La NIS2 riguarda soggetti pubblici e privati individuati attraverso settori, attività, dimensioni e criteri specifici. Tra gli ambiti coinvolti rientrano energia, trasporti, sanità, infrastrutture digitali e determinate attività manifatturiere. L’appartenenza generica a un settore non è sufficiente per stabilire l’obbligo.

Per molte tipologie il criterio ordinario comprende medie e grandi imprese, ma esistono eccezioni che possono coinvolgere anche organizzazioni più piccole. La valutazione dimensionale richiede di considerare personale, fatturato, bilancio e, quando pertinente, rapporti con altre imprese: non basta contare i dipendenti.

La classificazione dipende dai criteri previsti dal decreto, non soltanto dalle dimensioni aziendali. Sono considerati importanti i soggetti inclusi nel perimetro che non rientrano tra quelli essenziali. Entrambe le categorie sono interessate dagli obblighi di sicurezza, con differenze nelle specifiche applicabili, nella vigilanza e nel regime sanzionatorio.

Gli obblighi comprendono misure tecniche, operative e organizzative proporzionate ai rischi. Riguardano, tra l’altro, politiche di sicurezza, gestione degli incidenti, continuità operativa, fornitori, vulnerabilità, accessi, formazione e verifica dell’efficacia delle misure.

Gli organi di amministrazione e direttivi devono approvare le modalità di attuazione delle misure, supervisionare gli adempimenti e seguire una formazione in materia di sicurezza informatica. Il percorso non può quindi essere affidato esclusivamente al reparto IT senza coinvolgere la direzione.

Le scadenze dipendono anche dall’anno di prima inclusione nell’elenco dei soggetti NIS. Non è corretto attribuire automaticamente la stessa data a tutte le organizzazioni.

I termini derivano dalle determinazioni ACN n. 379907/2025 e n. 127434/2026. Devono essere verificati insieme alle comunicazioni ricevute e agli altri adempimenti periodici applicabili.

Nel regime ordinario, dalla conoscenza dell’incidente significativo sono previste una pre-notifica entro 24 ore e una notifica entro 72 ore, senza ingiustificato ritardo. Le 72 ore non si aggiungono alle prime 24. La relazione finale è normalmente prevista entro un mese dalla notifica dell’incidente.

Sono previste disposizioni specifiche, anche per incidenti ancora in corso e per determinati prestatori di servizi fiduciari. La procedura aziendale deve quindi individuare chi valuta l’incidente e chi coordina le comunicazioni al CSIRT Italia.

Per determinate violazioni degli obblighi principali, il decreto prevede per i soggetti essenziali privati massimali fino a 10 milioni di euro oppure al 2% del fatturato annuo mondiale, se superiore. Per i soggetti importanti privati, fino a 7 milioni di euro oppure all’1,4%, se superiore.

Non sono importi applicati automaticamente a ogni attacco informatico. Il regime distingue le violazioni e prevede disposizioni specifiche anche per registrazione, comunicazioni e soggetti pubblici.

Non va confuso un attestato privato con l’assolvimento degli obblighi di legge. La disciplina non prevede un unico certificato aziendale che sostituisca tutti gli adempimenti NIS2; contempla invece, in specifiche condizioni, l’uso di schemi di certificazione per prodotti, servizi e processi informatici.

La ISO/IEC 27001 può fornire una base organizzativa utile per gestire la sicurezza delle informazioni, ma non determina automaticamente la conformità NIS2. Vanno verificati perimetro, requisiti e adempimenti ulteriori rispetto al sistema già implementato.

L’Allegato II comprende i fabbricanti di dispositivi medici e diagnostici in vitro, oltre a determinate categorie di produzione di macchinari e apparecchiature. Il ruolo dell’operatore e l’attività effettiva devono però essere verificati insieme agli altri criteri di applicabilità. Non tutti gli operatori di una filiera rientrano automaticamente nello stesso modo.

La valutazione della sicurezza dell’organizzazione deve essere coordinata con i processi aziendali pertinenti, senza confonderla con il percorso di marcatura CE dei prodotti.