// Allegato I · settori ad alta criticità
NIS2 · Servizi ICT gestiti (MSP e MSSP)
La gestione dei servizi TIC business-to-business è il settore 9 dell'Allegato I: comprende i fornitori di servizi gestiti (MSP) e i fornitori di servizi di sicurezza gestiti (MSSP). È il settore che più interessa le aziende di assistenza informatica, perché le porta dentro la NIS2 non come fornitori dei clienti, ma come soggetti in prima persona.
In breve: essenziale o importante
Grande impresa (250 dipendenti o più, oppure fatturato oltre 50 milioni di euro e bilancio oltre 43 milioni): soggetto essenziale. Media impresa (da 50 a 249 dipendenti, oppure fatturato e bilancio oltre 10 milioni): soggetto importante. Piccole e microimprese restano fuori, salvo i casi che valgono a qualsiasi dimensione.
Chi rientra: le tipologie di soggetto
Gestione dei servizi TIC (business-to-business)
- Fornitori di servizi gestiti (MSP): chi gestisce per conto delle aziende reti, server, postazioni, applicazioni o infrastrutture
- Fornitori di servizi di sicurezza gestiti (MSSP): chi offre alle aziende servizi di sicurezza gestiti, come monitoraggio, rilevamento e risposta agli incidenti
Da sapere su questo settore
La soglia è quella dell'Allegato I: un MSP da 50 dipendenti in su, oppure con fatturato e bilancio annuo entrambi oltre 10 milioni di euro, rientra come soggetto importante; da grande impresa è essenziale.
Anche sotto soglia, un fornitore IT può essere coinvolto in due modi: come impresa collegata a un soggetto essenziale o importante, se ne gestisce i sistemi o ne fa le operazioni di sicurezza (art. 3, comma 10), e soprattutto come fornitore della catena di approvvigionamento dei clienti, che devono valutarne la sicurezza (art. 24).
Per un MSP gli obblighi riguardano i propri sistemi e quelli da cui dipende il servizio: accessi privilegiati ai clienti, strumenti di gestione remota, backup e procedure di risposta agli incidenti diventano il cuore delle misure.
Cosa fare se rientri
Verifica categoria e dimensioni. Controlla in quale tipologia di soggetto rientri e confronta dipendenti, fatturato e bilancio con le soglie della Raccomandazione 2003/361/CE, contando anche le imprese associate e collegate.
Registrati sulla piattaforma dell'ACN. Dal 1° gennaio al 28 febbraio di ogni anno i soggetti NIS2 si registrano o aggiornano la registrazione sul portale dell'ACN (art. 7). Entro il 31 marzo l'ACN redige l'elenco e comunica l'inserimento; dal 15 aprile al 31 maggio si completano i dati.
Applica le misure di sicurezza di base. Le misure ACN sono diverse per soggetti essenziali e importanti: le trovi spiegate nella guida a obblighi e misure di sicurezza, con le date nella pagina delle scadenze.
Prepara la gestione degli incidenti. Pre-notifica entro 24 ore, notifica entro 72 ore e relazione finale entro un mese: la procedura è nella guida su incident response e supply chain, con i modelli da scaricare.
Domande frequenti
Un'azienda di assistenza informatica è soggetta alla NIS2?
Sì, se fornisce servizi gestiti o di sicurezza gestiti ad altre aziende e supera la soglia della piccola impresa (da 50 dipendenti, oppure fatturato e bilancio oltre 10 milioni di euro).
Un MSP piccolo può comunque avere obblighi?
Non come soggetto NIS2, salvo individuazione dell'ACN o i casi dell'impresa collegata (art. 3, comma 10). Ma i clienti soggetti NIS2 gli chiederanno garanzie di sicurezza, perché devono gestire il rischio dei fornitori.
Un MSP è essenziale o importante?
Importante se media impresa, essenziale se grande impresa, come tutto l'Allegato I.
Vuoi capire se la tua organizzazione rientra?
Parti dall'autovalutazione gratuita sulle misure ACN, oppure parliamone.
Gli altri settori
Le altre guide NIS2
Aggiornata al 4 novembre 2026, sul testo del D.Lgs. 138/2024 pubblicato nella Gazzetta Ufficiale n. 230 del 1° ottobre 2024. Le regole possono cambiare: per il tuo caso verifica il testo in vigore e le comunicazioni sul portale NIS dell'ACN. La classificazione definitiva la decide l'ACN.
Tag