NIS2: il perimetro si allarga?

04 mag NIS2: il perimetro si allarga?

Soggetti destinatari, soglie di applicazione e scadenze: un quadro orientativo in un contesto normativo ancora in evoluzione.

La Direttiva (UE) 2022/2555 — comunemente nota come NIS2 — appare destinata a ridisegnare in misura significativa il perimetro degli obblighi di cybersecurity per un ampio numero di organizzazioni operanti nell’Unione europea. Recepita in Italia con il D.Lgs. 138/2024, la disciplina solleva questioni applicative che, allo stato attuale, sembrano ancora in parte aperte.

Un perimetro soggettivo più ampio del previsto?

Rispetto alla precedente Direttiva NIS, il legislatore europeo ha optato per un’estensione considerevole del novero dei destinatari. La NIS2 distingue tra soggetti “essenziali” e soggetti “importanti”, operando una classificazione che potrebbe rivelarsi meno intuitiva di quanto appaia in prima lettura.

Rientrerebbero nella categoria dei soggetti essenziali — a mero titolo di esempio — gli operatori attivi nei settori dell’energia, dei trasporti, delle infrastrutture digitali, del settore bancario e delle infrastrutture dei mercati finanziari, della sanità e delle acque. I soggetti importanti comprenderebbero, tra gli altri, i servizi postali e di corriere, la gestione dei rifiuti, la produzione e distribuzione di alcune categorie di prodotti, nonché i fornitori di servizi digitali.

Il criterio dimensionale costituirebbe, in linea generale, il principale filtro di applicazione: la Direttiva si rivolgerebbe tendenzialmente alle medie e grandi imprese, individuate sulla base di soglie di fatturato e di organico. Tuttavia, l’art. 2 del D.Lgs. 138/2024 prevede talune eccezioni che potrebbero estendere gli obblighi anche a realtà di dimensioni inferiori, qualora ritenute critiche per la fornitura di determinati servizi. La valutazione caso per caso appare pertanto ineludibile.

Nota operativa — La qualificazione come soggetto essenziale o importante non discenderebbe automaticamente dal settore di attività, ma potrebbe dipendere da ulteriori elementi, tra cui il ruolo effettivo nella catena di fornitura e la rilevanza sistemica dell’organizzazione. Un’analisi preventiva appare opportuna prima di assumere di non rientrare nell’ambito applicativo.

Gli adempimenti: essenziali e importanti a confronto?

La distinzione tra le due categorie non rileva soltanto ai fini classificatori, ma potrebbe produrre conseguenze concrete sul piano degli obblighi sostanziali e del regime sanzionatorio applicabile. La Determinazione ACN n. 379907/2025 — in vigore dal 15 gennaio 2026, che abroga e sostituisce la precedente n. 164179/2025 — ha definito con maggiore precisione le misure di sicurezza di base, differenziandole tra le due categorie: i soggetti essenziali sarebbero tenuti ad adottare un insieme più ampio di misure rispetto ai soggetti importanti, secondo quanto stabilito rispettivamente negli Allegati 2 e 1 della medesima Determinazione.

Va precisato che il contenuto specifico di ciascun adempimento potrebbe essere ulteriormente definito dalle linee guida attuative dell’ACN, ancora in corso di emanazione. Le misure elencate devono pertanto essere intese come un quadro di riferimento orientativo, suscettibile di precisazioni e/o possibili modifiche in sede applicativa.

Nota operativa — La differenza tra le due categorie non riguarderebbe soltanto l’intensità degli obblighi, ma anche il regime di vigilanza: i soggetti essenziali sembrerebbero esposti a controlli proattivi da parte dell’ACN, mentre per i soggetti importanti la vigilanza si attiverebbe prevalentemente a seguito di incidenti o segnalazioni. I riferimenti tecnici sono gli Allegati 1 e 2 della Determinazione ACN n. 379907/2025, suscettibile di ulteriori aggiornamenti.

Il registro e la questione delle scadenze: un quadro orientativo?

L’Agenzia per la Cybersicurezza Nazionale (ACN) è stata designata quale autorità competente ai fini dell’attuazione della disciplina in Italia. Tra i principali adempimenti previsti figura l’obbligo di registrazione sulla piattaforma ACN: la prima finestra di iscrizione si sarebbe chiusa il 28 febbraio 2025, con le comunicazioni ufficiali di inserimento nell’elenco avviate dall’ACN a partire dal 12 aprile 2025. Da quella data decorrerebbero i termini individuali per ciascun soggetto.

Le scadenze operative — calcolate dalla ricezione della comunicazione di inserimento — si articolerebbero come segue: entro 9 mesi (orientativamente gennaio 2026) diverrebbero operative le notifiche obbligatorie degli incidenti significativi; entro 18 mesi (orientativamente ottobre 2026) dovrebbero essere adottate le misure tecniche e organizzative di base previste dalla Determinazione ACN n. 379907/2025.

Va osservato che il quadro delle scadenze operative appare ancora suscettibile di precisazioni, in quanto l’ACN sta progressivamente emanando linee guida settoriali aggiuntive. In determinate circostanze, le tempistiche effettive potrebbero risultare differenti a seconda della data in cui ciascun soggetto ha ricevuto la comunicazione di inserimento nell’elenco.

Nota operativa — Le scadenze non sarebbero uniformi per tutti i soggetti, ma decorrerebbero individualmente dalla ricezione della comunicazione ACN. Per i soggetti inseriti nell’elenco per la prima volta nel 2026, i termini applicabili potrebbero risultare diversi. Appare opportuno verificare la propria posizione specifica sulla piattaforma ACN.

Le implicazioni organizzative: una sfida di governance?

Al di là degli adempimenti formali, la NIS2 sembra orientata a produrre effetti strutturali sull’assetto interno delle organizzazioni. Non è infrequente che la gestione della cybersecurity e quella della compliance operino, nelle realtà aziendali, su binari distinti, con metodologie che riflettono le specificità di ciascuna funzione. La Direttiva potrebbe rendere necessaria, in taluni contesti, una maggiore integrazione tra tali ambiti.

La responsabilità degli organi di amministrazione in relazione all’approvazione e supervisione delle misure di sicurezza sembrerebbe destinata ad assumere un rilievo crescente nell’interpretazione delle autorità competenti — con possibili ricadute anche sul piano della responsabilità personale degli amministratori.

Il perimetro applicativo della NIS2 e le sue implicazioni operative restano, allo stato attuale, oggetto di un’elaborazione normativa e interpretativa non ancora consolidata. Un approccio prudente — che valuti con anticipo l’eventuale soggezione alla disciplina e pianifichi gli adeguamenti necessari — appare preferibile all’attesa di un quadro definitivo che potrebbe non giungere in tempi brevi.

Avv. Domenico Balestra