In breve. Nel settore «Infrastrutture digitali» rientrano di regola le grandi imprese come soggetti essenziali; per medie e piccole la qualifica dipende dalla tipologia di servizio.
Quali attività sono comprese
- IXP
- DNS
- Registri TLD
- Cloud computing
- Data center
- CDN
- Servizi fiduciari
- Reti pubbliche di comunicazione
- Servizi di comunicazione accessibili al pubblico
Essenziale o importante: dipende dalla dimensione
| Dimensione | Qualifica |
|---|---|
| Grande impresa | Essenziale |
| Media impresa | Dipende dalla tipologia |
| Piccola o micro impresa | Dipende dalla tipologia |
Nota. DNS, TLD e servizi fiduciari qualificati: essenziali a prescindere dalle dimensioni. Telecomunicazioni: essenziali anche se medie; piccole in ambito. Vedere art. 3 c. 5 e art. 6 c. 1.
Dimensione calcolata secondo la Raccomandazione 2003/361/CE, a livello di gruppo. Non sei sicuro? Fai la verifica ambito.
Cosa comporta
- Soggetto importante: 37 misure e 87 requisiti di base, incidenti significativi IS-1, IS-2 e IS-3, controlli ex post, sanzione massima 7 milioni di euro o 1,4% del fatturato mondiale.
- Soggetto essenziale: 43 misure e 116 requisiti, anche IS-4, ispezioni preventive, sanzione massima 10 milioni di euro o 2% del fatturato mondiale.
- Per tutti: registrazione sul portale ACN, punto di contatto e referente CSIRT, aggiornamento annuale, notifica degli incidenti e responsabilità del vertice.
Categorizzazione: quale modello
Per la categorizzazione di attività e servizi (1 maggio – 30 giugno), il settore usa il modello dell'Allegato 2 della Det. ACN 155238/2026: la macro-area logistica ha impatto pre-assegnato minimo. Come funziona la categorizzazione.
Priorità pratiche nel settore
Per le infrastrutture digitali la qualifica dipende molto dalla tipologia: DNS, registri TLD e servizi fiduciari qualificati sono essenziali a prescindere dalle dimensioni, e le telecomunicazioni hanno regole proprie. Alcuni fornitori digitali sono soggetti anche ai requisiti tecnici del Regolamento di esecuzione (UE) 2024/2690. I prestatori di servizi fiduciari inviano la notifica entro 24 ore.
Misure da guardare per prime
- DE.CM-01: Monitoraggio e rilevamento degli incidenti
- RS.MA-01: Piano di gestione degli incidenti
- PR.PS-02: Aggiornamenti e patch management
- ID.RA-08: Piano di gestione delle vulnerabilità
Domande frequenti
Chi opera nel settore «Infrastrutture digitali» rientra nella NIS2?
Di regola rientrano le medie e le grandi imprese: grande impresa = soggetto essenziale, media impresa = dipende dalla tipologia. Le piccole e micro imprese: dipende dalla tipologia.
Come si calcola la dimensione?
Con la Raccomandazione 2003/361/CE: un'impresa è almeno media da 50 dipendenti, oppure se supera sia 10 milioni di fatturato sia 10 milioni di bilancio; è grande da 250 dipendenti, oppure se supera sia 50 milioni di fatturato sia 43 milioni di bilancio. Si sommano le quote di imprese associate e collegate.
Cosa bisogna fare se si rientra?
Registrarsi sul portale ACN tra il 1° gennaio e il 28 febbraio, designare punto di contatto e referente CSIRT, attuare le misure di sicurezza di base (37 per gli importanti, 43 per gli essenziali), notificare gli incidenti significativi, aggiornare ogni anno le informazioni e categorizzare attività e servizi.
Sintesi della tabella ACN 'Dettaglio ambiti di applicazione' e degli Allegati del D.Lgs. 138/2024. Le priorità pratiche sono indicazioni editoriali. La qualifica la stabilisce ACN.