La regola generale: settore più dimensioni
La Direttiva (UE) 2022/2555 è stata recepita in Italia con il D.Lgs. 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024. Il decreto si applica ai soggetti pubblici e privati che operano nei settori elencati nei suoi allegati e che superano le soglie di media impresa.
In pratica ti servono due risposte. La prima: la tua attività rientra in uno dei settori degli allegati? La seconda: hai almeno 50 dipendenti, oppure un fatturato annuo o un totale di bilancio superiore a 10 milioni di euro? Se la risposta è sì a entrambe, con buona probabilità sei nel perimetro.
Le due condizioni vanno lette insieme. Un’azienda alimentare con 200 dipendenti rientra; uno studio di consulenza con 200 dipendenti, che non opera in nessun settore degli allegati, di norma no. Allo stesso modo, un’impresa di un settore critico con 15 dipendenti e 3 milioni di fatturato resta fuori, salvo le eccezioni che vedremo.
Il riferimento è il servizio che svolgi davvero, più della classificazione camerale. Un’azienda manifatturiera che gestisce anche servizi TIC per terzi, per esempio, va valutata su entrambe le attività.
I settori degli allegati
Gli allegati distinguono i settori ad alta criticità da quelli comunque critici. Il legislatore italiano ha poi aggiunto categorie di pubbliche amministrazioni e ulteriori tipologie di soggetti.
| Allegato | Contenuto | Settori e soggetti |
|---|---|---|
| Allegato I | Settori ad alta criticità | Energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi TIC (B2B), pubblica amministrazione, spazio |
| Allegato II | Altri settori critici | Servizi postali e di corriere, gestione dei rifiuti, sostanze chimiche, produzione e distribuzione di alimenti, fabbricazione (dispositivi medici, computer ed elettronica, apparecchiature elettriche, macchinari, autoveicoli, altri mezzi di trasporto), fornitori di servizi digitali, ricerca |
| Allegati III e IV | Categorie individuate dal legislatore italiano | Categorie di pubbliche amministrazioni e ulteriori tipologie di soggetti, ad esempio trasporto pubblico locale e alcuni istituti di istruzione e ricerca |
Di norma le grandi imprese dell’Allegato I sono soggetti essenziali, mentre le medie imprese dell’Allegato I e i soggetti dell’Allegato II sono soggetti importanti. Gli obblighi hanno lo stesso impianto; cambiano vigilanza e sanzioni. Trovi il confronto nella guida alla NIS2.
Attenzione alle definizioni. Voci come fabbricazione, fornitori di servizi digitali o gestione dei servizi TIC sembrano ampie, ma nei testi ufficiali sono delimitate in modo preciso. Prima di concludere, leggi la descrizione completa del settore nel D.Lgs. 138/2024 e nelle indicazioni pubblicate dall’ACN.
Chi rientra a prescindere dalle dimensioni
Per alcuni soggetti la soglia di media impresa non si applica: rientrano anche se sono piccoli, per il ruolo che svolgono. Tra questi:
- prestatori di servizi DNS;
- registri dei nomi di dominio di primo livello;
- fornitori di reti e servizi di comunicazione elettronica pubblici;
- prestatori di servizi fiduciari;
- soggetti critici individuati ai sensi della Direttiva CER;
- soggetti unici fornitori di un servizio essenziale.
Se la tua organizzazione svolge una di queste attività, anche con pochi dipendenti, la verifica va fatta subito e con attenzione.
Lo stesso vale per i soggetti che l’ACN può individuare in base al loro ruolo, per esempio perché unici fornitori di un servizio essenziale in un certo ambito. In questi casi è facile che sia l’autorità stessa a contattarti: verifica sempre le comunicazioni ricevute.
Gruppi e imprese collegate
Le soglie dimensionali si calcolano considerando anche le imprese associate e collegate. Dipendenti e fatturato della singola società, da soli, non bastano a escluderti.
Una società con dieci dipendenti, controllata da un gruppo che supera le soglie e attiva in un settore degli allegati, può rientrare nel perimetro. È uno degli errori di valutazione più frequenti.
Nei gruppi conviene ragionare in modo coordinato: chi si registra, quali società sono coinvolte, chi fa da punto di contatto. Decisioni prese società per società portano spesso a incoerenze difficili da spiegare in caso di verifica.
Un caso tipico: la capogruppo è una holding fuori dagli allegati, mentre una controllata gestisce un impianto di trattamento rifiuti. Il perimetro si valuta sulla controllata, ma le dimensioni si contano sul gruppo. Il risultato può sorprendere chi ha guardato solo il bilancio della singola società.
Come verificarlo e cosa fare se pensi di rientrare
- 01Mappa le attività
Elenca i servizi che eroghi davvero, anche quelli secondari, e confrontali con gli allegati.
- 02Calcola le dimensioni
Dipendenti, fatturato e totale di bilancio, includendo imprese associate e collegate.
- 03Controlla le eccezioni
Verifica se svolgi attività che fanno rientrare a prescindere dalle dimensioni.
- 04Documenta la conclusione
Anche se concludi di non rientrare, conserva il ragionamento e i dati usati: ti servirà se qualcuno lo chiede.
- 05Registrati nei tempi
Se rientri, la registrazione o il suo aggiornamento sul Portale dei servizi ACN si fa ogni anno dal 1° gennaio al 28 febbraio.
L’omessa registrazione è di per sé sanzionabile e lascia scoperti tutti gli altri obblighi. Se ti accorgi ora di rientrare, non aspettare la prossima finestra per muoverti: inizia dalle misure e dalla procedura incidenti. Per i casi dubbi fai riferimento ai testi ufficiali pubblicati su acn.gov.it.
Come possiamo aiutarti
Con la verifica del perimetro stabiliamo se sei soggetto NIS2, se essenziale o importante, e ti seguiamo nella registrazione e negli aggiornamenti sul portale ACN. Per un primo confronto scrivici.
Domande frequenti
Una piccola impresa può essere soggetta alla NIS2?
Sì. Accade se svolge attività che rientrano a prescindere dalle dimensioni, come i servizi DNS o fiduciari, oppure se fa parte di un gruppo che supera le soglie considerando imprese associate e collegate.
Il codice ATECO basta per capire se rientro?
No. Conta l’attività effettivamente svolta. Il codice ATECO è un indizio utile, ma la valutazione va fatta sui servizi che eroghi, compresi quelli secondari.
Se concludo di non rientrare, devo fare qualcosa?
Conviene documentare la valutazione e i dati usati. Ricorda poi che potresti essere coinvolto come fornitore di soggetti NIS2, con richieste di sicurezza da parte dei clienti.
Contenuti informativi aggiornati a ottobre 2026: non sostituiscono la lettura dei testi ufficiali né un parere professionale sul caso specifico.