// Allegato I · settori ad alta criticità
NIS2 · Banche e mercati finanziari
Il settore bancario e quello delle infrastrutture dei mercati finanziari sono nell'Allegato I, ma con una regola tutta loro: l'art. 3, comma 14, del decreto stabilisce che per questi soggetti non si applicano l'art. 17 e i Capi IV e V, perché vale il regolamento DORA (UE) 2022/2554 sulla resilienza operativa digitale.
In breve: essenziale o importante
Grande impresa (250 dipendenti o più, oppure fatturato oltre 50 milioni di euro e bilancio oltre 43 milioni): soggetto essenziale. Media impresa (da 50 a 249 dipendenti, oppure fatturato e bilancio oltre 10 milioni): soggetto importante. Piccole e microimprese restano fuori, salvo i casi che valgono a qualsiasi dimensione.
Chi rientra: le tipologie di soggetto
Settore bancario
- Enti creditizi: come definiti dal regolamento (UE) n. 575/2013: banche e altri enti che raccolgono depositi e concedono credito
Infrastrutture dei mercati finanziari
- Gestori delle sedi di negoziazione: come definiti dalla direttiva 2014/65/UE
- Controparti centrali (CCP): come definite dal regolamento (UE) n. 648/2012
Da sapere su questo settore
Cosa cambia in pratica: i Capi IV e V del decreto contengono gli obblighi di gestione del rischio e di notifica degli incidenti e le regole su monitoraggio, vigilanza e sanzioni. Per banche e infrastrutture dei mercati finanziari queste parti sono sostituite dal regolamento DORA, che ha le sue misure e i suoi tempi di segnalazione.
Il decreto inoltre non si applica ai soggetti esentati dall'ambito di applicazione del regolamento DORA (art. 3, comma 15).
Per i fornitori IT del settore finanziario conta anche l'altra direzione: chi fornisce servizi TIC o di sicurezza gestiti a un soggetto essenziale o importante può rientrare nella NIS2 come impresa collegata (art. 3, comma 10) o come fornitore di servizi gestiti (Allegato I, settore 9).
Cosa fare se rientri
Verifica categoria e dimensioni. Controlla in quale tipologia di soggetto rientri e confronta dipendenti, fatturato e bilancio con le soglie della Raccomandazione 2003/361/CE, contando anche le imprese associate e collegate.
Registrati sulla piattaforma dell'ACN. Dal 1° gennaio al 28 febbraio di ogni anno i soggetti NIS2 si registrano o aggiornano la registrazione sul portale dell'ACN (art. 7). Entro il 31 marzo l'ACN redige l'elenco e comunica l'inserimento; dal 15 aprile al 31 maggio si completano i dati.
Applica il regolamento DORA. Per gestione del rischio informatico e segnalazione degli incidenti le banche e le infrastrutture dei mercati finanziari seguono il regolamento (UE) 2022/2554 (DORA) e le indicazioni delle autorità di vigilanza del settore.
Domande frequenti
Le banche devono applicare la NIS2 o DORA?
Per gestione del rischio, notifica degli incidenti, vigilanza e sanzioni vale DORA: l'art. 3, comma 14, del D.Lgs. 138/2024 esclude per gli enti creditizi e le infrastrutture dei mercati finanziari l'art. 17 e i Capi IV e V del decreto.
Le assicurazioni e le SGR sono nell'Allegato I?
No: il settore bancario dell'Allegato I comprende gli enti creditizi; le infrastrutture dei mercati finanziari comprendono sedi di negoziazione e controparti centrali. Altri soggetti finanziari hanno i propri obblighi sotto DORA.
Una software house che lavora per le banche è soggetta alla NIS2?
Può esserlo se fornisce servizi TIC gestiti o di sicurezza gestiti e supera le soglie dimensionali (Allegato I, settore 9), oppure come impresa collegata nei casi dell'art. 3, comma 10.
Vuoi capire se la tua organizzazione rientra?
Parti dall'autovalutazione gratuita sulle misure ACN, oppure parliamone.
Gli altri settori
Le altre guide NIS2
Aggiornata al 4 novembre 2026, sul testo del D.Lgs. 138/2024 pubblicato nella Gazzetta Ufficiale n. 230 del 1° ottobre 2024. Le regole possono cambiare: per il tuo caso verifica il testo in vigore e le comunicazioni sul portale NIS dell'ACN. La classificazione definitiva la decide l'ACN.
Tag