Assessment di applicabilità NIS2

Il contesto e il problema

La prima domanda che ogni organizzazione deve porsi è la più insidiosa: rientro o no nell'ambito di applicazione della NIS2? Il Decreto NIS individua i soggetti obbligati sulla base di criteri oggettivi (art. 3): il settore di attività — elencato negli Allegati I e II del decreto, che coprono tra l'altro energia, trasporti, banche, infrastrutture dei mercati finanziari, sanità, acqua potabile e reflue, infrastrutture digitali, gestione dei servizi TIC, pubblica amministrazione, spazio, servizi postali, gestione dei rifiuti, produzione e distribuzione di sostanze chimiche e alimentari, fabbricazione e ricerca — e le dimensioni dell'impresa.

In via generale la NIS2 si applica ai soggetti di medie e grandi dimensioni operanti nei settori individuati, con esclusione delle imprese con meno di 50 dipendenti e fatturato annuo o bilancio inferiore a determinate soglie. Tuttavia esistono eccezioni rilevanti: alcune categorie sono incluse a prescindere dalla dimensione, e le piccole imprese possono essere attratte nell'ambito NIS2 se fornitrici di soggetti essenziali o importanti, per effetto degli obblighi sulla sicurezza della catena di approvvigionamento.

La classificazione come soggetto essenziale o importante non è un dettaglio formale: determina il livello di vigilanza (proattiva per gli essenziali, ex post per gli importanti) e il massimale sanzionatorio. Un errore di autovalutazione — sia per eccesso sia per difetto — espone l'organizzazione a rischi concreti: costi non necessari da un lato, inadempimento e sanzioni dall'altro.

Il servizio di IusPrivacy

IusPrivacy conduce un assessment di applicabilità strutturato, che fornisce una risposta motivata e documentata alla domanda sull'inclusione nell'ambito NIS2. L'analisi combina la lettura giuridica del Decreto NIS con la mappatura concreta dell'attività aziendale:

Mappatura delle attività e dei codici ATECO/NACE per l'aggancio ai settori degli Allegati I e II.
Verifica dimensionale (dipendenti, fatturato, bilancio) secondo i criteri della raccomandazione 2003/361/CE.
Analisi della struttura di gruppo e delle imprese collegate, rilevante ai fini del calcolo dimensionale e dell'identificazione delle entità obbligate.
Valutazione della catena di fornitura, per intercettare l'inclusione indiretta come fornitore di soggetti NIS.
Classificazione come soggetto essenziale, importante o fuori ambito, con le relative conseguenze in termini di obblighi e vigilanza.

Cosa ottieni

Un parere di applicabilità scritto e motivato, con l'indicazione della categoria di appartenenza.
La mappatura settoriale e dimensionale dell'organizzazione (e del gruppo, ove rilevante).
L'individuazione delle entità giuridiche del gruppo effettivamente soggette.
Un primo quadro degli obblighi applicabili e delle scadenze pertinenti, come base per la roadmap di adeguamento.

⏱️ Stato scadenza — La costituzione dell'elenco dei soggetti NIS e le notifiche di inserimento da parte dell'ACN sono avvenute a partire dal 2025; la finestra ordinaria di registrazione (1 gennaio – 28 febbraio 2025) è già decorsa. L'assessment resta però pienamente attuale: serve a chi non ha ancora verificato la propria posizione, a chi deve gestire una registrazione tardiva e ai soggetti attratti nell'ambito nel 2026, per i quali valgono termini specifici stabiliti dalle determinazioni ACN.

Vuoi sapere con certezza se sei un soggetto NIS? Prenota l'assessment di applicabilità: in tempi rapidi avrai un parere chiaro e la mappa dei tuoi obblighi.

FAQ

D. Qual è la differenza tra soggetto essenziale e soggetto importante?

R. Entrambi devono adottare le stesse misure di sicurezza, ma i soggetti essenziali sono sottoposti a vigilanza proattiva e a sanzioni più elevate, mentre gli importanti sono soggetti a controlli prevalentemente ex post. La classificazione dipende da settore e dimensioni.

D. La mia azienda ha meno di 50 dipendenti: sono comunque escluso?

R. Non necessariamente. Alcune categorie di soggetti rientrano nell'ambito a prescindere dalla dimensione, e una piccola impresa può essere coinvolta come fornitore critico nella catena di approvvigionamento di un soggetto NIS. Serve una verifica puntuale.

D. Come incide l'appartenenza a un gruppo societario?

R. Il calcolo dimensionale e l'individuazione delle entità obbligate tengono conto della struttura di gruppo e delle imprese collegate. In un gruppo possono coesistere società soggette e non soggette: l'analisi va condotta entità per entità.

D. Ho ricevuto una comunicazione dall'ACN: cosa devo fare?

R. La comunicazione di inserimento nell'elenco dei soggetti NIS attiva una serie di adempimenti con scadenze precise. È il momento di strutturare il percorso di conformità: l'assessment aiuta a inquadrare correttamente la posizione e le priorità.