Sei soggetto a NIS2?
Settori, dimensioni e rapporti di fornitura: i criteri che determinano se la tua azienda ricade nel perimetro della direttiva.
01
Come capire se la tua azienda è soggetta a NIS2
Il perimetro della direttiva non si definisce con un criterio solo, ma dall’incrocio di tre: il settore in cui l’organizzazione opera, la sua dimensione e il ruolo che ricopre nella catena di fornitura di altri soggetti.
Qui trovi i criteri spiegati in modo operativo, per arrivare a un’ipotesi ragionata prima di coinvolgere un consulente.
Il settore di attività
Il D.Lgs. 138/2024 elenca gli ambiti interessati, distinguendo tra soggetti essenziali e importanti.
La dimensione dell'organizzazione
Numero di addetti e parametri economici concorrono a stabilire se e come si rientra.
La posizione nella filiera
Fornire servizi a un soggetto nel perimetro comporta richieste che arrivano per via contrattuale.
02
I tre criteri, uno per volta
Quale attività svolge l’organizzazione
Il decreto elenca gli ambiti a cui si applica e li separa in due categorie con obblighi di intensità diversa. Energia, trasporti, sanità, infrastrutture digitali, gestione dei rifiuti e diverse aree della manifattura compaiono negli allegati, ma la formulazione è puntuale: organizzazioni simili possono ricadere in categorie diverse a seconda dell’attività prevalente.
Le soglie dimensionali
Al settore si somma una soglia costruita su numero di addetti e parametri economici. Sotto quella soglia molte realtà restano fuori dall’obbligo diretto; sopra, la classificazione determina quanto stringenti sono gli adempimenti.
L’effetto della catena di fornitura
È il criterio che coglie di sorpresa più aziende. Chi è soggetto deve controllare la sicurezza dei propri fornitori, e le richieste si propagano a valle come questionari e clausole contrattuali: anche chi è formalmente fuori perimetro può doversi dimostrare all’altezza. In entrambi i casi il passo successivo è lo stesso — capire quanto manca — ed è il lavoro della gap analysis NIS2, dentro il più ampio percorso di adeguamento.
Non sei sicuro di dove ricadi?
Descrivici l'attività e com'è fatta la struttura IT: ti diamo una lettura tecnica del perimetro, e ti diciamo con franchezza quando serve un parere legale.
Richiedi supporto
Richiedi supporto
Richiedi supporto
Richiedi supporto
Richiedi supporto
Richiedi supporto
Richiedi supporto
Richiedi supporto
Richiedi supporto
Richiedi supporto
Richiedi supporto
Richiedi supporto
A chi potrebbe servire
Ambito di applicazione: domande frequenti
I dubbi ricorrenti di chi sta cercando di capire se la direttiva lo riguarda.
Siamo una PMI: possiamo stare tranquilli?
Non automaticamente. La soglia dimensionale esclude molte piccole realtà dall’obbligo diretto, ma non dai suoi effetti indiretti: se sei fornitore di un soggetto nel perimetro, i requisiti ti raggiungono per contratto.
Chi stabilisce ufficialmente se rientriamo?
La determinazione è responsabilità dell’organizzazione stessa, che si registra presso l’ACN quando ne ricorrono i presupposti. Noi leggiamo i criteri sul piano tecnico e organizzativo; per la valutazione formale il riferimento resta un consulente legale.
Un cliente ci ha mandato un questionario di sicurezza. È NIS2?
Molto probabilmente sì: è il modo tipico in cui la direttiva si propaga lungo la filiera. Quei questionari chiedono cose concrete — gestione degli accessi, protezione degli endpoint, copie di sicurezza con ripristino verificato, tempi di riavvio — e si rispondono bene solo se le misure esistono davvero.
Quanto tempo abbiamo per metterci in regola?
Le scadenze fissate dal decreto e dai provvedimenti attuativi dell’ACN vanno verificate rispetto alla propria categoria, perché non sono uguali per tutti. Al di là della data, l’ostacolo pratico è un altro: le misure tecniche richiedono settimane o mesi di lavoro e non si attivano con una firma.
