Chi deve adeguarsi

In breve. Di regola rientrano le medie e grandi organizzazioni dei settori elencati negli Allegati I e II del decreto. Alcuni soggetti rientrano a prescindere dalle dimensioni. La responsabilità di capire se si è in ambito e di registrarsi spetta all'organizzazione.

Le tre domande

1. In quale settore operi? Si guarda agli Allegati I, II, III e IV.
2. Quanto sei grande? Si usa la raccomandazione 2003/361/CE.
3. Rientri in un caso speciale? Alcune categorie entrano comunque.

Settori, in sintesi

Allegato I, settori altamente critici: energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi TIC B2B, spazio.

Allegato II, altri settori critici: servizi postali e di corriere, gestione dei rifiuti, sostanze chimiche, alimenti, fabbricazione, fornitori di servizi digitali, ricerca.

Allegato III: pubbliche amministrazioni centrali, regionali, locali e altri enti.

Allegato IV: trasporto pubblico locale, istituti di istruzione con attività di ricerca, attività di interesse culturale, società in house e partecipate, solo se individuati dall'Autorità.

Nota sul conteggio. ACN parla di 18 settori, 11 altamente critici e 7 critici. L'Allegato I del decreto ne elenca 10, perché la PA è trattata nell'Allegato III. L'undicesimo corrisponde alla PA dell'elenco europeo.

Dimensioni e qualifica

Riferimenti indicativi: un'impresa è almeno media se ha da 50 dipendenti in su, oppure se supera sia 10 milioni di fatturato sia 10 milioni di bilancio; è grande se ha da 250 dipendenti in su, oppure se supera sia 50 milioni di fatturato sia 43 milioni di bilancio. Per il calcolo vale l'art. 2 della raccomandazione 2003/361/CE, che combina i parametri, compresi quelli delle imprese associate e collegate.

Chi rientra a prescindere dalle dimensioni

• Soggetti critici ai sensi della direttiva CER.
• Fornitori di reti pubbliche e di servizi di comunicazione elettronica accessibili al pubblico.
• Prestatori di servizi fiduciari.
• Gestori di registri TLD e fornitori di servizi DNS.
• Fornitori di servizi di registrazione dei nomi di dominio.
• PA delle categorie dell'Allegato III.
• Soggetti individuati dall'Autorità perché, ad esempio, unici fornitori nazionali di un servizio essenziale, o elementi sistemici di una filiera (art. 3 c. 9).

Gruppi e imprese collegate

• Calcolo dimensionale. Di norma si considerano le imprese associate e collegate (art. 3 c. 4).
• Clausola di salvaguardia. Si può chiedere di non considerare il gruppo quando il calcolo non è proporzionato, tenuto conto dell'indipendenza dei sistemi e dei servizi. I criteri sono nel DPCM 221/2024.
• Imprese collegate. Una società collegata può rientrare a prescindere dalle dimensioni se decide sulla sicurezza di un soggetto NIS, ne gestisce sistemi, ne svolge le operazioni di sicurezza o gli fornisce servizi TIC (art. 3 c. 10).

Essenziale o importante: cosa cambia

Fuori ambito ma coinvolti

Molte PMI non rientrano nella NIS ma ne sentono gli effetti. I clienti NIS devono valutare i fornitori e inserire requisiti di sicurezza nei contratti, quindi possono chiedere misure, dichiarazioni e verifiche. La notifica volontaria al CSIRT Italia è aperta anche a soggetti fuori ambito (art. 26).

Errori frequenti

• Considerare solo il codice ATECO senza verificare l'attività effettiva.
• Dimenticare il calcolo a livello di gruppo.
• Pensare di essere esclusi perché «non si è un'azienda informatica».
• Aspettare una lettera di ACN: la registrazione è a iniziativa del soggetto.