Soggetti essenziali e importanti NIS2: come capire in quale categoria rientri
La NIS2 distingue tra soggetti essenziali e importanti, con obblighi, vigilanza e sanzioni diversi. Ecco i criteri — settore e dimensione — per capire dove rientra la tua organizzazione.
La NIS2 non tratta tutti allo stesso modo. Distingue due categorie di soggetti — essenziali e importanti — con lo stesso nucleo di obblighi ma regimi di vigilanza e sanzioni diversi. Capire in quale rientri non è un dettaglio burocratico: cambia l'intensità dei controlli a cui sei esposto e le priorità con cui affrontare il percorso.
Due criteri: settore e dimensione
La classificazione nasce dall'incrocio di due fattori.
Il settore. Il D.Lgs 138/2024 distingue:
- Allegato I — settori ad alta criticità: energia, trasporti, banche, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi ICT, pubblica amministrazione, spazio.
- Allegato II — altri settori critici: servizi postali, gestione dei rifiuti, prodotti chimici, alimentare, fabbricazione (dispositivi medici, elettronica, macchinari, autoveicoli…), fornitori di servizi digitali, ricerca.
La dimensione. Si applica in generale la soglia della media impresa: almeno 50 addetti oppure fatturato/bilancio annuo superiore a 10 milioni di euro.
La logica di massima
Semplificando (le eccezioni esistono e vanno verificate):
- Grandi imprese che operano nei settori ad alta criticità (Allegato I) → tendenzialmente soggetti essenziali.
- Medie imprese nei settori Allegato I, e i soggetti dei settori Allegato II → tendenzialmente soggetti importanti.
- Alcune categorie sono incluse a prescindere dalla dimensione (per esempio determinati fornitori di infrastrutture o servizi digitali, la PA secondo i criteri del decreto), e possono essere designate essenziali dall'autorità.
La determinazione formale non è un'autovalutazione libera: passa dalla registrazione sul portale ACN e dalle successive comunicazioni dell'Agenzia.
Perché la differenza conta
Gli obblighi sostanziali — misure di gestione del rischio (art. 21) e notifica degli incidenti — sono gli stessi per entrambe le categorie. Ciò che cambia è il come vieni controllato:
| Soggetti essenziali | Soggetti importanti | |
|---|---|---|
| Vigilanza | Proattiva: ispezioni e verifiche anche preventive | Ex post: attivata da indizi di violazione |
| Sanzioni | Massimali più elevati | Massimali inferiori |
In pratica, per un soggetto essenziale il costo di farsi trovare impreparato è più alto e più probabile. Ma anche per un soggetto importante l'assenza di governance emerge nel momento peggiore: dopo un incidente.
Cosa fare, in entrambi i casi
La categoria cambia l'urgenza, non la sostanza. In tutti i casi il percorso parte dagli stessi passi: definire il perimetro, valutare i rischi, trattarli, documentare e — soprattutto — raccogliere evidenze che le misure siano davvero in campo. È il tema di readiness vs compliance, e il punto di partenza pratico è lo stesso per essenziali e importanti: capire onestamente dove sei.
Il Readiness Self-Assessment gratuito ti dà quella fotografia in cinque minuti. E se stai ancora inquadrando gli obblighi di base, parti da NIS2 per le PMI.
Questo contenuto ha finalità informative e non costituisce consulenza legale. L'inclusione nell'ambito NIS2 e la categoria di appartenenza dipendono da criteri normativi e dalla determinazione dell'ACN: verifica sempre i riferimenti ufficiali.