NIS2 soggetto essenziale o importante: è la prima domanda che ogni azienda dovrebbe porsi davanti al D.Lgs. 138/2024, il decreto che ha recepito in Italia la direttiva europea sulla cybersicurezza. La risposta non è un dettaglio formale: dalla classificazione dipendono l’intensità della vigilanza, il regime sanzionatorio e la profondità delle misure di sicurezza da implementare. Eppure molte imprese non hanno ancora fatto un’autovalutazione seria, o l’hanno delegata a una lettura frettolosa degli allegati.
Il punto di partenza: gli allegati del decreto
Il D.Lgs. 138/2024 individua i settori in ambito attraverso i propri allegati, che distinguono i settori ad alta criticità dagli altri settori critici. Tra i primi rientrano, ad esempio, energia, trasporti, settore bancario, sanità, acqua potabile, infrastrutture digitali e gestione dei servizi TIC. Tra i secondi troviamo, tra gli altri, servizi postali, gestione dei rifiuti, chimica, produzione alimentare, fabbricazione di determinati prodotti (inclusi dispositivi medici, elettronica, macchinari e mezzi di trasporto), fornitori di servizi digitali e ricerca.
Il primo esercizio è quindi verificare se la propria attività rientra in uno dei settori e sottosettori elencati. Attenzione: conta l’attività effettivamente svolta, non solo il codice ATECO. Un’azienda manifatturiera può rientrare in ambito per una linea di prodotto specifica, anche se il resto della produzione è fuori scope.
I criteri dimensionali: quando la taglia conta
Il secondo filtro è dimensionale. In linea generale, il decreto si applica alle organizzazioni che superano i massimali delle piccole imprese secondo la classificazione europea, quindi tipicamente medie e grandi imprese dei settori in allegato. La distinzione tra soggetto essenziale e soggetto importante dipende, semplificando, dalla combinazione tra settore di appartenenza e dimensione: le grandi imprese dei settori ad alta criticità tendono a essere classificate come essenziali, mentre le altre realtà in ambito ricadono di norma tra i soggetti importanti.
Esistono però eccezioni rilevanti: alcune categorie sono incluse indipendentemente dalla dimensione, ad esempio determinati fornitori di infrastrutture digitali o soggetti identificati come critici dalle autorità. Per questo l’autovalutazione non può fermarsi al conteggio dei dipendenti.
Perché la classificazione cambia le regole del gioco
- Vigilanza: i soggetti essenziali sono sottoposti a una supervisione ex ante ed ex post, quelli importanti a una vigilanza prevalentemente ex post, attivata in caso di indizi di violazione.
- Sanzioni: i massimali sanzionatori previsti per i soggetti essenziali sono più elevati rispetto a quelli per i soggetti importanti.
- Responsabilità degli organi direttivi: in entrambi i casi il vertice aziendale approva le misure di gestione dei rischi e risponde delle violazioni, con obblighi di formazione specifici.
- Aspettative dell’autorità: la profondità attesa delle misure di cui all’articolo sulle misure di gestione dei rischi cresce con la criticità del soggetto.
Autovalutazione: un metodo in quattro passi
Un’autovalutazione difendibile segue una sequenza precisa. Primo: mappare le attività aziendali rispetto ai settori e sottosettori degli allegati, documentando il ragionamento anche quando la conclusione è negativa. Secondo: verificare i criteri dimensionali, tenendo conto delle regole europee su imprese collegate e associate, che possono far superare le soglie a gruppi apparentemente piccoli. Terzo: verificare le casistiche speciali che prescindono dalla dimensione. Quarto: se in ambito, procedere con la registrazione sulla piattaforma dell’Autorità nazionale competente (ACN) nei termini previsti e attendere l’eventuale conferma della classificazione.
Il punto spesso trascurato è la documentazione: se l’autorità dovesse chiedere conto della vostra valutazione, un’analisi scritta, datata e motivata vale molto più di una convinzione verbale. Vale anche nel rapporto con i clienti: sempre più capitolati chiedono di dichiarare il proprio status NIS2.
Cosa fare adesso
Se la vostra azienda opera in uno dei settori degli allegati e supera le soglie dimensionali, il tema non è se adeguarsi ma con quale priorità. Un approccio risk-based parte dalla classificazione, prosegue con una gap analysis rispetto alle misure richieste e si chiude con un piano di adeguamento sostenibile, senza acquisti impulsivi di tecnologia.
PL Consulting accompagna le aziende in tutto il percorso, dalla verifica di applicabilità alla registrazione, fino all’implementazione delle misure. Scopri il servizio dedicato su pl-consulting.it/servizi/nis2 e richiedi una gap analysis per capire esattamente dove sei e cosa manca.
Nota: questo articolo ha finalità informative e non sostituisce una valutazione legale o tecnica sul singolo caso; la classificazione definitiva spetta all’Autorità competente. Articolo aggiornato a luglio 2026.
