Sono soggetto NIS2? I casi limite: gruppi, fornitori IT, servizi infragruppo

Il perimetro del decreto NIS — il recepimento italiano di NIS2, il d.lgs. 138/2024 — in astratto è noto: allegati I e II, soglia dimensionale, autoidentificazione. Lo coprono la nostra guida operativa al d.lgs. 138/2024 e la timeline del perimetro. Le decisioni difficili stanno altrove: la holding che non sa se la sua società informatica conti, il rivenditore che si considera un intermediario, la filiale italiana di un gruppo estero. Le FAQ dell’Agenzia per la Cybersicurezza Nazionale affrontano questi casi: qui i nove casi che decidono la risposta, con quanto scrive ACN.

«Il nostro codice ATECO non è nell’elenco»

Non esiste un elenco. In linea con la direttiva 2022/2555, il decreto «non distingue, in linea generale, i settori, sottosettori e le tipologie di soggetti ricompresi nell’ambito di applicazione in base ai codici ATECO o NACE». Dove il legislatore ha voluto usare quella classificazione l’ha richiamata espressamente, come nel settore sanitario per i fabbricanti di prodotti farmaceutici di base e preparati farmaceutici (sezione C, divisione 21 della NACE Rev. 2). Lo stesso vale, nel settore Fabbricazione, per cinque sottosettori: per ciascuno la FAQ richiama «qualsiasi attività economica (a livello di gruppo, classe, categoria o sottocategoria)» elencata nella sezione C alla divisione corrispondente del codice NACE/ATECO.

L’ultima riga è la trappola: dispositivi medici e IVD stanno nello stesso punto 5 ma non sono ancorati ad alcuna divisione, perché definiti per rinvio ai regolamenti (UE) 2017/745 e 2017/746, con esclusione dei fabbricanti già coperti dall’allegato I, punto 5, quinto trattino. «Fabbricazione uguale divisioni ATECO» vale per cinque sottosettori su sei.

Fuori da queste tipologie il ragionamento va rovesciato: «non è possibile determinare l’ambito di applicazione sulla base dei codici ATECO o NACE». Conta ciò che l’organizzazione «svolge/eroga effettivamente allo stato attuale»; oggetto sociale e codici in visura sono «indicativi e non sono tassativi». Con un’avvertenza: dove la tipologia è individuata per espresso richiamo del codice NACE, ACN scrive che l’ambito si determina sui codici della visura camerale, a prescindere dall’esercizio effettivo dell’attività. Lo dice per la divisione 21; le FAQ sulla Fabbricazione non lo ripetono.

«Quell’attività per noi è marginale»

Non rileva. ACN scrive che «salvo tre eccezioni, la riconducibilità prescinde dalla prevalenza dell’attività svolta dal soggetto» e che si rientra «anche qualora svolga solo in forma residuale attività riconducibili alle tipologie di soggetto» degli allegati.

Le tre eccezioni stanno nel testo delle tipologie: Acque reflue e Acqua potabile (allegato I) escludono le imprese per cui quelle attività sono parte non essenziale dell’attività generale; Gestione rifiuti (allegato II) esclude quelle per cui la gestione dei rifiuti non è la principale attività economica. Solo qui ACN spiega come si misura la marginalità, con il criterio di prevalenza: l’attività non è principale se il fatturato che ne deriva non supera quello delle altre attività della stessa organizzazione. Fuori da questi tre settori, obiettare che l’attività pesa poco sul giro d’affari non è un argomento.

«Siamo trenta persone, siamo fuori»

Le soglie sono quelle della raccomandazione 2003/361/CE, che ACN legge insieme alla Guida dell’utente alla definizione di PMI pubblicata dalla Commissione europea nel 2020: micro sotto 10 occupati e 2 milioni di euro di fatturato o bilancio; piccole sotto 50 occupati e 10 milioni; medie sotto 250 occupati, con fatturato fino a 50 milioni oppure bilancio fino a 43 milioni. Il criterio degli effettivi va sempre soddisfatto, i due parametri contabili sono alternativi e basta che uno rientri; se si supera anche solo il numero di effettivi si sale di categoria.

Per chi sta in un gruppo il punto decisivo è un altro: il calcolo di effettivi, fatturato e bilancio «tenga conto delle imprese associate o collegate» (articolo 6, paragrafo 2, dell’allegato alla raccomandazione). Trenta persone consolidate con la controllante possono diventare una media o una grande impresa.

La via d’uscita prevista dal decreto è la clausola di salvaguardia dell’articolo 3, comma 4, i cui criteri sono fissati dal DPCM 9 dicembre 2024, n. 221, pubblicato in Gazzetta Ufficiale il 10 febbraio 2025: disapplica il consolidamento e può declassare l’organizzazione da grande a media impresa, con potenziali impatti sulla qualifica di essenziale o importante, oppure da media a piccola, con potenziali impatti sulla riconducibilità all’ambito di applicazione.

Il declassamento, da solo, non basta a uscire. Restano dentro a qualsiasi dimensione le tipologie che l’articolo 3, comma 5, elenca a prescindere dalle soglie: fornitori di reti pubbliche di comunicazione elettronica e di servizi di comunicazione elettronica accessibili al pubblico, prestatori di servizi fiduciari, gestori di registri di nomi di dominio di primo livello, fornitori di servizi DNS, fornitori di servizi di registrazione di nomi di dominio. Lo stesso vale per chi è soggetto critico ai sensi del decreto CER. Una piccola impresa riconducibile a una di queste resta nel perimetro anche dopo il declassamento.

La clausola la chiede il Punto di contatto in registrazione, dichiarando i criteri del DPCM (totale indipendenza dei sistemi e dei servizi NIS da quelli delle imprese del gruppo, non applicabilità dell’articolo 3, comma 10) e indicando dipendenti, fatturato e bilancio senza consolidamento; l’esito arriva con la notifica dell’articolo 7, comma 3.

Le preclusioni sono nette: niente clausola per le imprese autonome, che non hanno nulla da disapplicare, né per chi è attratto dall’articolo 3, comma 10; e nessuna concessione se i sistemi o i servizi NIS dipendono da quelli del gruppo «anche solo in forma residuale». Basta una dipendenza residuale perché la clausola sia negata.

«Siamo la società informatica del gruppo, e siamo micro»

Qui opera l’articolo 3, comma 10, che attrae nell’ambito, indipendentemente dalle dimensioni, le imprese associate o collegate a un soggetto essenziale o importante. ACN riformula la norma in quattro criteri, di cui basta che ne ricorra uno. Adottano decisioni o esercitano influenza dominante sulle decisioni relative alle misure di gestione del rischio per la sicurezza informatica; detengono o gestiscono i sistemi da cui dipende la fornitura dei suoi servizi; ne effettuano le operazioni di sicurezza informatica; gli forniscono servizi TIC o di sicurezza, anche gestiti.

Per i servizi TIC infragruppo ACN scioglie il caso in tre presupposti cumulativi: l’organizzazione non supera i massimali della piccola impresa, svolge quelle attività verso un’impresa collegata, e quell’impresa è un soggetto essenziale o importante. Al ricorrere dei tre la società IT di gruppo rientra anche se micro; sopra soglia rientra due volte, come soggetto del settore «Gestione dei servizi TIC» e ai sensi del comma 10. Ai fini dell’ambito «non sono distinte le attività e i servizi svolti a favore di organizzazioni dello stesso gruppo» da quelli resi a terzi: un solo cliente, interno, non è un’attenuante.

Due limiti. Il comma 10 vale solo verso soggetti NIS nazionali: se la società servita non è soggetta al decreto italiano, non è rilevante. In registrazione va dichiarato verso quali soggetti del gruppo si soddisfano i criteri, e la piattaforma consente di indicare che si è soggetto NIS unicamente in forza del comma 10. Da notare che la FAQ sui servizi infragruppo delle Infrastrutture digitali non richiama il comma 10: su quel caso la fonte non si pronuncia.

«Noi rivendiamo, non forniamo»

ACN ripete la stessa regola tre volte — servizi gestiti e di sicurezza gestiti, infrastrutture digitali come il cloud, servizi digitali: broker, reseller e rivenditori «sono assimilabili ai fornitori qualora l’infrastruttura digitale dell’organizzazione concorra alla fornitura del servizio medesimo», cioè quando può avere impatti sul servizio offerto ai clienti. Rientrano anche quelli che, nel mediare la fornitura, «assolvono alla funzione di help desk o service desk tecnici nel contesto della rivendita». Resta fuori chi svolge la sola attività di marketing e amministrativa contabile o contrattualistica: è l’help desk o il service desk tecnico nel contesto della rivendita a spostare il rivenditore dentro. I servizi mediati, comunque, restano in capo a fornitori a loro volta soggetti alla direttiva 2022/2555.

Un caso a sé sono i registrar: loro e gli agenti che agiscono per loro conto rientrano a qualsiasi dimensione, compresi gli intermediari che non svolgono attività tecnica ma raccolgono le informazioni necessarie ad acquistare un nome di dominio. Ai sensi dell’articolo 32, se non svolgono altre attività in ambito, non si applicano loro gli obblighi sulle misure di sicurezza (articolo 24) e sulle notifiche di incidente (articolo 25); restano registrazione (articolo 7), organi di amministrazione e direttivi (articolo 23) e banche dei dati dei nomi di dominio (articolo 29).

«Facciamo assistenza IT, quindi siamo dentro»

Questo è l’unico criterio del set che restringe. Per «assistenza o amministrazione attiva» ACN intende i servizi di installazione, gestione, funzionamento o manutenzione di prodotti, reti, infrastrutture, applicazioni TIC o di qualsiasi altro sistema informativo e di rete, svolti «tramite una interconnessione diretta tra la rete del fornitore e quella del cliente». Gli esempi, non esaustivi, sono tre: domini federati; accesso remoto tramite dispositivi del fornitore; collegamento alla rete del cliente di propri dispositivi attivi, diversi da quelli oggetto dell’assistenza. Non rientra chi opera «su dispositivi messi a disposizione dal cliente stesso» o si limita a istruire il personale del cliente, a voce o per scritto, né la rivendita di prodotti TIC senza installazione o manutenzione.

Sopra questa soglia stanno le tipologie descritte dalle FAQ per il settore «Gestione dei servizi TIC», altamente critico (allegato I, punto 9). I fornitori di servizi gestiti coprono l’installazione di prodotti, l’aggiornamento di configurazioni, software o firmware, la gestione di software o piattaforme, il monitoraggio e l’amministrazione. I fornitori di servizi di sicurezza gestiti hanno invece un elenco non esaustivo che comprende:

• SOC e CSOC, NOC, CERT;
• MDR, IDS e IPS, EDR e XDR;
• SIEM;
• vulnerability assessment, penetration test e red teaming.

Sono soggetti importanti, essenziali sopra i massimali per le medie imprese. Anche l’assistenza post-vendita su prodotti audio-video vi ricade, se comporta interventi su sistemi informativi e di rete «anche in forma di teleassistenza».

Chi eroga servizi gestiti a soggetti NIS senza esserlo subisce solo gli obblighi contrattuali dei clienti, non la supervisione dell’Autorità.

«Siamo la filiale italiana di un gruppo estero»

Il decreto si applica alle organizzazioni che soddisfano i criteri dell’articolo 3 e sono stabilite sul territorio nazionale, comprese quelle di diritto di altri Stati membri e quelle di diritto extra-UE. E poiché si applica alle singole persone giuridiche, nei gruppi multinazionali — europei con filiali in Italia o italiani con filiali all’estero — vale, salvo specifiche eccezioni, «solo alle persone giuridiche del gruppo (legal entities / filiali) stabilite in Italia».

Quali siano quelle «specifiche eccezioni» la fonte non lo dice. L’articolo 5 ne disciplina però due che rilevano qui. La prima riguarda i fornitori di reti pubbliche di comunicazione elettronica e di servizi di comunicazione elettronica accessibili al pubblico, soggetti alla giurisdizione congiunta di tutti gli Stati membri in cui offrono servizi. La seconda riguarda le tipologie digitali dello stesso articolo — DNS, registri di primo livello, registrar, cloud, data center, CDN, servizi gestiti e di sicurezza gestiti, mercati online, motori di ricerca, social network — per le quali vale lo Stato dello stabilimento principale nell’Unione e, in mancanza, quello del rappresentante designato.

Sullo stabilimento principale ACN precisa il punto che nei gruppi fa la differenza: va individuato fra le sedi della singola persona giuridica, senza che rilevino le imprese collegate.

Non confondete i due piani: la giurisdizione guarda alla singola persona giuridica, il calcolo dimensionale tiene conto delle imprese associate o collegate.

Consorzi, associazioni di categoria, ordini professionali

Il decreto non si applica alle aggregazioni in quanto tali, ma alle persone giuridiche che le compongono: la società consortile che gestisce i sistemi dei consorziati va valutata come qualunque fornitore, perché le attività rese all’interno del consorzio non sono distinte da quelle rese a terzi.

Le associazioni datoriali, territoriali o di settore non rientrano automaticamente: va valutato se i servizi offerti alle imprese associate siano riconducibili alle tipologie degli allegati I e II — un’associazione rientra se eroga, per esempio, servizi cloud, servizi gestiti o servizi da registrar e soddisfa i criteri dimensionali dell’articolo 3. E anche un’organizzazione senza scopo di lucro può rientrare. Ordini e collegi professionali non figurano fra le amministrazioni pubbliche dell’allegato III, ma possono rientrare per le attività effettivamente svolte: ACN raccomanda un’autovalutazione approfondita sulle attività rese agli associati «anche in via meramente secondaria o residuale» rispetto ai settori «Gestione dei servizi TIC» e «Infrastrutture digitali».

Quale fatturato conta se le attività sono diverse

Alla domanda se si debba considerare il fatturato derivante esclusivamente dalle attività che ricadono nell’ambito, ACN risponde in due righe: «No, salvo il caso in cui il decreto NIS preveda tale possibilità». La soglia si misura sull’impresa, non sul ramo: chi supera i massimali della piccola impresa grazie a un’attività estranea agli allegati resta una media impresa anche rispetto al piccolo ramo che lo porta dentro il perimetro. Le uniche misurazioni per ramo descritte dalle FAQ sono quelle di acqua, acque reflue e rifiuti, e dicono se quell’attività è principale, non quanto è grande l’impresa.

Cosa fare con questo elenco

Sotto NIS2 l’onere di riconoscersi è del soggetto: i criteri si applicano in autonomia, con autoidentificazione e registrazione sulla piattaforma di ACN (articolo 7, comma 1), e le FAQ settoriali ricordano che la registrazione va effettuata o aggiornata entro il 28 febbraio di ogni anno. La distinzione fra essenziali e importanti (articolo 6 del d.lgs. 138/2024) non cambia il fatto di essere dentro: serve all’applicazione proporzionale degli obblighi e ai poteri ispettivi e sanzionatori.

Conviene ribaltare l’ordine delle domande: prima l’inventario delle attività e dei servizi effettivamente erogati, ramo per ramo, incluse le residuali; poi la riconducibilità di ciascuna a una tipologia degli allegati; poi il calcolo dimensionale consolidato e l’eventuale clausola di salvaguardia; alla fine l’articolo 3, comma 10, per ogni società del gruppo che tocchi i sistemi o la sicurezza di un soggetto NIS nazionale. Se la risposta è che siete dentro, si parte dalle misure e dalle evidenze da produrre e dalla formazione degli organi di amministrazione.

Se l’autovalutazione si ferma su uno di questi nove casi — un gruppo da consolidare, una società IT interna, una rivendita con supporto tecnico — il passo successivo è documentare la decisione, non rimandarla. È il lavoro che facciamo con l’assistenza cybersecurity gestita: se volete un confronto sul vostro perimetro NIS2, contattaci.

Domande frequenti

Esiste un elenco di codici ATECO che stabilisce chi è soggetto al decreto NIS?

No. ACN chiarisce che il decreto, in linea con la direttiva 2022/2555, non distingue in linea generale i settori e le tipologie di soggetto in base ai codici ATECO o NACE. Dove il legislatore ha voluto usare quella classificazione l’ha richiamata espressamente: la divisione 21 della sezione C (prodotti farmaceutici di base e preparati farmaceutici) e le divisioni 26, 27, 28, 29 e 30 nel settore Fabbricazione. Fuori da queste tipologie non è possibile determinare l’ambito di applicazione sulla base dei codici ATECO o NACE.

Un’attività che per noi è marginale ci fa rientrare nel perimetro?

Sì. Secondo ACN la riconducibilità alle tipologie degli allegati prescinde dalla prevalenza dell’attività svolta: un soggetto rientra anche se svolge quelle attività solo in forma residuale. Le eccezioni sono tre e tassative — Acque reflue, Gestione rifiuti e Acqua potabile — e in quei casi l’esclusione si misura con il criterio di prevalenza del fatturato.

La nostra società informatica di gruppo ha meno di 10 dipendenti: è fuori dal perimetro?

Non necessariamente. L’articolo 3, comma 10, del d.lgs. 138/2024 attrae nell’ambito, indipendentemente dalle dimensioni, le imprese collegate o associate che forniscono a un soggetto essenziale o importante del gruppo servizi TIC o di sicurezza, anche gestiti, oppure che gestiscono i sistemi da cui dipende la fornitura dei suoi servizi. Per i servizi TIC infragruppo ACN indica tre presupposti cumulativi: non superare i massimali previsti per la piccola impresa, svolgere quelle attività verso un’impresa collegata, e che quell’impresa sia un soggetto essenziale o importante.

Siamo rivenditori di servizi cloud e gestiti, non fornitori: rientriamo?

Dipende da cosa fa la vostra infrastruttura. Broker, reseller e rivenditori sono assimilabili ai fornitori quando la propria infrastruttura digitale concorre alla fornitura del servizio, e rientrano anche quando svolgono funzioni di help desk o service desk tecnico nel contesto della rivendita. Resta fuori chi svolge la sola attività di marketing e amministrativa contabile o contrattualistica.

Facciamo assistenza IT: siamo automaticamente fornitori di servizi gestiti?

No, e questo è il criterio che restringe. ACN richiede una interconnessione diretta fra la rete del fornitore e quella del cliente: domini federati, accesso remoto tramite dispositivi del fornitore, collegamento di propri dispositivi attivi alla rete del cliente. Non rientra chi opera su dispositivi messi a disposizione dal cliente o si limita a dare istruzioni al personale del cliente, a voce o per scritto.

La filiale italiana di un gruppo estero è soggetta al decreto NIS?

Il decreto si applica alle singole persone giuridiche stabilite sul territorio nazionale, comprese quelle di diritto di altri Stati membri o extra-UE. Nei gruppi multinazionali, salvo specifiche eccezioni, si applica solo alle persone giuridiche stabilite in Italia, non alle collegate stabilite altrove. La fonte non specifica quali siano queste eccezioni; l’articolo 5 ne disciplina due che rilevano qui: la giurisdizione congiunta per reti e servizi di comunicazione elettronica e il criterio dello stabilimento principale per le tipologie digitali.

Per la soglia dimensionale conta solo il fatturato delle attività in ambito NIS?

No. Alla domanda se si debba considerare il fatturato derivante esclusivamente dalle attività che ricadono nell’ambito, ACN risponde «No, salvo il caso in cui il decreto NIS preveda tale possibilità». La soglia si misura sull’impresa nel suo complesso, e nei gruppi il calcolo tiene conto delle imprese associate o collegate.

Fonte: Agenzia per la Cybersicurezza Nazionale, FAQ NIS - acn.gov.it e settori, sottosettori e tipologie di soggetto, consultate il 27 agosto 2026. Questo articolo ne descrive il contenuto e non costituisce interpretazione autentica.