dimostrare che i tuoi sistemi informativi e le tue attività sono davvero indipendenti dal resto del gruppo. Non è automatica: va chiesta e motivata.
Come lo verifichiamo, in pratica
Il modo giusto di procedere è quasi sempre lo stesso: prima il settore, poi la dimensione (con le collegate, se ci sono), poi i casi speciali. Ma la parola definitiva non la dice l’autovalutazione fatta in ufficio — la dice la registrazione sul portale ACN, che va fatta ogni anno tra il 1° gennaio e il 28 febbraio.
Se non sei ancora sicuro da che parte stai, è esattamente il punto da cui partiamo in una GAP analysis. E se invece hai già la risposta e ti serve solo il calendario di cosa fare dopo, trovi tutto nella pagina scadenze NIS2.