di Daniele Curto — Amministratore e fondatore, DC Consult SRL · 21 agosto 2026 · lettura 14 min
La NIS2 non riguarda solo le grandi infrastrutture. Riguarda chi ricade negli allegati del D.lgs. 138/2024 e supera le soglie dimensionali, ma anche chi resta fuori perimetro e fornisce servizi ICT a un soggetto NIS. Questa guida spiega come fare il test di perimetro, quali obblighi scattano, entro quando e cosa si rischia davvero.
Il test di perimetro in tre passaggi
Passaggio 1 — Il settore. Verifica se la tua attività, anche secondaria, ricade in uno degli allegati del D.lgs. 138/2024: allegato I (settori ad alta criticità: energia, trasporti, bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi TIC, spazio); allegato II (altri settori critici: servizi postali e di corriere, gestione dei rifiuti, chimica, alimentare, fabbricazione di dispositivi medici, computer, apparecchiature elettriche, macchinari e autoveicoli, fornitori di servizi digitali, organizzazioni di ricerca); allegati III e IV (pubbliche amministrazioni centrali, regionali e locali, altri soggetti pubblici, trasporto pubblico locale, istituti di istruzione con attività di ricerca, società in house, partecipate e a controllo pubblico).
L'errore più frequente è guardare solo il codice ATECO principale. Un ramo d'attività secondario può far rientrare l'impresa.
Passaggio 2 — La dimensione. Per i soggetti privati degli allegati I e II serve il superamento dei massimali per le piccole imprese ai sensi dell'art. 2, par. 2 dell'allegato alla raccomandazione 2003/361/CE. In pratica: da 50 occupati in su e fatturato annuo oppure totale di bilancio annuo superiore a 10 milioni di euro. I due criteri (occupati / dato economico) sono cumulativi; fatturato e bilancio sono alternativi tra loro.
Passaggio 3 — Le inclusioni a prescindere dalla dimensione. Alcune categorie rientrano anche se piccole: fornitori di reti pubbliche di comunicazione elettronica e di servizi di comunicazione elettronica accessibili al pubblico, prestatori di servizi fiduciari, gestori di registri di nomi di dominio di primo livello, fornitori di servizi DNS, fornitori di servizi di registrazione di nomi di dominio, e chi risulti unico fornitore nazionale di un servizio essenziale per il mantenimento di attività sociali o economiche fondamentali. L'ACN può inoltre individuare ulteriori soggetti obbligati indipendentemente dalle dimensioni.
La registrazione sulla piattaforma ACN avviene per auto-identificazione, tra il 1° gennaio e il 28 febbraio di ogni anno. È il soggetto a dichiarare settore, attività e classificazione. L'analisi va documentata, perché è verificabile — e perché in caso di mancata registrazione le conseguenze sanzionatorie sono aggravate.
L'effetto a cascata: fuori perimetro, dentro per contratto
L'art. 24 del decreto include tra le misure minime la sicurezza della catena di approvvigionamento, ivi compresi gli aspetti relativi alla sicurezza riguardanti i rapporti tra ciascun soggetto e i suoi diretti fornitori o fornitori di servizi. Il comma 3 aggiunge che nella valutazione dei rischi il soggetto deve tenere conto delle vulnerabilità specifiche di ogni fornitore diretto, della qualità complessiva dei prodotti, delle pratiche di sicurezza informatica dei fornitori e delle loro procedure di sviluppo sicuro.
Conseguenza operativa immediata: un'impresa fuori perimetro che fornisce software, servizi ICT o manutenzione a un soggetto NIS si trova a dover soddisfare requisiti contrattuali di sicurezza, rispondere a questionari di assessment e, in alcuni casi, accettare verifiche.
Nel 2026 il meccanismo è diventato formale. La Determinazione ACN 127437/2026 del 13 aprile 2026 ha introdotto l'art. 18 sull'elencazione dei fornitori rilevanti: i soggetti NIS devono selezionare, tra i propri fornitori, quelli da segnalare, al fine di individuare chi debba essere qualificato come soggetto importante o essenziale lungo la catena di approvvigionamento (art. 3, comma 9, lett. f) del decreto). Le stesse determine disciplinano l'elencazione e la categorizzazione delle attività e dei servizi ai sensi dell'art. 30.
Traduzione per una PMI: puoi essere fuori perimetro oggi ed entrarci domani perché un tuo cliente ti ha inserito tra i fornitori rilevanti. Non è un'ipotesi teorica: è una procedura attiva.
Verifica la tua postura di sicurezza prima che te la chieda il tuo cliente
I questionari di assessment dei soggetti NIS arrivano senza preavviso. Arrivarci preparati è molto meno costoso che rincorrerli.
Scopri i servizi di sicurezza informaticaCosa devi fare, in ordine
- Registrazione e aggiornamento sulla piattaforma ACN e designazione del punto di contatto (art. 7)
- Misure di gestione del rischio (art. 24), con approccio multi-rischio: politiche di analisi dei rischi e di sicurezza dei sistemi informativi e di rete; gestione degli incidenti; continuità operativa, backup e ripristino in caso di disastro; sicurezza della catena di approvvigionamento; sicurezza dell'acquisizione, dello sviluppo e della manutenzione dei sistemi; valutazione dell'efficacia delle misure; igiene informatica di base e formazione; crittografia; sicurezza del personale e controllo degli accessi; autenticazione a più fattori
- Notifica degli incidenti significativi al CSIRT Italia (artt. 25-26): pre-notifica senza ingiustificato ritardo e comunque entro 24 ore, notifica completa entro 72 ore con valutazione iniziale di gravità e impatto, relazione finale
- Obblighi degli organi di amministrazione e direttivi (art. 23): approvano le modalità di implementazione delle misure, sovrintendono all'attuazione degli obblighi e seguono una formazione in materia, promuovendone una coerente per i dipendenti. La responsabilità è del vertice aziendale, non delegabile all'IT.
- Comunicazione ed elencazione delle attività e dei servizi (art. 30)
- Designazione del referente CSIRT
Sulle misure di base: i contenuti tecnici sono negli allegati 1 (soggetti importanti) e 2 (soggetti essenziali) della Determinazione ACN 379907 del 19 dicembre 2025, applicabile dal 15 gennaio 2026, costruiti sulle sottocategorie del Framework Nazionale per la Cybersecurity e la Data Protection (edizione 2025). Gli allegati 3 e 4 elencano le tipologie di incidenti significativi di base da notificare.
Gli adempimenti NIS2 si sommano a quelli già in essere: dove i sistemi trattano dati personali il coordinamento con il GDPR è obbligato, e per chi usa strumenti di intelligenza artificiale si aggiunge un ulteriore strato normativo — l'abbiamo analizzato nella guida AI Act e PMI: cosa cambia con il Digital Omnibus.
Le scadenze
Le scadenze dipendono dall'anno di primo inserimento nell'elenco NIS. È l'informazione più fraintesa in circolazione.
| Adempimento | Inseriti nell'elenco nel 2025 | Inseriti per la prima volta nel 2026 |
|---|---|---|
| Notifica incidenti significativi di base | 9 mesi dalla comunicazione di inserimento (termine maturato a gennaio 2026) | dal 1° gennaio 2027 |
| Adozione delle misure di sicurezza di base | 18 mesi dalla comunicazione di inserimento (termine a ottobre 2026) | entro il 31 luglio 2027 |
| Designazione del referente CSIRT | — | entro la fine del 2026 |
Le comunicazioni di inserimento nell'elenco sono partite dal 12 aprile 2025; i termini a 9 e 18 mesi decorrono dalla ricezione della singola comunicazione, quindi la data esatta varia da soggetto a soggetto. I termini per i nuovi soggetti 2026 sono fissati dalla Determinazione ACN 127434/2026.
Essenziali e importanti: cosa cambia
| Profilo | Soggetti essenziali | Soggetti importanti |
|---|---|---|
| Come si è classificati | Soggetti dei settori ad alta criticità che superano i massimali per le medie imprese, più le categorie incluse a prescindere dalla dimensione (art. 6) | Tutti gli altri soggetti degli allegati I-IV non qualificati come essenziali |
| Vigilanza ACN | Proattiva (ex ante) | Successiva, su indizi di violazione (ex post) |
| Misure di sicurezza di base | Allegato 2, Determinazione ACN 379907/2025 | Allegato 1, Determinazione ACN 379907/2025 |
| Obblighi di notifica | 24h / 72h / relazione finale | 24h / 72h / relazione finale |
| Sanzione massima (violazioni art. 38, c. 8) | 10.000.000 € o 2% del fatturato mondiale | 7.000.000 € o 1,4% del fatturato mondiale |
Cosa rischi davvero
| Tipo di violazione | Soggetti essenziali | Soggetti importanti |
|---|---|---|
| Misure di sicurezza (art. 24), notifica incidenti (art. 25), obblighi degli organi direttivi (art. 23), inottemperanza alle disposizioni e diffide ACN (art. 38, c. 8) | fino a 10.000.000 € o 2% del totale del fatturato annuo su scala mondiale dell'esercizio precedente, se superiore | fino a 7.000.000 € o 1,4% del totale del fatturato annuo su scala mondiale dell'esercizio precedente, se superiore |
| Minimo edittale sulle violazioni sopra | un ventesimo del massimo edittale | un trentesimo del massimo edittale |
| Mancata registrazione o aggiornamento (art. 7), mancata comunicazione dell'elenco attività e servizi (art. 30), mancata collaborazione con ACN o CSIRT Italia (art. 38, c. 10) | fino allo 0,1% del fatturato annuo su scala mondiale | fino allo 0,07% del fatturato annuo su scala mondiale |
Le sanzioni per le pubbliche amministrazioni non sono trattate in questa guida.
Il minimo edittale. Il comma 9 fissa un minimo, non solo un massimo: un ventesimo del massimo edittale per i soggetti essenziali, un trentesimo per i soggetti importanti. È il dato che smonta l'idea che a una piccola impresa spetti una sanzione simbolica: il pavimento non è proporzionale al fatturato.
La responsabilità personale. I commi 5 e 6 stabiliscono che chi rappresenta legalmente il soggetto, o ne esercita il controllo, assicura il rispetto del decreto e può essere ritenuto responsabile dell'inadempimento. In caso di mancato adempimento alla diffida, l'ACN può disporre nei confronti delle persone fisiche — inclusi gli organi di amministrazione e direttivi di cui all'art. 23 e chi svolge funzioni dirigenziali a livello di amministratore delegato o rappresentante legale — la sanzione amministrativa accessoria dell'incapacità a svolgere funzioni dirigenziali all'interno del medesimo soggetto, fino a che non siano adottate le misure per porre rimedio alle carenze. Vale per essenziali e importanti: gli obblighi dell'art. 23 non sono materia delegabile all'IT. Perché un modello di assistenza a chiamata non riesca a produrre il flusso informativo che quella responsabilità presuppone lo abbiamo analizzato in Break & fix: il costo reale del modello a chiamata.
Gli strumenti deflattivi (e perché muoversi prima conviene). Il comma 15 prevede l'invito a conformarsi: se il trasgressore adegua la condotta nel termine perentorio assegnato, il procedimento sanzionatorio non prosegue (non si applica a chi è già stato destinatario di diffida). È inoltre possibile estinguere il procedimento con il pagamento in misura ridotta pari a un terzo del massimo della sanzione — o, se più favorevole e ove stabilito, al doppio del minimo edittale — entro 60 giorni dalla notifica della contestazione. Al contrario, il comma 13 prevede che in caso di mancata o tardiva registrazione siano contestate tutte le violazioni dei commi 8 e 10, applicando la sanzione prevista per la violazione più grave aumentata fino al triplo. Il comma 12 disciplina la reiterazione: aumento fino al doppio (reiterazione specifica) o fino al triplo sulla violazione più grave (reiterazione non specifica).
Chi si mette in regola prima paga meno; chi non si è mai registrato paga di più.