NIS2: a chi si applica

Settori, soglie di dimensione ed eccezioni del D.Lgs. 138/2024, con una verifica rapida. Dal testo del decreto su Normattiva e dalle FAQ dell'ACN, verificato il 30 ottobre 2026.

In breve:

Rientrano le imprese almeno medie (da 50 dipendenti, oppure con fatturato e bilancio entrambi oltre 10 milioni di euro) che svolgono un'attività elencata negli allegati I e II del decreto, anche solo in forma secondaria.
Alcune attività digitali e di comunicazione rientrano a prescindere dalla dimensione, come le pubbliche amministrazioni nelle categorie dell'allegato III.
Le grandi imprese dei settori altamente critici sono di regola soggetti essenziali, le altre imprese che rientrano sono soggetti importanti.
La verifica qui sotto dà solo un'indicazione. Chi rientra fa l'autovalutazione nella registrazione sul portale ACN e l'ACN conferma ogni anno l'inserimento nell'elenco.

Verifica rapida

Attività o settore Dipendenti (unità lavorative annue) Fatturato annuo (milioni di euro) Totale di bilancio annuo (milioni di euro) Identificata come soggetto critico (D.Lgs. 134/2024) Fa parte di un gruppo di imprese

RisultatoScelga un'attività e indichi i dati

Soglie della raccomandazione 2003/361/CE secondo la FAQ ACN AMB.DI.1. La verifica non sostituisce l'autovalutazione sul portale ACN, non considera i casi individuati dall'ACN (art. 3, comma 9) né le imprese collegate a un soggetto NIS (art. 3, comma 10). Non salviamo i dati inseriti.

I settori

Gli allegati del decreto elencano 18 settori con oltre 80 tipologie di soggetti. L'ACN pubblica la tabella completa con sottosettori e tipologie sulla pagina "Ambito di applicazione".

Allegato	Settori	Grande impresa	Media impresa	Piccola o micro
I, altamente critici	energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi TIC, spazio	essenziale	importante	fuori ambito*
II, critici	servizi postali e di corriere, gestione dei rifiuti, sostanze chimiche, alimenti, fabbricazione, fornitori di servizi digitali, ricerca	importante	importante	fuori ambito*
III, pubblica amministrazione	PA centrale (4 categorie) e PA regionale e locale (11 categorie) dell'elenco ISTAT	PA centrale essenziale, PA regionale e locale importante, a prescindere dalla dimensione
IV, ulteriori tipologie	4 tipologie	solo se individuate dall'ACN con notifica

* salvo individuazione da parte dell'ACN (art. 3, comma 9) o se l'impresa gestisce sistemi, sicurezza o servizi TIC per un soggetto NIS dello stesso gruppo (art. 3, comma 10). Per banche e infrastrutture dei mercati finanziari si applica in gran parte il regolamento DORA (UE) 2022/2554 (art. 3, comma 14).

Le soglie di dimensione

Il decreto usa le definizioni della raccomandazione 2003/361/CE. Il numero di dipendenti va sempre rispettato, dei due parametri contabili ne basta uno:

Categoria	Dipendenti	Fatturato		Totale di bilancio
Micro	meno di 10	fino a 2 mln €	oppure	fino a 2 mln €
Piccola	meno di 50	fino a 10 mln €	oppure	fino a 10 mln €
Media	meno di 250	fino a 50 mln €	oppure	fino a 43 mln €
Grande	da 250 dipendenti, oppure fatturato oltre 50 mln € e bilancio oltre 43 mln €

Esempio dalla FAQ dell'ACN: un'impresa con meno di 10 dipendenti ma con fatturato e bilancio tra 10 e 43 milioni di euro è una media impresa, quindi rientra se svolge un'attività elencata. Nei gruppi i dati si sommano con quelli delle imprese collegate e associate.

Chi rientra a prescindere dalla dimensione

Soggetti critici identificati ai sensi del D.Lgs. 134/2024 (direttiva CER): essenziali.
Fornitori di reti pubbliche e di servizi di comunicazione elettronica accessibili al pubblico: essenziali se almeno medi, altrimenti importanti.
Prestatori di servizi fiduciari: essenziali se qualificati.
Registri dei domini di primo livello e fornitori di servizi DNS: essenziali.
Fornitori di servizi di registrazione dei domini (registrar).
Pubbliche amministrazioni delle categorie dell'allegato III.
Imprese collegate a un soggetto NIS che ne decidono le misure di sicurezza, gestiscono i sistemi da cui dipendono i suoi servizi, ne curano la sicurezza informatica o gli forniscono servizi TIC (art. 3, comma 10).
Soggetti individuati dall'ACN, per esempio l'unico fornitore nazionale di un servizio essenziale o un elemento sistemico della catena di approvvigionamento (art. 3, comma 9). Ricevono una notifica al domicilio digitale.

E i fornitori dei soggetti NIS?

Un'impresa non diventa soggetto NIS solo perché ha clienti soggetti NIS. Questi però devono valutare il rischio delle forniture e inserire requisiti di sicurezza nei contratti stipulati o rinnovati dopo il termine per le misure di base. In pratica il fornitore di software, hosting, manutenzione IT o servizi gestiti riceverà richieste su autenticazione a più fattori, log, backup, tempi di segnalazione degli incidenti e sede dei dati. Cosa chiedono le misure lo riassumiamo in obblighi e misure di base.

Se rientra: i passi successivi

Registrazione sul portale ACN dal 1° gennaio al 28 febbraio, con autovalutazione come essenziale, importante o fuori ambito.
Comunicazione di inserimento nell'elenco entro il 14 aprile, al domicilio digitale.
Aggiornamento dei dati, categorizzazione delle attività e poi misure di sicurezza e notifica degli incidenti, con i termini riassunti nella pagina scadenze.

Tra le misure tecniche ci sono protezione dei servizi esposti su internet, registrazione e conservazione dei log e capacità di rilevare e notificare un incidente entro 24 ore. Per il sito web e i servizi online questa parte si può affidare anche a un servizio esterno.

Domande frequenti

La NIS2 si applica alle piccole imprese?

Di regola no: il decreto si applica alle imprese dei settori elencati che superano i massimali delle piccole imprese, cioè almeno medie. Fanno eccezione, a prescindere dalla dimensione, i fornitori di reti e servizi di comunicazione elettronica accessibili al pubblico, i prestatori di servizi fiduciari, i registri dei domini di primo livello, i fornitori di servizi DNS e i fornitori di servizi di registrazione dei domini. L'ACN può inoltre individuare singole piccole imprese come soggetti NIS e lo comunica al loro domicilio digitale.

Che differenza c'è tra soggetti essenziali e importanti?

Sono essenziali soprattutto le grandi imprese dei settori altamente critici (allegato I), le pubbliche amministrazioni centrali, i registri dei domini di primo livello, i fornitori DNS, i prestatori di servizi fiduciari qualificati e i fornitori di comunicazioni elettroniche almeno medi. Tutti gli altri soggetti che rientrano nel decreto sono importanti. Gli essenziali hanno più misure di sicurezza (43 contro 37) e sanzioni massime più alte.

Sono fornitore di un soggetto NIS: devo registrarmi?

No, non per il solo fatto di essere fornitore. Secondo le FAQ dell'ACN l'ambito non si propaga lungo la catena di approvvigionamento. Il cliente soggetto NIS però deve inserire requisiti di sicurezza nei contratti, quindi il fornitore li dovrà rispettare per contratto. Diverso è il caso di un'impresa dello stesso gruppo che gestisce i sistemi o la sicurezza di un soggetto NIS: questa rientra a prescindere dalla dimensione (art. 3, comma 10).

Conta l'attività prevalente o anche quella secondaria?

Conta anche quella secondaria. L'ACN chiarisce che un soggetto rientra anche se svolge solo in forma residuale un'attività elencata negli allegati, con tre eccezioni: acque reflue e acqua potabile, se sono una parte non essenziale dell'attività, e gestione dei rifiuti, se non è l'attività principale. Chi svolge più attività elencate si registra per tutte.

Come si calcola la dimensione in un gruppo di imprese?

Dipendenti, fatturato e bilancio si calcolano tenendo conto delle imprese collegate e associate, come prevede l'articolo 6, paragrafo 2, della raccomandazione 2003/361/CE. Chi ritiene sproporzionato questo consolidamento può chiedere in fase di registrazione la clausola di salvaguardia (DPCM 221/2024), concessa solo se sistemi e servizi NIS sono del tutto indipendenti dal resto del gruppo.

I codici ATECO bastano per capire se rientro?

In generale no. Il decreto non usa i codici ATECO o NACE, salvo per alcune tipologie: fabbricazione di prodotti farmaceutici (NACE 21) e il settore fabbricazione (NACE 26, 27, 28, 29 e 30). Per tutto il resto conta l'attività effettivamente svolta.

Fonti: D.Lgs. 4 settembre 2024, n. 138, articoli 3 e 6 su Normattiva; FAQ ACN sull'ambito di applicazione; tabella ACN di settori e tipologie. Questa pagina non è una consulenza legale.