// Allegato I · settori ad alta criticità
NIS2 · Sanità
Il settore sanitario è nell'Allegato I e ha un perimetro ampio: non solo chi presta assistenza sanitaria, ma anche chi fa ricerca sui medicinali, chi fabbrica prodotti farmaceutici e chi produce dispositivi medici considerati critici durante un'emergenza di sanità pubblica. Le Aziende sanitarie locali rientrano invece come pubbliche amministrazioni (Allegato III).
In breve: essenziale o importante
Grande impresa (250 dipendenti o più, oppure fatturato oltre 50 milioni di euro e bilancio oltre 43 milioni): soggetto essenziale. Media impresa (da 50 a 249 dipendenti, oppure fatturato e bilancio oltre 10 milioni): soggetto importante. Piccole e microimprese restano fuori, salvo i casi che valgono a qualsiasi dimensione.
Chi rientra: le tipologie di soggetto
Settore sanitario
- Prestatori di assistenza sanitaria: come definiti dalla direttiva 2011/24/UE: chi presta legalmente assistenza sanitaria, pubblico o privato
- Laboratori di riferimento dell'UE: come definiti dal regolamento (UE) 2022/2371
- Soggetti che fanno ricerca e sviluppo sui medicinali: come definiti dalla direttiva 2001/83/CE
- Fabbricanti di prodotti farmaceutici di base e preparati farmaceutici: sezione C, divisione 21 della NACE Rev. 2
- Fabbricanti di dispositivi medici critici in emergenza: quelli dell'elenco previsto dall'art. 22 del regolamento (UE) 2022/123
Da sapere su questo settore
Gli altri fabbricanti di dispositivi medici e di dispositivi medico-diagnostici in vitro non sono qui: stanno nell'Allegato II, settore fabbricazione, come soggetti importanti.
In sanità la NIS2 si somma al GDPR: un incidente che coinvolge dati sanitari può richiedere sia la notifica al CSIRT Italia, nei tempi del decreto, sia la notifica al Garante per la protezione dei dati personali entro 72 ore (art. 33 GDPR). Il decreto lascia ferma la disciplina sulla protezione dei dati (art. 3, comma 11).
Le Aziende sanitarie locali sono elencate fra le amministrazioni locali dell'Allegato III e rientrano a qualsiasi dimensione.
Cosa fare se rientri
Verifica categoria e dimensioni. Controlla in quale tipologia di soggetto rientri e confronta dipendenti, fatturato e bilancio con le soglie della Raccomandazione 2003/361/CE, contando anche le imprese associate e collegate.
Registrati sulla piattaforma dell'ACN. Dal 1° gennaio al 28 febbraio di ogni anno i soggetti NIS2 si registrano o aggiornano la registrazione sul portale dell'ACN (art. 7). Entro il 31 marzo l'ACN redige l'elenco e comunica l'inserimento; dal 15 aprile al 31 maggio si completano i dati.
Applica le misure di sicurezza di base. Le misure ACN sono diverse per soggetti essenziali e importanti: le trovi spiegate nella guida a obblighi e misure di sicurezza, con le date nella pagina delle scadenze.
Prepara la gestione degli incidenti. Pre-notifica entro 24 ore, notifica entro 72 ore e relazione finale entro un mese: la procedura è nella guida su incident response e supply chain, con i modelli da scaricare.
Domande frequenti
Una clinica privata rientra nella NIS2?
Sì, se è un prestatore di assistenza sanitaria e supera la soglia della piccola impresa (da 50 dipendenti, oppure fatturato e bilancio oltre 10 milioni di euro): da grande impresa è essenziale, da media importante.
Le ASL sono soggetti NIS2?
Sì: le Aziende sanitarie locali sono nell'Allegato III fra le amministrazioni locali e rientrano a qualsiasi dimensione.
Chi produce dispositivi medici è essenziale o importante?
Dipende dal tipo: i fabbricanti di dispositivi critici in emergenza (regolamento (UE) 2022/123) sono nell'Allegato I; gli altri fabbricanti di dispositivi medici e diagnostici in vitro sono nell'Allegato II, quindi soggetti importanti.
Vuoi capire se la tua organizzazione rientra?
Parti dall'autovalutazione gratuita sulle misure ACN, oppure parliamone.
Gli altri settori
Le altre guide NIS2
Aggiornata al 4 novembre 2026, sul testo del D.Lgs. 138/2024 pubblicato nella Gazzetta Ufficiale n. 230 del 1° ottobre 2024. Le regole possono cambiare: per il tuo caso verifica il testo in vigore e le comunicazioni sul portale NIS dell'ACN. La classificazione definitiva la decide l'ACN.
Tag