Il D.Lgs. n. 138/2024, che recepisce in Italia la Direttiva (UE) 2022/2555 (NIS2), ha profondamente ampliato il perimetro dei soggetti tenuti ad adottare misure di sicurezza informatica e a notificare gli incidenti cyber. Non si parla più solo di infrastrutture critiche tradizionali, ma di una vasta platea di imprese che operano in settori chiave per l'economia e la società.
L'ambito di applicazione è dunque stato ampliato a 18 settori di cui 11 altamente critici (originariamente erano 8) e 7 critici (che sono di nuova introduzione) per oltre 80 tipologie di soggetti.
Tra di essi, la normativa introduce una distinzione fondamentale tra due macro-categorie di attori, i quali sono soggetti a regimi di vigilanza e sanzionatori differenziati, ma accomunati dai medesimi obblighi di gestione del rischio: i Soggetti Essenziali e i Soggetti Importanti.
L'Agenzia per la Cybersicurezza Nazionale ha messo a disposizione delle risorse schematiche sul proprio sito per aiutare le aziende ad individuare il loro ambito di applicazione, se vuoi consultarle, vai alla sezione dedicata del sito dell'ACN.
L'inclusione nel perimetro NIS2 dipende dal settore di attività (definito negli Allegati al Decreto), combinato, nella maggior parte dei casi, con i criteri dimensionali dell'organizzazione (fatta salva l'individuazione indipendente dalle dimensioni per alcuni settori specifici critici).
Rientrano in questa categoria le grandi imprese che operano nei settori ad alta criticità. Sono sottoposte a una vigilanza ex ante (preventiva) e ex post (successiva) particolarmente stringente da parte dell'ACN (Agenzia per la Cybersicurezza Nazionale).
Settori chiave: Energia, Trasporti, Bancario, Infrastrutture dei mercati finanziari, Sanità, Acqua potabile, Acque reflue, Infrastrutture digitali, Gestione di servizi TIC (B2B), Spazio.
Criterio dimensionale standard: Grandi imprese (oltre 250 dipendenti o un fatturato annuo superiore a 50 milioni di euro o totale di bilancio oltre i 43 milioni di euro).
Questa categoria comprende le medie imprese dei settori ad alta criticità e le medie/grandi imprese che operano in settori considerati comunque strategici ma "altri critici". La vigilanza dell'ACN, può avvenire anche ex post (a seguito di indizi o notifiche di incidente).
Settori critici aggiuntivi: Servizi postali e di corriere, Gestione dei rifiuti, Fabbricazione, produzione e distribuzione di sostanze chimiche, Produzione, trasformazione e distribuzione di alimenti, Fabbricazione (es. computer, elettronica, macchinari, autoveicoli), Fornitori di servizi digitali (motori di ricerca, mercati online, social network), Ricerca, ecc.
Criterio dimensionale standard: Medie imprese (tra i 50 e i 249 dipendenti e un fatturato annuo o totale di bilancio tra i 10 e i 50 milioni di euro).
Nota di estensione pervasiva: La normativa si applica anche alle micro e piccole imprese qualora rivestano un ruolo critico a livello nazionale, ad esempio se sono fornitori unici di servizi essenziali o se un loro disservizio può avere un impatto sistemico sulla sicurezza pubblica.
La sintetica panoramica sopra riportata ha valore esclusivamente orientativo e di primo indirizzo, non potendo considerare le specificità e le interconnessioni societarie di ogni singola realtà. Data la complessità tecnica e giuridica dei criteri del D.Lgs. 138/2024, è indispensabile un'analisi dettagliata e personalizzata per accertare con precisione la reale inclusione nel perimetro NIS2.
Infatti, determinare con assoluta certezza lo status della propria organizzazione non è un mero esercizio di calcolo del fatturato o del numero di dipendenti. Esistono complesse variabili giuridiche e tecniche da considerare, tra cui:
Criterio di preminenza del settore: Intersezioni tra attività diverse svolte dalla medesima legal entity.
Dipendenza della catena di approvvigionamento (Supply Chain): Anche se l'azienda non rientra direttamente nei parametri, potrebbe essere contrattualmente obbligata ad adeguarsi agli standard NIS2 per non essere esclusa dall'elenco fornitori di clienti che sono Soggetti Essenziali o Importanti.
Responsabilità degli organi Amministrativi e Direttivi: Il D.Lgs. 138/2024 prevede una responsabilità diretta e personale degli organi di amministrazione e direttivi aziendali per l'approvazione delle misure di gestione dei rischi informatici e per la supervisione della loro attuazione, con il rischio di severe sanzioni pecuniarie e la sospensione temporanea dalle cariche sociali in caso di grave inadempimento.
Data la natura fluida dei criteri di inclusione e le linee guida in costante evoluzione emanate dall'ACN, una classificazione errata - sia per difetto che per eccesso - può esporre l'azienda a gravissimi rischi sanzionatori o a investimenti di compliance non necessari.
Noi offriamo un servizio specializzato di Assessment Legale per la NIS2, volto a verificare:
L'effettiva inclusione dell'azienda (o di rami di essa) nel perimetro del D.Lgs. 138/2024.
La corretta mappatura come Soggetto Essenziale o Importante.
L'impatto della normativa sui contratti in essere con la catena dei fornitori.
Non lasciare la conformità della tua azienda al caso.
Contattaci per una consulenza strategica personalizzata e per pianificare un percorso sicuro verso la compliance NIS2.