// Chi rientra
NIS2 settore per settore
Il D.Lgs. 138/2024 elenca in quattro allegati i settori e le tipologie di soggetti a cui si applica. Qui trovi ogni settore spiegato a partire dal testo di legge: chi rientra, quando si è essenziali o importanti, cosa fare.
Le regole in due righe
Allegato I · settori ad alta criticità
Grande impresa (250 dipendenti o più, oppure fatturato oltre 50 milioni di euro e bilancio oltre 43 milioni): soggetto essenziale. Media impresa (da 50 a 249 dipendenti, oppure fatturato e bilancio oltre 10 milioni): soggetto importante. Piccole e microimprese restano fuori, salvo i casi che valgono a qualsiasi dimensione.
Allegato II · altri settori critici
Medie e grandi imprese (da 50 dipendenti in su, oppure fatturato e bilancio annuo entrambi oltre 10 milioni di euro): soggetti importanti. Diventano essenziali solo se l'ACN li individua come tali. Piccole e microimprese restano fuori, salvo i casi che valgono a qualsiasi dimensione.
Allegato III · pubbliche amministrazioni
Le pubbliche amministrazioni dell'Allegato III rientrano a qualsiasi dimensione. Le amministrazioni centrali sono sempre soggetti essenziali; le altre sono soggetti importanti, salvo che l'ACN le individui come essenziali.
Allegato IV · ulteriori soggetti
I soggetti dell'Allegato IV rientrano a qualsiasi dimensione, ma solo se l'ACN li individua su proposta delle autorità di settore e lo notifica: non basta appartenere alla categoria.
Tutti i settori
| Settore | Allegato | Chi rientra |
|---|---|---|
| Energia | I | imprese elettriche, distributori e trasmissione, produttori, punti di ricarica, teleriscaldamento, petrolio, gas e idrogeno secondo l'Allegato I del… |
| Trasporti | I | vettori aerei, gestori aeroportuali, controllo del traffico aereo, ferrovie, compagnie di navigazione, porti e autorità stradali secondo l'Allegato I… |
| Banche e mercati finanziari | I | Enti creditizi, sedi di negoziazione e controparti centrali sono nell'Allegato I del D.Lgs. 138/2024, ma per gestione del rischio e notifica degli… |
| Sanità | I | prestatori di assistenza sanitaria, laboratori di riferimento UE, ricerca sui medicinali, fabbricazione di farmaci e dispositivi critici, secondo… |
| Acqua potabile e acque reflue | I | fornitori e distributori di acqua potabile e imprese che raccolgono, smaltiscono o trattano acque reflue, settori 6 e 7 dell'Allegato I del D.Lgs.… |
| Infrastrutture digitali | I | punti di interscambio internet, DNS, registri TLD, cloud computing, data center, CDN, servizi fiduciari e comunicazioni elettroniche, con i casi che… |
| Servizi ICT gestiti (MSP e MSSP) | I | chi rientra, quando si è essenziali e cosa cambia per chi fa assistenza IT alle… |
| Spazio | I | Operatori di infrastrutture terrestri, possedute, gestite e operate dagli Stati membri o da privati, che sostengono la fornitura di servizi spaziali, esclusi i fornitori di reti pubbliche di comunicazione elettronica. |
| Gestione dei rifiuti | II | le imprese che si occupano della gestione dei rifiuti sono nell'Allegato II del D.Lgs. 138/2024, escluse quelle per cui non è l'attività economica… |
| Sostanze chimiche | II | imprese che fabbricano o distribuiscono sostanze e miscele e che producono articoli da sostanze o miscele (regolamento REACH), secondo l'Allegato II… |
| Alimenti | II | le imprese alimentari che si occupano di distribuzione all'ingrosso e di produzione industriale e trasformazione sono nell'Allegato II del D.Lgs.… |
| Fabbricazione (manifattura) | II | dispositivi medici e diagnostici in vitro, computer ed elettronica, apparecchiature elettriche, macchinari, autoveicoli e altri mezzi di trasporto… |
| Fornitori di servizi digitali | II | mercati online, motori di ricerca, piattaforme di social network e servizi di registrazione dei nomi di dominio, settore 6 dell'Allegato II del… |
| Servizi postali e di corriere | II | Fornitori di servizi postali come definiti dalla direttiva 97/67/CE, compresi i fornitori di servizi di corriere. |
| Ricerca | II | Organizzazioni di ricerca. |
| Pubblica amministrazione | III | amministrazioni centrali (sempre essenziali), regioni, città metropolitane, comuni sopra 100.000 abitanti e capoluoghi di regione, ASL e altri enti… |
| Trasporto locale, istruzione, cultura e società pubbliche | IV | trasporto pubblico locale, istituti di istruzione che fanno ricerca, attività di interesse culturale e società in house, partecipate e a controllo… |
I casi che valgono a qualsiasi dimensione
La soglia della piccola impresa non vale per tutti. L'art. 3 del decreto porta dentro, qualunque sia la dimensione: i soggetti critici della direttiva (UE) 2022/2557; i fornitori di reti pubbliche e di servizi di comunicazione elettronica; i prestatori di servizi fiduciari; i gestori di registri TLD, i fornitori di DNS e di registrazione dei nomi di dominio; le pubbliche amministrazioni dell'Allegato III; i soggetti dell'Allegato IV individuati dall'ACN.
L'ACN può inoltre individuare soggetti di tutti gli allegati anche sotto soglia, per esempio se sono l'unico fornitore nazionale di un servizio essenziale, se una loro interruzione avrebbe un impatto significativo sulla sicurezza o la salute pubblica, o se sono un elemento sistemico della catena di approvvigionamento di altri soggetti NIS2. E rientra anche l'impresa collegata che gestisce i sistemi o la sicurezza di un soggetto essenziale o importante.
Per la differenza fra soggetti essenziali e importanti in termini di misure, vigilanza e sanzioni c'è la guida chi deve adeguarsi alla NIS2.
Domande frequenti
Come capisco se la mia azienda rientra nella NIS2?
Si incrociano due cose: il settore e la tipologia di soggetto, negli Allegati I-IV del D.Lgs. 138/2024, e le dimensioni. Per gli Allegati I e II servono almeno 50 dipendenti, oppure fatturato e bilancio annuo entrambi oltre 10 milioni di euro, salvo i casi che valgono a qualsiasi dimensione.
Qual è la differenza fra Allegato I e Allegato II?
L'Allegato I elenca i settori ad alta criticità: le grandi imprese sono soggetti essenziali, le medie importanti. L'Allegato II elenca gli altri settori critici: medie e grandi imprese sono soggetti importanti, salvo diversa individuazione dell'ACN.
Chi rientra a qualsiasi dimensione?
Fra gli altri: i fornitori di reti e servizi di comunicazione elettronica, i prestatori di servizi fiduciari, i gestori di registri TLD e i fornitori di DNS, i fornitori di registrazione dei nomi di dominio, i soggetti critici, le pubbliche amministrazioni dell'Allegato III e i soggetti individuati dall'ACN (art. 3, commi 5-10).
Un'impresa sotto i 50 dipendenti può avere obblighi NIS2?
Sì, nei casi dell'art. 3: se l'ACN la individua (per esempio perché è l'unico fornitore di un servizio essenziale o un elemento sistemico della catena di approvvigionamento) o se è un'impresa collegata che gestisce sistemi o sicurezza di un soggetto NIS2.
Vuoi capire se la tua organizzazione rientra?
Parti dall'autovalutazione gratuita sulle misure ACN, oppure parliamone.
Le altre guide NIS2
Aggiornata al 4 novembre 2026, sul testo del D.Lgs. 138/2024 pubblicato nella Gazzetta Ufficiale n. 230 del 1° ottobre 2024. Le regole possono cambiare: per il tuo caso verifica il testo in vigore e le comunicazioni sul portale NIS dell'ACN. La classificazione definitiva la decide l'ACN.
Tag