Verifica del perimetro NIS2

Perché partire dal perimetro

Il D.Lgs. 138/2024 si applica ai soggetti pubblici e privati che operano nei settori degli allegati e superano le soglie di media impresa: almeno 50 dipendenti, oppure fatturato annuo o totale di bilancio superiore a 10 milioni di euro. Alcuni soggetti rientrano a prescindere dalle dimensioni.

La classificazione decide quasi tutto il resto: il set di misure di base ACN da applicare, il tipo di vigilanza, il livello delle sanzioni. Un errore qui si porta dietro mesi di lavoro impostato male, oppure un obbligo ignorato. Il dettaglio dei criteri è nella pagina Chi è soggetto alla NIS2.

Come lavoriamo

Lavoriamo sui documenti che hai già: visura, bilancio, organigramma del gruppo, descrizione dei servizi offerti. Di solito bastano un paio di incontri con amministrazione e direzione per chiudere l’analisi.

1. 01
   Raccolta dei dati societari

   Attività svolte, codici ATECO, dipendenti, fatturato e bilancio. Per i gruppi raccogliamo anche i dati delle imprese associate e collegate, perché le soglie si calcolano considerando anche queste.

2. 02
   Analisi dei settori

   Confrontiamo le attività reali con gli Allegati I, II, III e IV e con i casi in cui la dimensione non conta, come servizi DNS, servizi fiduciari o comunicazioni elettroniche pubbliche.

3. 03
   Classificazione

   Ti diciamo se sei fuori perimetro, soggetto importante o soggetto essenziale, con le motivazioni scritte. Se la risposta dipende da un’interpretazione, lo segnaliamo in modo esplicito.

4. 04
   Registrazione e punto di contatto

   Ti affianchiamo sul Portale dei servizi ACN: registrazione o aggiornamento nella finestra dal 1° gennaio al 28 febbraio e designazione del punto di contatto.

5. 05
   Aggiornamenti annuali

   Prepariamo le informazioni da aggiornare tra il 15 aprile e il 31 maggio, compreso, dal 2026, l’elenco dei fornitori rilevanti.

Alla fine della verifica sai in quale categoria sei, perché, e cosa devi fare nei mesi successivi. Se emerge che sei fuori perimetro, lo mettiamo per iscritto con le motivazioni: è una risposta utile anche quando un cliente o un revisore ti chiede se la NIS2 ti riguarda.

Cosa ricevi

• Una relazione di applicabilità con settore, soglie, categoria e ragionamento seguito.
• Per i gruppi, una mappa delle società coinvolte e del ruolo di ciascuna.
• L’elenco dei dati da inserire sul portale ACN, già verificati.
• Un calendario degli adempimenti annuali di registrazione e aggiornamento.
• Una prima indicazione degli obblighi che scattano dopo la classificazione: misure di base, notifica degli incidenti, responsabilità del vertice.

Ogni documento è scritto per essere letto anche da chi non ha seguito il lavoro: l’organo di amministrazione, un nuovo responsabile IT, un consulente che arriverà dopo.

Gruppi societari e casi dubbi

Una piccola società controllata da un gruppo può rientrare nel perimetro anche se, da sola, resterebbe sotto le soglie. Capita spesso anche il contrario: un’attività secondaria, magari marginale nel fatturato, porta l’azienda dentro un settore degli allegati.

In questi casi lavoriamo società per società e teniamo traccia delle scelte fatte, così da poterle spiegare all’ACN o ai revisori se qualcuno lo chiede.

Per un gruppo va deciso anche chi coordina: una funzione centrale che segue tutte le società, oppure un referente per ciascuna. Lo definiamo insieme, in base a come il gruppo è organizzato e a chi prende davvero le decisioni sulla sicurezza.

Cosa ti serve per partire

• Visura camerale e descrizione delle attività svolte davvero, comprese quelle secondarie.
• Ultimi bilanci approvati e numero dei dipendenti.
• Organigramma societario con controllate, partecipate e collegate.
• Elenco dei servizi offerti ai clienti, con attenzione a servizi digitali, servizi TIC gestiti per altre imprese e attività di fabbricazione.
• Eventuali comunicazioni ricevute dall’ACN e accessi già attivi sul Portale dei servizi ACN.
• Se sei già registrato, i dati inseriti e il punto di contatto indicato.

Se qualcosa manca partiamo lo stesso. Ti diciamo quali conclusioni restano provvisorie finché il dato non arriva, così puoi decidere con cognizione di causa.

Gli errori più comuni

• Guardare solo il numero di dipendenti e dimenticare fatturato e totale di bilancio.
• Calcolare le soglie sulla singola società senza considerare imprese associate e collegate.
• Fermarsi al codice ATECO principale, quando un’attività secondaria rientra negli allegati.
• Dare per scontato che le piccole imprese siano escluse: alcuni soggetti rientrano a prescindere dalle dimensioni.
• Registrarsi una volta e dimenticare la finestra annuale di aggiornamento.
• Indicare come punto di contatto una persona che non sa di esserlo, o che nel frattempo ha lasciato l’azienda.
• Considerare chiusa la questione con la classificazione: è da lì che partono misure di base, notifica degli incidenti e responsabilità del vertice.

Per chi è

• Aziende che non sanno ancora se rientrano nella NIS2.
• Organizzazioni già registrate che vogliono verificare la classificazione ricevuta.
• Gruppi con più società e attività diverse.
• Imprese fuori perimetro che però lavorano come fornitori di soggetti NIS2.

La verifica è il primo passo naturale prima della gap analysis: senza sapere quale set di misure di base si applica, non si può misurare la distanza da colmare.

Domande frequenti