Sono soggetto alla NIS2? Come verificarlo
La verifica dell’ambito di applicazione della NIS2 in Italia (decreto legislativo 4 settembre 2024, n. 138) passa da tre domande, nell’ordine: in che settore operi, che dimensione ha la tua impresa, e se fai parte di un gruppo che potrebbe “trascinarti” dentro l’obbligo anche se da sola la tua azienda sarebbe troppo piccola. Questa pagina risponde a tutte e tre, con le soglie esatte e i casi in cui la dimensione non conta. .
Richiedi una consulenza gratuita
Quali sono i 18 settori della NIS2
La NIS2 in Italia si applica a organizzazioni pubbliche e private attive in 18 settori, suddivisi dagli Allegati I e II al decreto legislativo 138/2024 in due gruppi con obblighi analoghi ma peso diverso ai fini della classificazione come soggetto essenziale o importante: 11 settori ad alta criticità e 7 altri settori critici. Operare in uno di questi settori è la condizione necessaria ma non sufficiente: va verificata anche la dimensione dell’impresa (vedi sotto).
| Gruppo | Settori (Allegato al decreto NIS) |
|---|---|
| Settori ad alta criticità (Allegato I) — 11 settori | Energia; trasporti; bancario; infrastrutture dei mercati finanziari; sanità; acqua potabile; acque reflue; infrastrutture digitali; gestione dei servizi ICT (B2B); pubblica amministrazione; spazio |
| Altri settori critici (Allegato II) — 7 settori | Servizi postali e di corriere; gestione dei rifiuti; fabbricazione, produzione e distribuzione di prodotti chimici; produzione, trasformazione e distribuzione di alimenti; manifatturiero (dispositivi medici, elettronica, elettrico, macchinari, automotive); fornitori di servizi digitali; ricerca |
Quali sono le soglie dimensionali della NIS2
La regola generale è semplice: in un settore coperto, rientrano nella NIS2 le medie e grandi imprese, cioè quelle che superano i parametri della piccola impresa fissati dalla Raccomandazione 2003/361/CE — più di 50 dipendenti (in ULA) oppure più di 10 milioni di euro tra fatturato e totale di bilancio annuo. Le piccole e microimprese sono escluse per default, salvo che rientrino in uno dei casi di inclusione automatica descritti più sotto.
| Categoria | Dipendenti (ULA) | Fatturato annuo | Totale di bilancio annuo | Rientra nella NIS2? |
|---|---|---|---|---|
| Microimpresa | < 10 | ≤ 2 mln € | ≤ 2 mln € | No, salvo inclusione automatica |
| Piccola impresa | < 50 | ≤ 10 mln € | ≤ 10 mln € | No, salvo inclusione automatica |
| Media impresa | < 250 | ≤ 50 mln € | ≤ 43 mln € | Sì |
| Grande impresa | ≥ 250 | > 50 mln € | > 43 mln € | Sì |
Fatturato e totale di bilancio sono criteri alternativi, non cumulativi: basta superarne uno dei due per uscire dalla categoria inferiore. Il cambio di categoria si consolida solo dopo due esercizi consecutivi sopra soglia.
Quando la dimensione non conta: i casi di inclusione automatica
Anche una piccola impresa o una microimpresa può rientrare nella NIS2 a prescindere dalla dimensione, se ricorre almeno una di queste condizioni: è l’unico fornitore di un determinato servizio critico in Italia, un’interruzione della sua attività avrebbe un impatto significativo sulla sicurezza pubblica o sulla sanità, la sua indisponibilità avrebbe un impatto transfrontaliero significativo, oppure un’Autorità di settore la individua espressamente come critica ai sensi dell’art. 9 del decreto. Rientrano automaticamente anche le pubbliche amministrazioni centrali, i soggetti già qualificati come critici ai sensi del decreto di recepimento della Direttiva CER (2022/2557), i fornitori di reti pubbliche di comunicazione elettronica, i gestori di registri dei nomi di dominio di primo livello e i fornitori di servizi di registrazione di nomi di dominio, e i soggetti già identificati come “operatori di servizi essenziali” sotto la precedente disciplina NIS1.
Cos'è il "trascinamento" per le imprese che fanno parte di un gruppo
Se la tua azienda è piccola ma fa parte di un gruppo, il decreto NIS impone di calcolare dipendenti, fatturato e bilancio non solo della singola società ma anche delle imprese collegate e associate, secondo l’art. 6, paragrafo 2, dell’allegato alla Raccomandazione 2003/361/CE. Il risultato pratico è che una controllata di poche persone può risultare “trascinata” nella categoria media o grande impresa — e quindi nel perimetro NIS2 — semplicemente per l’appartenenza al gruppo, anche se operativamente è del tutto autonoma.
Per correggere questo effetto, il DPCM 9 dicembre 2024, n. 221 (pubblicato in Gazzetta Ufficiale il 10 febbraio 2025) ha introdotto la cosiddetta clausola di salvaguardia: un’impresa collegata può chiedere, in fase di registrazione sul portale ACN, di essere valutata come entità autonoma se dimostra congiuntamente due condizioni — totale indipendenza dei propri sistemi informativi e di rete da quelli delle imprese collegate, e totale indipendenza delle proprie attività e servizi da quelli del gruppo. La clausola non si applica invece alle imprese collegate a soggetti già essenziali o importanti con influenza sulle loro decisioni strategiche di cybersicurezza (art. 3, comma 10, del decreto NIS).
Come verificare concretamente se la tua azienda è soggetta alla NIS2
La verifica va fatta in questo ordine: prima il settore (confronta la tua attività con gli Allegati I e II al decreto NIS), poi la dimensione (calcola dipendenti in ULA e i dati finanziari, incluse eventuali collegate), poi i casi di inclusione automatica indipendenti dalla dimensione. L’esito formale, però, non lo decide un’autovalutazione interna: va dichiarato tramite la registrazione sul portale ACN, dal 1° gennaio al 28 febbraio di ogni anno, secondo le modalità della Determinazione ACN n. 127437/2026.
Per il calendario completo degli adempimenti successivi alla registrazione, vedi la pagina scadenze NIS2. Se hai dubbi sulla tua classificazione, verifichiamo la tua posizione con una GAP analysis dedicata. Per il quadro d’insieme su obblighi e sanzioni, vedi la guida operativa alla NIS2.
Domande frequenti su chi è soggetto alla NIS2
Il criterio dei dipendenti si calcola sui dipendenti a libro paga o in altro modo?
Si calcola in ULA (Unità Lavorative Annue), non sul numero di persone a libro paga in un dato momento: la Raccomandazione 2003/361/CE converte part-time, stagionali e distacchi in unità di lavoro equivalenti a tempo pieno nell’anno.
Un piccolo Comune è escluso dalla NIS2?
Oggi sì, nella maggior parte dei casi: il decreto si concentra su pubbliche amministrazioni centrali ed enti locali con funzioni strategiche specifiche, ma consente al Presidente del Consiglio dei Ministri di estendere l’ambito con decreti successivi — un perimetro che può allargarsi nel tempo.
Altre domande? Vedi la pagina FAQ NIS2 completa.
Non esitate a contattarci per verificare se la vostra azienda rientra nel perimetro della NIS2 e per prenotare una GAP analisi gratuita con i nostri esperti