NIS2: a chi si applica? Verifica se la tua organizzazione è obbligata
Aggiornato al
La direttiva NIS2, recepita in Italia con il D.Lgs. 138/2024, impone obblighi di cybersicurezza a decine di migliaia di aziende private e pubbliche amministrazioni. Capire chi è obbligato non è immediato: l’applicabilità dipende dal settore di attività, dalla dimensione dell’impresa e da alcune categorie soggette a prescindere da entrambi.
Rispondi a 4 domande su natura dell’organizzazione, settore, dimensioni economiche e categorie speciali: in meno di due minuti ottieni una prima valutazione indicativa (soggetto essenziale, soggetto importante o fuori ambito), con i riferimenti normativi puntuali per ogni passaggio. Gratis e senza registrazione.
Il test fornisce una valutazione preliminare basata sulle informazioni inserite e non sostituisce una verifica legale o la classificazione effettuata dall’ACN.
Vuoi passare dalla valutazione indicativa alla conformità?
Con Next-OS di Aptus.AI verifichi la tua esposizione sanzionatoria esatta calcolata sul tuo fatturato, ottieni la gap analysis rispetto alle misure ACN e monitori ogni scadenza.
Come funziona la verifica NIS2
La verifica riproduce il percorso logico previsto dal D.Lgs. 138/2024 per stabilire se un’organizzazione rientra nell’ambito di applicazione della NIS2. Il flusso si articola in quattro domande:
- Natura dell’organizzazione: azienda privata, ente pubblico oppure ente escluso per legge (sicurezza nazionale, difesa, intelligence, Parlamento, Autorità giudiziaria, Banca d’Italia, UIF).
- Settore di attività: i settori altamente critici dell’Allegato I e gli altri settori critici dell’Allegato II del decreto; per gli enti pubblici, la categoria di appartenenza secondo l’Allegato III.
- Dimensione dell’impresa: dipendenti, fatturato annuo e totale di bilancio, valutati con i criteri della Raccomandazione 2003/361/CE.
- Categorie sempre soggette: attività che rientrano nella NIS2 a prescindere dalla dimensione, come fornitori di reti di comunicazione elettronica, servizi DNS, registri TLD, servizi fiduciari e soggetti critici ai sensi del decreto CER.
Accanto a ogni opzione trovi un’icona informativa “i” che apre la spiegazione estesa con il riferimento normativo puntuale (articolo, comma e allegato), così puoi capire il perché di ogni passaggio, non solo il risultato.
A chi si applica la NIS2: i soggetti obbligati
La NIS2 si applica alle organizzazioni che operano nei settori elencati negli Allegati I e II del D.Lgs. 138/2024 e che raggiungono almeno la soglia dimensionale di media impresa, oltre alle pubbliche amministrazioni indicate nell’Allegato III e ad alcune categorie soggette indipendentemente dalla dimensione. Vediamo i quattro gruppi.
Settori altamente critici (Allegato I)
Le aziende di questi settori sono classificate come soggetti essenziali se grandi imprese, importanti se medie imprese:
- Energia (energia elettrica, teleriscaldamento e teleraffrescamento, petrolio, gas, idrogeno)
- Trasporti (aereo, ferroviario, per vie d’acqua, su strada)
- Settore bancario
- Infrastrutture dei mercati finanziari
- Settore sanitario (assistenza sanitaria, laboratori di riferimento UE, ricerca e fabbricazione di farmaci, dispositivi medici critici)
- Acqua potabile
- Acque reflue
- Infrastrutture digitali (DNS, registri TLD, cloud, data center, CDN, servizi fiduciari, reti e servizi di comunicazione elettronica)
- Gestione dei servizi TIC business-to-business (MSP e MSSP)
- Spazio
Altri settori critici (Allegato II)
Le aziende di questi settori, se di dimensione media o grande, sono classificate come soggetti importanti:
- Servizi postali e di corriere
- Gestione dei rifiuti
- Sostanze chimiche (fabbricazione e distribuzione)
- Alimenti (produzione industriale, trasformazione, distribuzione all’ingrosso)
- Fabbricazione (dispositivi medici, elettronica, apparecchiature elettriche, macchinari, autoveicoli e altri mezzi di trasporto)
- Fornitori di servizi digitali (mercati online, motori di ricerca, piattaforme social)
- Ricerca
Pubbliche amministrazioni (Allegato III)
Per la PA la classificazione non dipende dalla dimensione ma dalla categoria di ente:
- Amministrazioni centrali, classificate come soggetti essenziali: Presidenza del Consiglio dei ministri, Ministeri, Agenzie fiscali, Autorità amministrative indipendenti
- Amministrazioni regionali e locali, classificate come soggetti importanti: Regioni e Province autonome, Città metropolitane, Comuni con più di 100.000 abitanti o capoluogo di regione, Aziende sanitarie locali e altri enti pubblici indicati dal decreto
- Enti esclusi per legge [art. 4, D.Lgs. 138/2024]: Parlamento, Autorità giudiziaria, Banca d’Italia, UIF e gli enti che operano in sicurezza nazionale, difesa, contrasto ai reati e intelligence
Categorie sempre soggette, a prescindere dalla dimensione
Alcune attività rientrano nella NIS2 anche se svolte da micro o piccole imprese [art. 3, co. 5]. La classificazione dipende dalla categoria:
- Soggetti critici ai sensi del decreto di recepimento della Direttiva CER:
soggetti essenziali - Gestori di registri TLD e fornitori di servizi DNS: soggetti essenziali
- Prestatori di servizi fiduciari: soggetti essenziali se qualificati, soggetti importanti se non qualificati
- Fornitori di reti pubbliche di comunicazione elettronica o di servizi
accessibili al pubblico: soggetti essenziali se medie o grandi imprese, soggetti importanti se micro o piccole imprese - Fornitori di servizi di registrazione di nomi di dominio: soggetti importanti
Fuori da questi casi, micro e piccole imprese sono generalmente escluse dall’ambito di applicazione. L’ACN può però designare come essenziale o importante anche un soggetto che non rientra nei criteri standard, sulla base di valutazioni qualitative come la criticità di filiera o l’impatto su sicurezza e salute pubblica [art. 3, commi 8-10].
Soggetti essenziali e importanti: le differenze
La NIS2 distingue due livelli di classificazione, con obblighi di base analoghi ma regime di vigilanza e sanzioni differenti.
| Criterio | Soggetti essenziali | Soggetti importanti |
|---|---|---|
| Chi sono (regola generale) | Grandi imprese dei settori Allegato I e pubbliche amministrazioni centrali. Tra le categorie sempre soggette: soggetti critici CER, gestori di registri TLD, fornitori di servizi DNS e prestatori di servizi fiduciari qualificati. | Medie imprese dell'Allegato I, medie e grandi imprese dell'Allegato II e pubbliche amministrazioni regionali e locali. Tra le categorie sempre soggette: prestatori di servizi fiduciari non qualificati e fornitori di servizi di registrazione di nomi di dominio. |
| Misure di sicurezza (Determinazione ACN n. 379907/2025) | 43 misure, 116 requisiti | 37 misure, 87 requisiti |
| Registrazione piattaforma ACN | Sì, dal 1° gennaio al 28 febbraio di ogni anno | Sì, dal 1° gennaio al 28 febbraio di ogni anno |
| Notifica degli incidenti significativi | Pre-allerta entro 24 ore, notifica entro 72 ore, relazione finale entro un mese | Pre-allerta entro 24 ore, notifica entro 72 ore, relazione finale entro un mese |
| Vigilanza | Preventiva e successiva | Solo successiva |
| Sanzioni massime | Fino a 10.000.000 € o al 2% del fatturato annuo mondiale, se superiore | Fino a 7.000.000 € o all'1,4% del fatturato annuo mondiale, se superiore |
I fornitori di reti pubbliche di comunicazione elettronica e di servizi di comunicazione elettronica accessibili al pubblico seguono una regola dedicata: sono soggetti essenziali se medie o grandi imprese, soggetti importanti se micro o piccole imprese. Quando a una stessa organizzazione si applicano più criteri, prevale sempre la classificazione più severa.
Per le pubbliche amministrazioni si applica un regime sanzionatorio dedicato, con importi da 25.000 a 125.000 euro per le violazioni più gravi dei soggetti essenziali, ridotti di un terzo per gli importanti [art. 38, co. 9 e 11].
Il caso particolare di banche e finanza (rapporto NIS2-DORA). Le organizzazioni dei settori bancario e delle infrastrutture dei mercati finanziari vengono comunque classificate come essenziali o importanti, ma gli obblighi di sicurezza e di notifica della NIS2 non si applicano: al loro posto opera il Regolamento (UE) 2022/2554 (DORA), in qualità di lex specialis [art. 3, co. 14].
Cosa significa il risultato e cosa fare dopo
Se risulti soggetto essenziale o importante
L’organizzazione rientra nell’ambito della NIS2 e deve attivarsi su quattro fronti: registrarsi (o rinnovare la registrazione) sulla piattaforma ACN nella finestra annuale dal 1° gennaio al 28 febbraio [art. 7]; adottare le misure di sicurezza previste per la propria categoria dalla Determinazione ACN n. 379907/2025 [art. 24]; notificare gli incidenti significativi rispettando i termini di 24 ore, 72 ore e un mese [art. 25]; presidiare la responsabilità degli organi di amministrazione nell’approvazione e supervisione degli adempimenti [art. 23]. In caso di inadempimento sono previste sanzioni amministrative pecuniarie commisurate al fatturato [art. 38].
Se risulti fuori ambito
In base a settore e dimensione dichiarati non emergono obblighi diretti. Due cautele: l’ACN può comunque designare singoli soggetti come essenziali o importanti per criticità qualitative [art. 3, commi 8-10], e chi opera nella filiera di un soggetto NIS2 può ricevere requisiti di sicurezza per via contrattuale, come parte della gestione dei rischi della supply chain del cliente.
Se operi nel settore bancario o finanziario
La classificazione NIS2 resta valida, ma gli obblighi operativi derivano dal Regolamento DORA: gestione del rischio ICT, notifica degli incidenti e test di resilienza operativa digitale seguono quel quadro normativo, non il D.Lgs. 138/2024 [art. 3, co. 14].
Se il risultato è “non determinato”
Significa che le informazioni fornite non bastano a inquadrare l’organizzazione nei criteri standard. Capita, ad esempio, quando l’attività non corrisponde chiaramente a un settore degli Allegati. In questo caso serve un’analisi puntuale dell’attività effettivamente svolta.
Metodologia, fonti e limiti della verifica
Come funziona il calcolo
La classificazione dimensionale segue la Raccomandazione 2003/361/CE con verifica a cascata: si controlla prima la soglia PMI (meno di 250 dipendenti e fatturato fino a 50 M€ o bilancio fino a 43 M€), poi quella di piccola impresa, poi quella di micro impresa; ogni livello richiede congiuntamente il criterio dei dipendenti e almeno uno dei due criteri economici. L’esito viene poi combinato con il settore (Allegato I o II) e con le categorie sempre soggette, applicando sempre la classificazione più severa tra quelle emerse.
Limiti dichiarati
La verifica usa i dati dichiarati per la sola organizzazione rispondente, senza l’aggregazione con imprese collegate o associate prevista in via generale dall’art. 3, co. 4 del decreto: un’azienda formalmente piccola ma controllata da un gruppo più grande potrebbe risultare classificata diversamente in una verifica completa. La classificazione ufficiale spetta in ogni caso all’Agenzia per la Cybersicurezza Nazionale.
Trasparenza normativa
Ogni domanda e ogni esito del percorso riportano il riferimento puntuale ad articolo, comma e allegato del D.Lgs. 138/2024 o delle fonti europee collegate.
A cura del team di Legal Engineering di Aptus.AI.
Fonti normative
Le regole applicate in questa pagina e nel percorso di verifica derivano
dalle seguenti fonti primarie, nella versione vigente alla data di aggiornamento
indicata in apertura:
- Decreto Legislativo 4 settembre 2024, n. 138: recepimento
italiano della direttiva NIS2. Definisce ambito soggettivo, classificazione dei soggetti essenziali e importanti, obblighi di sicurezza e notifica, vigilanza e sanzioni. Gli Allegati I, II e III elencano rispettivamente i settori altamente critici, gli altri settori critici e le categorie di pubblica amministrazione. - Direttiva (UE) 2022/2555: quadro europeo di riferimento
sulla cybersicurezza, di cui il decreto italiano costituisce attuazione. - Raccomandazione 2003/361/CE: criteri europei per la
classificazione dimensionale delle imprese in micro, piccole, medie e grandi, applicati nel calcolo della soglia di applicabilita. - Determinazione ACN n. 379907/2025: specifiche di base delle
misure di sicurezza e dei relativi requisiti, differenziate tra soggetti
essenziali e soggetti importanti. - Regolamento (UE) 2022/2554 (DORA): disciplina speciale per
il settore bancario, le infrastrutture dei mercati finanziari e gli altri
soggetti finanziari, che si applica in luogo degli obblighi NIS2 di sicurezza e notifica. - Direttiva (UE) 2022/2557 (CER) e relativo decreto di
recepimento: individuazione dei soggetti critici, richiamata tra le categorie soggette a prescindere dalla dimensione. - Regolamento eIDAS: definizione dei servizi fiduciari
qualificati e non qualificati, rilevante per la classificazione dei prestatori
di tali servizi. - Legge 3 agosto 2007, n. 124: individuazione degli organismi
di informazione per la sicurezza, richiamata tra i soggetti esclusi
dall’ambito di applicazione.
I riferimenti puntuali ad articolo, comma e allegato sono richiamati direttamente nei passaggi della verifica e nelle spiegazioni associate a ciascuna domanda.
La verifica ti ha detto che sei in ambito?
Next-OS calcola la tua esposizione sanzionatoria esatta sul tuo fatturato, ti mostra come ridurla (invito a conformarsi, pagamento in misura ridotta) e ti guida su gap analysis, documentazione e scadenze.
Domande frequenti sulla NIS2
A chi si applica la NIS2?
La NIS2 si applica alle medie e grandi imprese dei settori elencati negli Allegati I e II del D.Lgs. 138/2024, tra cui energia, trasporti, sanità, infrastrutture digitali, chimica, alimentare e manifattura, alle pubbliche amministrazioni dell’Allegato III e ad alcune categorie soggette a prescindere dalla dimensione, come fornitori di comunicazioni elettroniche, servizi DNS e servizi fiduciari.
Chi è obbligato alla NIS2 in Italia?
Sono obbligati i soggetti essenziali e importanti individuati dal D.Lgs. 138/2024: in linea generale, grandi imprese dei settori altamente critici (essenziali), medie imprese degli stessi settori e medie o grandi imprese degli altri settori critici (importanti), oltre alle PA centrali e locali indicate dal decreto. La classificazione ufficiale è effettuata dall’ACN sulla base della registrazione annuale.
Le micro e piccole imprese devono adeguarsi alla NIS2?
Di regola no: sotto la soglia di media impresa (50 dipendenti e 10 M€ di fatturato o bilancio) si è generalmente fuori ambito. Fanno eccezione le categorie sempre soggette, ad esempio fornitori di reti di comunicazione elettronica, servizi DNS, registri TLD, servizi fiduciari e registrar, e i casi di designazione discrezionale da parte dell’ACN.
Cosa prevede la NIS2 per le organizzazioni obbligate?
Quattro adempimenti principali: registrazione annuale sulla piattaforma ACN, adozione delle misure di sicurezza tecniche e organizzative definite dalla Determinazione ACN n. 379907/2025, notifica degli incidenti significativi entro termini stringenti, e responsabilizzazione degli organi di amministrazione sulla gestione del rischio informatico.
Qual è la differenza tra soggetti essenziali e soggetti importanti?
Gli obblighi di base sono analoghi, ma i soggetti essenziali devono attuare più misure di sicurezza (43 misure e 116 requisiti contro 37 e 87), sono sottoposti a vigilanza anche preventiva e rischiano sanzioni più alte: fino a 10 milioni di euro o al 2% del fatturato mondiale, contro i 7 milioni o l’1,4% previsti per gli importanti.
Quali sono le sanzioni previste dalla NIS2?
Per le violazioni più gravi, cioè misure di sicurezza e notifica degli incidenti, i soggetti essenziali rischiano fino a 10.000.000 € o il 2% del fatturato annuo mondiale, se superiore; i soggetti importanti fino a 7.000.000 € o l’1,4%. Per le PA sono previsti importi da 25.000 a 125.000 euro, ridotti di un terzo per i soggetti importanti [art. 38, D.Lgs. 138/2024].
Quali sono le scadenze NIS2 da ricordare?
La finestra di registrazione o rinnovo sulla piattaforma ACN è aperta ogni anno dal 1° gennaio al 28 febbraio. In caso di incidente significativo valgono i termini di notifica: pre-allerta entro 24 ore, notifica con valutazione iniziale entro 72 ore, relazione finale entro un mese. Le misure di sicurezza vanno attuate secondo le tempistiche fissate dalle determinazioni ACN.
Come funziona la registrazione sulla piattaforma ACN?
I soggetti che rientrano nei criteri della NIS2 devono censirsi sul portale dell’Agenzia per la Cybersicurezza Nazionale, designando un punto di contatto e fornendo le informazioni richieste sull’organizzazione. La registrazione va poi confermata o aggiornata ogni anno nella finestra dal 1° gennaio al 28 febbraio [art. 7, D.Lgs. 138/2024].
La NIS2 si applica anche a banche e istituzioni finanziarie?
Sì per la classificazione, no per gli obblighi operativi: banche e infrastrutture dei mercati finanziari sono classificate come soggetti essenziali o importanti, ma applicano il Regolamento DORA (UE) 2022/2554 al posto degli obblighi NIS2 di sicurezza e notifica, in quanto disciplina speciale di settore [art. 3, co. 14].
Il risultato di questa verifica ha valore legale?
No. Il test fornisce una valutazione preliminare e indicativa basata sulle informazioni inserite: non sostituisce una verifica legale né la classificazione ufficiale, che spetta esclusivamente all’ACN. È pensato per orientarsi rapidamente e capire se e come approfondire.
