NIS2: soggetto essenziale o importante – Guida 2026 – Scopri se la tua azienda è un soggetto essenziale o importante, quali soglie e settori rilevano, gli obblighi e le scadenze ACN 2026-2027
La prima domanda che un’impresa deve porsi davanti alla disciplina NIS2 non è soltanto «come dobbiamo adeguarci?», ma soprattutto: la normativa si applica alla nostra organizzazione e, in caso positivo, siamo un soggetto essenziale o un soggetto importante?
La risposta determina obblighi di registrazione, misure di cybersicurezza (sul punto LEGGI QUESTO ARTICOLO), procedure di notifica degli incidenti, responsabilità degli amministratori, controlli e sanzioni. Il D.Lgs. 4 settembre 2024, n. 138, che ha recepito in Italia la direttiva europea NIS2, richiede quindi una vera autovalutazione giuridica e organizzativa: non è sufficiente verificare il codice ATECO o il numero dei dipendenti.
In sintesi, un’impresa rientra normalmente nel perimetro NIS2 quando svolge una delle attività individuate dagli Allegati I o II del decreto e supera i massimali previsti per le piccole imprese. Esistono però numerose eccezioni: alcuni soggetti sono inclusi indipendentemente dalle loro dimensioni, mentre altri possono essere individuati direttamente dall’Agenzia per la Cybersicurezza Nazionale, anche per la loro importanza nella catena di approvvigionamento.
NIS2: soggetto essenziale o importante, da dove inizia la valutazione?
La verifica deve considerare due elementi: la tipologia di attività effettivamente svolta e la dimensione dell’impresa.
Non basta operare genericamente nella sanità, nei trasporti, nell’industria o nei servizi digitali. Occorre accertare se l’attività concretamente esercitata coincida con una delle specifiche tipologie di soggetto descritte negli allegati al D.Lgs. 138/2024.
Per i soggetti degli Allegati I e II, la regola generale è poi che la disciplina si applichi alle organizzazioni almeno di medie dimensioni, ossia alle imprese che superano i massimali previsti per le piccole imprese dalla raccomandazione 2003/361/CE.
Settore e dimensione devono quindi essere esaminati insieme. Un’impresa con 300 occupati non rientra automaticamente nella NIS2 se la sua attività non corrisponde a una tipologia contemplata dal decreto. Al contrario, un soggetto di piccole dimensioni può essere incluso per effetto di una delle eccezioni previste dalla legge.
Quali settori rientrano nella NIS2?
L’Allegato I comprende i settori ad alta criticità: energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi TIC tra imprese e spazio.
L’Allegato II riguarda, invece, i servizi postali e di corriere, la gestione dei rifiuti, la fabbricazione e distribuzione di sostanze chimiche, la produzione e trasformazione di alimenti, determinate attività manifatturiere, i fornitori di servizi digitali e la ricerca.
Tra le attività manifatturiere rilevanti figurano, in particolare, la fabbricazione di:
- dispositivi medici e dispositivi medico-diagnostici in vitro;
- computer e prodotti di elettronica e ottica;
- apparecchiature elettriche;
- macchinari e apparecchiature;
- autoveicoli, rimorchi e semirimorchi;
- altri mezzi di trasporto.
Gli Allegati III e IV disciplinano determinate pubbliche amministrazioni e ulteriori tipologie di soggetti. L’Allegato IV comprende, tra l’altro, soggetti che forniscono servizi di trasporto pubblico locale, istituti di istruzione che svolgono attività di ricerca, soggetti che svolgono attività di interesse culturale e alcune società pubbliche. Per le tipologie dell’Allegato IV è comunque necessaria l’individuazione secondo le procedure previste dal decreto.
L’elenco dei settori non deve essere letto in modo approssimativo. Per alcune categorie rileva la natura esatta del servizio; per altre anche il carattere principale dell’attività economica. La classificazione non può quindi fondarsi soltanto sull’oggetto sociale, su una descrizione commerciale dell’impresa o su un codice ATECO isolatamente considerato.
Per i soggetti dei settori bancario e delle infrastrutture dei mercati finanziari, inoltre, la valutazione deve essere coordinata con il regolamento DORA: il decreto esclude per tali soggetti l’applicazione dell’articolo 17 e dei Capi IV e V, relativi agli obblighi operativi e al sistema di vigilanza NIS.
NIS2: soggetto essenziale o importante – Quali sono le soglie dimensionali NIS2?
In termini semplificati, un soggetto supera i massimali della piccola impresa, ed è quindi almeno una media impresa, quando ricorre una delle seguenti condizioni:
- occupa almeno 50 persone;
- pur occupando meno di 50 persone, supera congiuntamente 10 milioni di euro di fatturato annuo e 10 milioni di euro di totale di bilancio annuo.
La congiunzione tra i due dati finanziari è decisiva. Se l’impresa ha meno di 50 occupati e supera soltanto uno dei due parametri economici, può ancora rientrare nella categoria delle piccole imprese.
Analogamente, un’impresa supera i massimali della media impresa, ed è quindi di grandi dimensioni, quando occupa almeno 250 persone oppure, pur restando sotto tale soglia occupazionale, supera congiuntamente 50 milioni di euro di fatturato annuo e 43 milioni di euro di totale di bilancio annuo.
Il calcolo non si ferma necessariamente alla singola società. In presenza di imprese associate o collegate, occorre aggregare, in tutto o in parte, il numero degli occupati e i dati economici delle diverse entità.
Il D.Lgs. 138/2024 contempla una clausola di salvaguardia quando tale aggregazione risulti non proporzionata rispetto all’effettiva indipendenza del soggetto dalle imprese collegate, valutata in relazione ai sistemi informativi e di rete utilizzati e ai servizi forniti. L’applicazione di questa eccezione non è tuttavia automatica e richiede una valutazione puntuale.
Chi è un soggetto essenziale NIS2?
Sono soggetti essenziali, anzitutto, le grandi imprese appartenenti alle tipologie dell’Allegato I.
Una grande impresa operante in uno dei settori dell’Allegato II resta invece, di regola, un soggetto importante, salvo che ricorra una diversa causa di qualificazione.
Sono inoltre soggetti essenziali:
- i soggetti identificati come critici ai sensi della disciplina europea sulla resilienza dei soggetti critici;
- i fornitori di reti pubbliche o di servizi di comunicazione elettronica accessibili al pubblico che siano medie imprese;
- i prestatori di servizi fiduciari qualificati;
- i gestori dei registri dei nomi di dominio di primo livello;
- i fornitori di servizi DNS;
- le amministrazioni pubbliche centrali indicate dall’Allegato III;
- gli ulteriori soggetti individuati come essenziali dall’ACN secondo le procedure previste dal decreto.
I fornitori di reti o servizi di comunicazione elettronica di grandi dimensioni sono essenziali già in base alla regola generale applicabile alle grandi imprese dell’Allegato I. Quelli di dimensioni inferiori possono comunque rientrare nel perimetro NIS2, ma non sono automaticamente qualificati come essenziali.
Chi è un soggetto importante NIS2?
Sono soggetti importanti tutti i soggetti compresi nell’ambito di applicazione del decreto che non siano qualificati come essenziali.
Rientrano normalmente in questa categoria le medie imprese dell’Allegato I e le medie o grandi imprese dell’Allegato II.
Possono inoltre essere soggetti importanti, secondo il caso concreto:
- i fornitori di reti o servizi di comunicazione elettronica che non raggiungono la dimensione di media impresa;
- i prestatori di servizi fiduciari non qualificati;
- i fornitori di servizi di registrazione dei nomi di dominio.
Queste categorie sono infatti attratte nel perimetro indipendentemente dalle dimensioni, ma non sono automaticamente comprese tra i soggetti essenziali.
L’autovalutazione dell’impresa resta indispensabile per comprendere se sussista l’obbligo di registrazione. Dal 1° gennaio al 28 febbraio di ogni anno i soggetti interessati devono registrarsi o aggiornare la propria registrazione; entro il 31 marzo l’ACN forma l’elenco dei soggetti essenziali e importanti e comunica successivamente l’inserimento, la permanenza o l’espunzione dall’elenco.
Perché la distinzione tra soggetto essenziale e importante conta?
Entrambe le categorie devono adottare misure tecniche, operative e organizzative adeguate e proporzionate ai rischi. Devono inoltre predisporre procedure per la gestione e la notifica degli incidenti significativi.
La pre-notifica al CSIRT Italia deve essere trasmessa, senza ingiustificato ritardo, entro 24 ore dal momento in cui il soggetto viene a conoscenza dell’incidente significativo. La successiva notifica deve essere effettuata entro 72 ore.
Le specifiche di base sono oggi contenute nella Determinazione ACN n. 379907/2025, applicabile dal 15 gennaio 2026 e sostitutiva della precedente Determinazione n. 164179/2025. Il sistema prevede:
- 37 misure di sicurezza e 87 requisiti per i soggetti importanti;
- 43 misure di sicurezza e 116 requisiti per i soggetti essenziali.
Cambia anche il regime di vigilanza. I soggetti essenziali possono essere sottoposti a verifiche e ispezioni anche in assenza di una precedente segnalazione, compresi controlli casuali. Nei confronti dei soggetti importanti, invece, i poteri di verifica e ispezione sono esercitati quando l’ACN acquisisce elementi, indicazioni o informazioni che suggeriscano una possibile violazione.
Per le violazioni più gravi degli obblighi relativi alla governance, alla gestione del rischio e alla notifica degli incidenti, le sanzioni applicabili ai soggetti essenziali possono arrivare fino al maggiore tra 10 milioni di euro e il 2% del fatturato mondiale annuo.
Per i soggetti importanti, il limite massimo è rappresentato dal maggiore tra 7 milioni di euro e l’1,4% del fatturato mondiale annuo. Per le pubbliche amministrazioni opera un regime sanzionatorio distinto.
La NIS2 non è soltanto una questione informatica
Il D.Lgs. 138/2024 attribuisce compiti diretti agli organi di amministrazione e agli organi direttivi.
Essi devono:
- approvare le modalità di implementazione delle misure di gestione dei rischi;
- sovrintendere all’attuazione degli obblighi;
- seguire una specifica formazione in materia di sicurezza informatica;
- promuovere una formazione periodica dei dipendenti;
- rispondere delle violazioni previste dal decreto.
L’adeguamento non può quindi essere integralmente delegato al reparto IT o a un fornitore esterno. Sono necessarie decisioni di governance, allocazione di risorse, procedure interne, flussi informativi verso gli amministratori e coordinamento tra funzioni legali, organizzative e tecniche.
Le imprese sotto soglia e i fornitori sono davvero esclusi?
Essere sotto soglia non significa essere automaticamente estranei alla NIS2.
Un soggetto può rientrare direttamente nel perimetro:
- per una delle eccezioni dimensionali previste dal decreto;
- perché individuato dall’ACN come elemento sistemico della catena di approvvigionamento di uno o più soggetti essenziali o importanti;
- perché collegato a un soggetto NIS e coinvolto nelle decisioni di sicurezza, nella gestione dei sistemi informativi, nelle operazioni di cybersicurezza o nella fornitura di determinati servizi TIC.
Anche quando il fornitore resta giuridicamente fuori dal perimetro, gli effetti della disciplina possono raggiungerlo per via contrattuale. I soggetti essenziali e importanti devono infatti valutare le vulnerabilità specifiche e la qualità complessiva delle pratiche di sicurezza dei propri fornitori diretti.
Diventano quindi frequenti clausole contrattuali relative a:
- standard minimi di sicurezza;
- diritti di audit;
- utilizzo di subfornitori;
- continuità operativa;
- gestione e comunicazione delle vulnerabilità;
- cooperazione in caso di incidente;
- termini per la trasmissione delle informazioni;
- responsabilità e rimedi in caso di violazione.
Per una PMI tecnologica, essere in grado di dimostrare un adeguato livello di sicurezza può diventare decisivo per partecipare a gare, conservare clienti strategici o rinnovare contratti con banche, strutture sanitarie, operatori energetici e altre organizzazioni soggette alla NIS2.
Scadenze NIS2 2026 e 2027
La registrazione o l’aggiornamento annuale sulla piattaforma ACN si svolge, in via ordinaria, dal 1° gennaio al 28 febbraio di ogni anno.
Per i soggetti inseriti nell’elenco NIS nel 2025, il termine per l’adozione delle misure di sicurezza di base è fissato in 18 mesi dalla ricezione della comunicazione individuale di inserimento. Per la prima coorte, il completamento cade nell’ottobre 2026: la scadenza deve pertanto essere calcolata sulla comunicazione effettivamente ricevuta dal singolo soggetto, senza assumere automaticamente una data uguale per tutti.
Per i soggetti inseriti per la prima volta nell’elenco nel 2026, la Determinazione ACN n. 127434/2026 ha previsto un calendario differenziato:
- designazione del referente CSIRT entro il 31 dicembre 2026;
- decorrenza dell’obbligo di notifica degli incidenti significativi dal 1° gennaio 2027;
- adozione delle misure di sicurezza di base entro il 31 luglio 2027.
Domande frequenti sulla qualificazione NIS2
Un’impresa con almeno 50 dipendenti è sempre soggetta alla NIS2?
No. Il dato dimensionale deve essere associato a una delle tipologie di attività previste dagli allegati, salvo i casi di inclusione indipendente dalla dimensione o di individuazione specifica da parte dell’ACN.
Un’impresa dell’Allegato I è sempre un soggetto essenziale?
No. In via generale, una media impresa dell’Allegato I è un soggetto importante, mentre una grande impresa dello stesso allegato è essenziale. Restano ferme le categorie speciali e le eventuali individuazioni dell’ACN.
Una piccola impresa è sempre esclusa dalla NIS2?
No. Alcune categorie rientrano indipendentemente dalle dimensioni. Una piccola impresa può inoltre essere individuata in ragione della propria criticità oppure subire rilevanti effetti contrattuali come fornitore di un soggetto NIS.
La comunicazione dell’ACN sostituisce l’autovalutazione?
No. L’impresa deve anzitutto verificare se ricorrono i presupposti di applicazione e, quando necessario, registrarsi. L’ACN forma successivamente l’elenco dei soggetti essenziali e importanti, comunica l’inserimento e può procedere a ulteriori individuazioni.
NIS2: soggetto essenziale o importante, come possiamo aiutarti
La qualificazione NIS2 richiede di coordinare l’attività effettivamente svolta, la struttura societaria, i rapporti di gruppo, le soglie dimensionali, le infrastrutture digitali utilizzate e il ruolo dell’impresa nella catena di fornitura.
Lo Studio assiste le imprese:
- nella verifica del perimetro di applicazione del D.Lgs. 138/2024;
- nella classificazione come soggetto essenziale o importante;
- nella documentazione dell’autovalutazione;
- negli adempimenti verso l’ACN;
- nella governance degli obblighi NIS2;
- nella revisione dei contratti con fornitori ICT e clienti soggetti alla disciplina.
Una valutazione tempestiva consente di evitare due errori opposti: sostenere costi di adeguamento non necessari oppure scoprire troppo tardi di essere destinatari di obblighi già operativi.
Contattaci per una valutazione preliminare del perimetro NIS2 della tua impresa.
