Soggetti NIS: chi sono e quali sono i criteri

In un contesto globale dove il costo medio di un data breach si aggira sui 4,44 milioni di dollari (superando i 10 milioni negli USA) e il ciclo di identificazione e contenimento richiede mediamente 241 giorni (IBM – Cost of a Data Breach Report 2025), l’Italia e l’Europa rispondono con il recepimento della Direttiva NIS2 tramite il D.lgs. 138/2024.

La normativa ridefinisce il perimetro di sicurezza nazionale coinvolgendo oltre 20.000 organizzazioni, spinte dalla necessità di fronteggiare minacce sempre più sofisticate: si stima che entro il 2031 i danni da ransomware toccheranno i 256 miliardi di dollari con un attacco ogni 2 secondi, mentre il 16% delle attuali violazioni sfrutta già l’Intelligenza Artificiale (phishing avanzato, deepfake), colpendo per il 97% realtà prive di adeguati controlli di accesso. Abbandonando il vecchio sistema di designazione individuale, il decreto introduce la “soglia dimensionale” (size-cap rule) e amplia i settori coinvolti, includendo ora anche la Pubblica Amministrazione locale e filiere critiche come quella dei rifiuti e della ricerca.

Questo articolo analizza i criteri di identificazione, la distinzione tra soggetti essenziali e importanti, i rischi della supply chain e i nuovi obblighi operativi introdotti dalle determinazioni ACN di aprile 2025 (Determinazione ACN 379907/2025).

– Soggetti NIS: i criteri

– Soggetti essenziali e importanti: le differenze

– Requisiti NIS2 e adempimenti

– Conformità NIS2

Mentre la precedente direttiva NIS1  ha mostrato limiti applicativi dovuti a una frammentazione disomogenea tra gli Stati membri, la Direttiva NIS2 (2022) punta a garantire un livello comune elevato di cybersicurezza nell’Unione Europea adottando un approccio multirischio. L’identificazione dei soggetti tenuti al rispetto della normativa non è più discrezionale, ma si fonda su criteri oggettivi definiti dall’articolo 3 del Decreto Legislativo. Il nuovo decreto applica la cosiddetta regola della soglia dimensionale (size-cap rule), incrociando l’appartenenza a settori specifici con le dimensioni dell’organizzazione.

Per rientrare nel perimetro NIS2, un’organizzazione deve generalmente soddisfare due requisiti concomitanti:

• Criterio Settoriale: operare in uno dei settori elencati negli Allegati I (Settori ad alta criticità) o II (Altri settori critici) del decreto.
• Criterio Dimensionale: essere classificata almeno come media impresa secondo i parametri della Raccomandazione 2003/361/CE (ovvero avere almeno 50 dipendenti o un fatturato/bilancio annuo superiore a 10 milioni di euro).

Le Eccezioni alla regola dimensionale

Il legislatore ha stabilito che alcuni soggetti rientrino nel perimetro di applicazione indipendentemente dalle dimensioni (includendo quindi anche micro e piccole imprese) qualora la loro attività sia ritenuta critica per l’ecosistema digitale o statale. Tra questi figurano:

• Fornitori di reti pubbliche di comunicazione elettronica o di servizi di comunicazione elettronica accessibili al pubblico.
• Prestatori di servizi fiduciari, gestori di registri dei nomi di dominio di primo livello (TLD) e fornitori di servizi DNS.
• Soggetti identificati come “critici” ai sensi della direttiva CER.
• La Pubblica Amministrazione, incluse le Amministrazioni centrali, le Regioni, le Città Metropolitane, le ASL e i Comuni con popolazione superiore a 100.000 abitanti o capoluoghi di regione (Allegato III).
• Ulteriori tipologie specifiche dell’Allegato IV, individuate dall’ACN su proposta delle autorità di settore, come il trasporto pubblico locale, gli istituti di istruzione che svolgono ricerca, i soggetti di interesse culturale e le società a controllo pubblico.

È inoltre prevista una clausola di salvaguardia, i cui criteri sono stati definiti dal DPCM n. 221/2024. Tale clausola permette alle imprese facenti parte di gruppi di richiedere l’esenzione dagli obblighi se sono in grado di dichiarare e dimostrare la totale indipendenza dei propri sistemi informativi e delle proprie attività rispetto alla capogruppo o alle imprese collegate. Si tratta di criteri particolarmente restrittivi, poiché l’indipendenza deve essere assoluta sia a livello informatico che operativo.

Per una disamina completa su cosa cambia con la nuova normativa e sulle tempistiche di applicazione, ti invitiamo a leggere il nostro approfondimento: Direttiva NIS 2: cos’è, a chi si rivolge e entrata in vigore.

Come funziona per le società collegate al settore pubblico?

L’allegato 4 prevede che rientrino nell’ambito NIS2 anche le “società in house”, società partecipate e società a controllo pubblico, come definite nel decreto legislativo 19 agosto 2016, n. 175. A tal riguardo occorre precisare che la normativa italiana fornisce le seguenti definizioni:

• «partecipazione»: la titolarità di rapporti comportanti la qualità di socio in società o la titolarità di strumenti finanziari che attribuiscono diritti amministrativi;
• «controllo»: la situazione descritta nell’articolo 2359 del codice civile.Il controllo può sussistere anche quando, in applicazione di norme di legge o statutarie o di patti parasociali, per le decisioni finanziarie e gestionali strategiche relative all’attività sociale è richiesto il consenso unanime di tutte le parti che condividono il controllo.

28 febbraio: la scadenza annuale per il mantenimento della conformità

La conformità alla NIS2 non si esaurisce con la prima registrazione, ma richiede una manutenzione costante. L’articolo 7 stabilisce un ciclo ricorrente: dal 1° gennaio al 28 febbraio di ogni anno (incluso il 2026), tutte le organizzazioni che rientrano nel perimetro devono tassativamente aggiornare o confermare la propria registrazione sulla piattaforma ACN.

È fondamentale comprendere che questo adempimento è obbligatorio anche se la vostra organizzazione non ha subito cambiamenti rispetto all’anno precedente. La procedura serve a ri-certificare la validità dei dati in possesso dell’Agenzia e a garantire che il canale di comunicazione per le emergenze sia attivo.

Come procedere all’aggiornamento annuale?

L’accesso al Portale dei Servizi ACN avviene tramite autenticazione forte (SPID o CIE) da parte del Punto di Contatto designato o del suo Sostituto. La procedura prevede:

• Dichiarazione Precompilata: il sistema propone i dati inseriti nella precedente sessione.
• Verifica o Modifica: se non ci sono state variazioni, è sufficiente confermare le informazioni. Tuttavia, se nel corso dell’anno sono intervenuti cambiamenti – come la sostituzione di membri degli organi amministrativi, modifiche all’assetto societario, l’ingresso in nuovi settori di attività o variazioni dimensionali (fatturato/dipendenti) – è obbligatorio aggiornare i campi pertinenti prima dell’invio.

La procedura si conclude formalmente solo quando lo stato della pratica passa a “Sottomessa”.

contatti) determinano direttamente la classificazione dell’ente (Soggetto Essenziale o Importante) e, di conseguenza, il perimetro degli obblighi applicabili in termini di misure tecniche di sicurezza, tempistiche di notifica degli incidenti e responsabilità degli organi direttivi. Inoltre, il mancato aggiornamento entro i termini espone l’organizzazione a sanzioni amministrative pecuniarie specifiche per la violazione dell’obbligo di registrazione.

L’obiettivo primario della Direttiva NIS2, come anticipato, è garantire un livello comune elevato di cybersicurezza in tutta l’Unione Europea, superando la frammentazione della precedente normativa per migliorare il funzionamento del mercato interno. Il legislatore non richiede più solo una protezione tecnica dei perimetri aziendali, ma impone un cambio di paradigma culturale e operativo fondato su quattro pilastri strategici qui riassunti.

Una delle novità strutturali è il superamento della vecchia logica OSE/FSD a favore di una classificazione binaria: Soggetti Essenziali e Soggetti Importanti. Sebbene entrambi debbano rispettare i medesimi requisiti tecnici di sicurezza e di notifica degli incidenti, la distinzione è fondamentale poiché determina il regime di vigilanza (controllo) e l’entità delle sanzioni amministrative.

Mentre i Soggetti Essenziali sono sottoposti a una vigilanza proattiva (ex ante), che include audit regolari e ispezioni a prescindere dal verificarsi di incidenti, per i Soggetti Importanti la vigilanza è reattiva (ex post), scattando solo qualora l’autorità riceva segnalazioni o abbia evidenza di una non conformità.

Un aspetto spesso sottovalutato della NIS2 è l’estensione “di fatto” del perimetro normativo attraverso il concetto di Supply Chain Security. L’articolo 24 del decreto impone ai soggetti NIS di gestire i rischi legati alla sicurezza della propria catena di approvvigionamento.

Ciò comporta due conseguenze dirette:

• Responsabilità a cascata: I soggetti NIS2 richiederanno contrattualmente ai propri fornitori (anche se PMI non rientranti per dimensioni) garanzie di sicurezza elevate, audit e certificazioni, rendendo l’adeguamento una necessità commerciale per restare sul mercato.
• Inclusione diretta (Art. 3 comma 10): Il decreto estende l’applicazione della norma, indipendentemente dalle dimensioni, alle imprese che sono considerate “elementi sistemici” della catena di approvvigionamento digitale di un soggetto essenziale o importante. Questo significa che un fornitore di servizi ICT, cloud o di sicurezza gestita può essere “trascinato” nel perimetro NIS2 se i suoi servizi sono vitali per la continuità operativa del cliente.

La NIS2 riconosce che molti attacchi informatici non colpiscono l’obiettivo direttamente, ma passano attraverso i fornitori più vulnerabili (c.d. Supply Chain Attacks).​

L’adeguamento alla NIS2 non è un’attività puntuale, ma un processo evolutivo scandito da scadenze precise. Le recenti determinazioni ACN hanno chiarito la roadmap operativa per i soggetti essenziali e importanti, delineando una “terza fase attuativa” che richiede un approccio strutturato:

• Da gennaio 2026 (9 mesi dalla notifica): scatta l’obbligo di notifica degli incidenti di base. Le organizzazioni devono essere pronte a segnalare tempestivamente gli eventi significativi al CSIRT Italia.
• Entro aprile 2026: necessario completare l’elaborazione e l’adozione del modello di categorizzazione delle attività e dei servizi, nonché definire gli obblighi a lungo termine.
• Entro ottobre 2026 (18 mesi dalla notifica): termine ultimo per la completa implementazione delle misure di sicurezza di base previste dagli allegati tecnici della Determina ACN n. 164179.

Governance e Responsabilità: il ruolo del Board

La NIS2 impone un cambio di paradigma nella governance aziendale. Il CDA e la Direzione non possono più delegare “in bianco” la sicurezza informatica, ma assumono un ruolo attivo e sanzionabile:

• Ruolo decisionale e di supervisione: I vertici devono approvare formalmente le misure di gestione del rischio e vigilarne sull’applicazione pratica.
• Responsabilità personale: In caso di violazioni o mancata adozione delle misure, la responsabilità ricade direttamente sugli organi di amministrazione, con possibili sanzioni accessorie come l’interdizione temporanea dalle funzioni direttive.
• Formazione obbligatoria: È richiesto che i vertici seguano percorsi di formazione specifici per comprendere i rischi cyber e promuovano la stessa formazione ai dipendenti.

Approccio Multirischio e Gestione degli Incidenti

Il Regolamento NIS2 e il D.Lgs impongono un approccio multirischio (all-hazards). Questo include una valutazione integrata della sicurezza della supply chain, considerando le vulnerabilità dei fornitori e i rischi legati ai prodotti TIC.

Dal SOC alla Governance: un esempio pratico La NIS2 non chiede necessariamente SOC tecnicamente più veloci, ma richiede una governance più matura. Prendiamo ad esempio i tempi di contenimento. In un modello tradizionale, un incidente tecnico “medio” potrebbe essere gestito il giorno lavorativo successivo. Con la NIS2, questo approccio potrebbe non essere più conforme. La norma introduce il concetto di significatività, che va oltre la severità tecnica e include:

• L’impatto sul servizio essenziale;
• Gli effetti transfrontalieri;
• Il coinvolgimento della supply chain;
• Il potenziale danno reputazionale o sistemico.

Di conseguenza, il “T0” (tempo zero) non è più solo un timestamp tecnico del SOC, ma un momento organizzativo in cui la significatività deve essere valutata in parallelo alla severità tecnica, coinvolgendo esperti legali e mappando l’evento sugli incidenti tipizzati ACN (IS-1, IS-2, ecc.). È necessaria, quindi, un’escalation chiara verso il board per prendere decisioni rapide da cui scattano precise responsabilità di notifica.

Per una guida dettagliata sui passi operativi da compiere dopo l’identificazione, leggi il nostro articolo dedicato: Adeguamento NIS 2: cosa fare dopo la registrazione.

La direttiva NIS2 rappresenta molto più di un semplice obbligo normativo o un esercizio di registrazione documentale. Essa incarna un autentico cambio di paradigma nella concezione della sicurezza aziendale moderna. Attraverso i suoi requisiti integrati e l’approccio basato sul rischio, la NIS2 trasforma la cybersecurity da compartimento isolato a elemento strutturale dell’organizzazione, coinvolgendo attivamente governance, processi decisionali, cultura aziendale e compliance normativa.

Le organizzazioni che comprenderanno questa transizione fondamentale potranno non solo raggiungere la conformità, ma ottenere un reale vantaggio competitivo. Nell’era digitale attuale, caratterizzata da minacce sempre più sofisticate, adottare il paradigma NIS2 significa abbracciare una visione strategica della sicurezza in cui resilienza, responsabilità condivisa e miglioramento continuo diventano pilastri portanti di un’azienda realmente protetta e preparata ad affrontare le sfide future.

Perché scegliere BSD Legal?

• Esperienza Specialistica in Data Protection e Cybersecurity: Abbiamo sviluppato un’esperienza concreta e quotidiana nelle attività di conformità incentrate sulla protezione dei dati e la sicurezza informatica, a partire dal GDPR e dal framework ISO 27001. La NIS2 si integra perfettamente nelle consulenze che già offriamo, rappresentando un’evoluzione naturale dei nostri servizi.

• Collaborazione Multidisciplinare al Vostro Servizio: La direttiva NIS2 richiede più delle sole competenze legali e di cybersecurity. È necessaria anche una solida esperienza come system integrator e, grazie alla nostra rete di partner, possiamo soddisfare ogni esigenza aziendale.

• Valutazione Iniziale Strategica: Questo primo passo verso la conformità vi permetterà di conoscerci e comprendere il nostro approccio. La nostra Gap Analysis, basata sui più recenti atti di esecuzione dell’UE, linee guide e codici di implementazione, fornisce una panoramica chiara e dettagliata del vostro attuale livello di conformità.