Come funziona l'ambito di applicazione in Italia
Il D.Lgs. 4 settembre 2024, n. 138 recepisce la direttiva NIS2 ed è in vigore dal 16 ottobre 2024. Secondo l'ACN copre 18 settori, 11 ad alta criticità e 7 critici. Rispetto alla direttiva, il decreto italiano ha quattro allegati:
La regola delle dimensioni (size-cap)
Per gli allegati I e II il decreto si applica solo a chi supera i massimali delle piccole imprese (art. 3, comma 2), cioè alle medie e grandi imprese ai sensi della Raccomandazione 2003/361/CE. Poi:
- Soggetti essenziali: le imprese dell'allegato I che superano i massimali delle medie imprese (art. 6, comma 1, lett. a), cioè almeno 250 dipendenti oppure fatturato oltre 50 M€ e bilancio oltre 43 M€.
- Soggetti importanti: tutti gli altri soggetti in ambito (art. 6, comma 3): le medie imprese dell'allegato I e le medie e grandi dell'allegato II.
Per i gruppi i dati si calcolano sommando imprese associate e collegate (art. 6, par. 2, dell'allegato alla Raccomandazione), salvo che ciò sia sproporzionato: è la clausola di salvaguardia dell'art. 3, comma 4, con criteri fissati dal DPCM 9 dicembre 2024, n. 221. Non si applica invece la regola dell'art. 3, par. 4, della Raccomandazione sul controllo pubblico (art. 3, comma 3).
Chi rientra a prescindere dalle dimensioni
- Sempre essenziali: soggetti critici ai sensi della direttiva CER, prestatori di servizi fiduciari qualificati, registri TLD e fornitori di servizi DNS, PA centrali dell'allegato III (art. 6, comma 1).
- Telco: fornitori di reti pubbliche e servizi di comunicazione elettronica rientrano sempre; da media impresa in su sono essenziali.
- Sempre in ambito: prestatori di servizi fiduciari non qualificati e fornitori di servizi di registrazione dei nomi di dominio (art. 3, comma 5); le PA delle categorie dell'allegato III (art. 3, comma 6).
- Su individuazione dell'ACN (art. 3, commi 8, 9 e 13): soggetti dell'allegato IV, ex operatori di servizi essenziali, unici fornitori nazionali di un servizio essenziale, soggetti la cui perturbazione inciderebbe su sicurezza o salute pubblica o creerebbe rischi sistemici, elementi sistemici della catena di approvvigionamento.
- Imprese collegate a un soggetto essenziale o importante che ne influenzano le decisioni di sicurezza, ne detengono o gestiscono sistemi, ne svolgono le operazioni di sicurezza o gli forniscono servizi ICT o di sicurezza (art. 3, comma 10).
I casi limite dei fornitori
Molte PMI si chiedono se basta lavorare per un cliente NIS per finire in ambito. La risposta è no, con tre eccezioni da tenere d'occhio:
- Sei tu stesso una tipologia NIS. Un MSP o un MSSP che gestisce l'infrastruttura dei clienti, un provider cloud o un data center di dimensione media rientrano nell'allegato I come soggetti importanti, a prescindere da chi sono i clienti.
- Sei un'impresa collegata. La società di servizi IT del gruppo che gestisce i sistemi di una controllata NIS rientra indipendentemente dalle dimensioni (art. 3, comma 10).
- Sei un elemento sistemico. Dal 2026 i soggetti NIS indicano all'ACN i propri fornitori rilevanti con i codici CPV; l'ACN, d'intesa con le Autorità di settore, può individuare tra essi soggetti critici per la catena di approvvigionamento (art. 3, comma 9, lett. f).
Anche fuori ambito, aspettati clausole contrattuali: le misure di base obbligano i clienti NIS a inserire requisiti di sicurezza nei contratti e a verificarli periodicamente (GV.SC-05, GV.SC-07).
Registrazione e calendario annuale sul Portale ACN
| Quando | Cosa | Fonte |
|---|---|---|
| 1° gennaio - 28 febbraio | Registrazione o aggiornamento della registrazione (Servizio NIS/Dichiarazione): ragione sociale, recapiti, punto di contatto, ATECO, settori e tipologie, dimensioni, imprese collegate | Art. 7, comma 1, D.Lgs. 138/2024; art. 11 Det. 127437/2026 |
| Entro 31 marzo | L'ACN redige l'elenco dei soggetti essenziali e importanti e comunica l'inserimento | Art. 7, commi 2-3 |
| 15 aprile - 31 maggio | Aggiornamento annuale delle informazioni, compresi organi di amministrazione, IP e domini, referente CSIRT, fornitori rilevanti | Art. 16 Det. 127437/2026 |
| 1° maggio - 30 giugno | Elencazione e categorizzazione di attività e servizi | Art. 20 Det. 127437/2026 |
| Entro 31 maggio (anno di inserimento) | Designazione del sostituto punto di contatto | Art. 5 Det. 127437/2026 |
La registrazione si fa sul Portale dei servizi ACN, accedendo con identità digitale. Le dichiarazioni presentate oltre il 28 febbraio sono considerate tardive salvo criticità tecniche documentate, e la mancata registrazione è sanzionata dall'art. 38, comma 10. Una volta nell'elenco, partono i termini per le misure di sicurezza di base e per la notifica degli incidenti.
Fonti
- D.Lgs. 4 settembre 2024, n. 138, artt. 3, 5, 6, 7 e allegati I-IV (GU Serie Generale n. 230 del 1° ottobre 2024; testo vigente su Normattiva).
- ACN, La normativa NIS e Registrazione.
- ACN, Determinazione 127437/2026 sulla piattaforma digitale (artt. 5, 11, 16, 20).
- Raccomandazione 2003/361/CE sulla definizione di micro, piccole e medie imprese.
- DPCM 9 dicembre 2024, n. 221 sulla clausola di salvaguardia.
Contenuti verificati al 1° ottobre 2026.