La tua azienda rientra in NIS2? Settori, dimensioni e casi particolari

Un'azienda rientra nella normativa NIS2 italiana quando opera in uno dei settori elencati dal decreto di recepimento e raggiunge determinate dimensioni: secondo lo schema pubblicato dall'Agenzia per la Cybersicurezza Nazionale (ACN), nei settori coperti le grandi imprese sono in linea generale soggetti «essenziali», le medie imprese soggetti «importanti», mentre piccole e micro imprese restano fuori dall'ambito, salvo casi particolari. Questa checklist ti aiuta in un'autovalutazione preliminare; la verifica finale va sempre fatta sulla propria posizione presso ACN.

I settori coperti e le soglie dimensionali

Il decreto legislativo 4 settembre 2024, n. 138 — che ha recepito la direttiva (UE) 2022/2555, detta NIS2 (Network and Information Security, sicurezza delle reti e dei sistemi informativi) — delimita il perimetro incrociando due criteri: il settore di attività e la dimensione dell'organizzazione. La pagina «Ambito» del portale NIS di ACN, consultata il 5 ottobre 2026, pubblica lo schema ufficiale: i settori sono divisi in due gruppi, e per ciascuno sono previste tipologie di soggetto specifiche.

Per il settore bancario e le infrastrutture dei mercati finanziari lo schema ACN richiama il regolamento DORA (Digital Operational Resilience Act, sulla resilienza operativa digitale della finanza) come disciplina speciale: chi opera in quel perimetro segue quel binario.

Sul secondo criterio, la dimensione, lo schema ACN disegna una regola generale semplice da ricordare: nei settori coperti le grandi imprese sono soggetti essenziali, le medie imprese soggetti importanti, le piccole e micro imprese sono fuori ambito — con due eccezioni segnalate dalla stessa Agenzia e trattate più sotto. Le soglie dimensionali esatte (dipendenti, fatturato, bilancio) sono definite dal decreto e dagli atti ACN: prima di decidere, verificale sul testo vigente, perché sono i valori ufficiali a fare fede, non le abitudini di linguaggio.

Essenziali vs importanti: cosa cambia

La distinzione non è un'etichetta: orienta l'intensità degli adempimenti e della vigilanza. Entrambe le categorie condividono l'impianto di base — governance degli organi di direzione (art. 23 del decreto), misure di gestione del rischio (art. 24), notifica degli incidenti (art. 25), registrazione sul Portale dei servizi ACN (art. 7) — ma i soggetti essenziali, per il ruolo che rivestono, sono esposti a un regime di controllo più incisivo. Lo schema dimensionale di ACN colloca tra gli essenziali le grandi imprese dei settori coperti e la pubblica amministrazione centrale; tra gli importanti le medie imprese dei settori coperti e le amministrazioni regionali e locali.

Vale la pena ricordare che la stessa Agenzia può riclassificare: per quasi tutti i settori lo schema prevede la possibile identificazione dell'Autorità — una media impresa importante può essere individuata come essenziale, e una piccola impresa formalmente fuori ambito può essere attratta nel perimetro. Inoltre ACN, su proposta delle Autorità di settore, può individuare ulteriori soggetti critici con comunicazione diretta. La categoria definitiva, insomma, è quella che risulta dall'elenco dei soggetti NIS e dalle comunicazioni ufficiali, non quella dedotta da soli conteggi interni.

I casi particolari

Tre situazioni meritano attenzione anche a chi si considera «troppo piccolo» o «fuori settore»:

• Piccole e micro imprese in settori coperti. In linea generale sono fuori ambito, ma lo schema ACN prevede che possano essere individuate come importanti o essenziali dall'Autorità: dimensione ridotta non equivale a esenzione certa.
• Soggetti con obblighi specifici a prescindere dalla taglia. Il decreto dedica l'art. 29 a gestori di registri di nomi di dominio di primo livello e fornitori di servizi di registrazione di nomi a dominio: per questi soggetti gli obblighi non seguono la sola logica dimensionale.
• Individuazione diretta. ACN, su proposta delle Autorità di settore, può individuare ulteriori soggetti critici e lo comunica direttamente: chi riceve la comunicazione è nel perimetro anche se non si era mai posto il problema.

Checklist di autovalutazione preliminare

Usa questa sequenza come primo filtro, da rifare con il testo del decreto e le determinazioni ACN alla mano:

• Settore. La tua attività principale compare tra i settori altamente critici o critici dello schema ACN? Controlla anche la tipologia di soggetto: dentro ogni settore il decreto ne elenca diverse (per esempio più tipologie per energia, trasporti, fabbricazione).
• Dimensione. Con i criteri del decreto (dipendenti, fatturato, bilancio), la tua organizzazione è grande, media, piccola o micro? Grande → essenziale; media → importante; piccola o micro → fuori ambito, salvo eccezioni.
• Casi particolari. Gestisci registri di nomi a dominio o servizi di registrazione di domini? Hai ricevuto comunicazioni da ACN o da un'Autorità di settore? In caso affermativo la risposta precedente non basta.
• Conferma ufficiale. Verifica la tua posizione sul portale NIS di ACN e, se risulti nell'ambito, prepara la registrazione sul Portale dei servizi nelle finestre previste.

Esempio illustrativo: il pastificio convinto di essere fuori

Esempio illustrativo. Lo scenario seguente è inventato e non racconta fatti avvenuti presso un cliente.

Un pastificio con 48 dipendenti e due stabilimenti si è sempre considerato «troppo piccolo per le norme europee». Scorrendo la checklist, il legale dell'azienda scopre che «produzione, trasformazione e distribuzione di alimenti» è tra i settori critici dello schema ACN. Resta da verificare la dimensione: con i criteri del decreto l'impresa potrebbe collocarsi nella fascia media, e quindi tra i soggetti importanti. Due conclusioni pratiche: la risposta non dipende dalle sensazioni («siamo piccoli») ma da due controlli oggettivi, e l'esito va confermato sulla propria posizione presso ACN prima di organizzare gli adempimenti — dalla registrazione alle misure di gestione del rischio.

Il contributo di OverZeus dopo la verifica

Stabilire se un'azienda rientra nel perimetro è un atto giuridico-organizzativo, non tecnico: nessun software può sostituirlo, OverZeus compreso. Dove uno strumento aiuta davvero è il passo successivo. L'agente Daedalus mappa asset, servizi e dipendenze nel perimetro concordato, evidenziando dispositivi nuovi e informazioni mancanti: un inventario curato rende più rapide la dichiarazione NIS, la sezione di autovalutazione e gli aggiornamenti annuali richiesti dal decreto. Le proposte di intervento passano sempre dall'approvazione dei responsabili, e la valutazione finale sulla posizione dell'azienda resta all'organizzazione con i suoi consulenti. La mappa delle attività supportate è nella pagina OverZeus per ISO/IEC 27001 e NIS2.

Dove verificare la propria posizione

La checklist di questo articolo è un orientamento: il perimetro dipende da settore, tipologia di soggetto, dimensione e decisioni delle Autorità, e l'unico riscontro valido è quello ufficiale. I riferimenti da usare sono il portale NIS di ACN — con la pagina Ambito e le FAQ — e il testo vigente del D.Lgs. 138/2024 in Gazzetta Ufficiale. Se il quadro non è limpido, il passo prudente è una verifica con il supporto legale o consulenziale prima che arrivino le comunicazioni dell'Agenzia.

Contenuto realizzato con assistenza AI. Gli scenari descritti sono esempi illustrativi.

Tutti gli articoli OverZeus