Inquadramento normativo, campo di applicazione e size-cap rule, tassonomia dei soggetti obbligati e regime sanzionatorio: la lettura corretta del D.Lgs. 138/2024 per chi deve rispondere della conformità in azienda.
Condividi su LinkedInLa direttiva (UE) 2022/2555, la NIS2, adottata il 14 dicembre 2022, ha abrogato la direttiva NIS del 2016 e ha introdotto un quadro armonizzato di cybersicurezza per l'Unione Europea, ampliando in modo significativo la platea dei soggetti obbligati e inasprendo sia le responsabilità del management sia il regime sanzionatorio. In Italia la direttiva è stata recepita con il decreto legislativo 4 settembre 2024, n. 138, entrato in vigore il 16 ottobre 2024, che estende la disciplina a diciotto settori e oltre ottanta tipologie di soggetti pubblici e privati.
Questo white paper è la prima parte di una guida operativa più ampia alla NIS2. Copre in modo completo l'inquadramento normativo generale (Capitolo 1) e il criterio di identificazione dei soggetti obbligati, la cosiddetta size-cap rule, insieme al quadro sanzionatorio (Capitolo 2). I capitoli successivi — governance e responsabilità del management, misure di gestione del rischio, notifica degli incidenti, sicurezza della supply chain, vigilanza, roadmap operativa e mappatura ISO/IEC 27001 — sono in sviluppo e verranno pubblicati nei prossimi aggiornamenti di questo documento.
Il punto centrale che emerge già da questa prima parte: il criterio dimensionale di ingresso nel perimetro NIS2 è disgiuntivo, non congiuntivo. Basta superare una sola soglia — 50 dipendenti oppure 10 milioni di euro di fatturato o bilancio — per rientrare negli obblighi, a parità di settore. È una differenza che amplia in modo sostanziale la platea delle aziende coinvolte rispetto a una lettura congiunta del criterio, ed è la prima cosa da verificare in qualsiasi assessment di conformità.
Negli ultimi due decenni la trasformazione digitale delle infrastrutture critiche e dei processi industriali ha cambiato radicalmente la superficie d'attacco delle organizzazioni. La diffusione delle architetture cloud, l'integrazione tra sistemi IT e sistemi OT/ICS e la crescita dell'Internet delle Cose hanno prodotto un livello di interconnessione senza precedenti, ma anche una fragilità nuova.
Le minacce informatiche di oggi non sono più episodi isolati. Parliamo di operazioni condotte da gruppi ransomware organizzati, da reti di criminalità informatica transnazionale e, in alcuni casi, da attori riconducibili a Stati, con finalità di spionaggio industriale o di sabotaggio sistemico. L'Unione Europea ha riconosciuto che il blocco di una singola infrastruttura critica in uno Stato membro può propagarsi rapidamente, con conseguenze economiche, sociali e geopolitiche sull'intero mercato unico.
La prima direttiva sulla sicurezza delle reti e dei sistemi informativi, la direttiva NIS del 2016, ha rappresentato il primo passo verso un livello comune di cybersicurezza in Europa. La sua attuazione ha però mostrato limiti strutturali:
Per superare questi limiti, la direttiva (UE) 2022/2555, la NIS2, adottata il 14 dicembre 2022 dal Parlamento europeo e dal Consiglio, ha abrogato la direttiva del 2016 e ha introdotto un quadro armonizzato, ampliando la platea dei soggetti obbligati e inasprendo sia le responsabilità del management sia il regime sanzionatorio.
La NIS2 non opera da sola, ma è parte di una strategia europea più ampia:
In Italia la direttiva NIS2 è stata recepita con il decreto legislativo 4 settembre 2024, n. 138, pubblicato in Gazzetta Ufficiale n. 230 del 1° ottobre 2024 ed entrato in vigore il 16 ottobre 2024. Il decreto si compone di 44 articoli e 4 allegati e abroga il precedente decreto legislativo 65/2018, che a suo tempo aveva recepito la direttiva NIS del 2016. Il legislatore italiano ha ampliato in modo significativo il perimetro soggettivo, estendendo la disciplina a diciotto settori — undici ad alta criticità e sette critici — e oltre ottanta tipologie di soggetti pubblici e privati, comprese le pubbliche amministrazioni fino al livello locale.
Il decreto conferma l'Agenzia per la Cybersicurezza Nazionale, l'ACN, quale Autorità nazionale competente NIS e Punto di contatto unico, ai sensi dell'articolo 8, paragrafo 1, della direttiva (UE) 2022/2555. L'ACN è affiancata da nove Ministeri che svolgono il ruolo di Autorità di settore per i rispettivi ambiti di competenza.
Il CSIRT Italia, che opera all'interno dell'ACN, è il punto di riferimento operativo per la gestione tecnica degli incidenti: riceve le notifiche obbligatorie, monitora le minacce su scala nazionale, emette bollettini di allertamento e coopera con la rete europea dei CSIRT.
Sul piano attuativo, i soggetti rientranti nel perimetro hanno dovuto registrarsi sulla piattaforma digitale dell'ACN in una prima finestra compresa tra il 1° dicembre 2024 e il 28 febbraio 2025, con obbligo di aggiornamento entro il 28 febbraio di ogni anno successivo. A fine 2025 risultavano registrate oltre 30.000 organizzazioni. Le determinazioni ACN pubblicate nel corso del 2025, in particolare la determinazione n. 379907/2025 e le relative linee guida, hanno definito gli obblighi tecnici e organizzativi puntuali richiesti ai soggetti essenziali e importanti.
Termini operativi da presidiare. La procedura interna di notifica degli incidenti deve essere effettivamente esigibile dai primi mesi del 2026, con ruoli assegnati e tempistiche compatibili con i termini di 24 e 72 ore. Le misure di sicurezza di base devono essere operative e documentalmente dimostrabili entro il 31 ottobre 2026 per i soggetti già in elenco. Dal 2026 la NIS2 non è più un progetto da impostare ma un obbligo da dimostrare in sede di verifica.
La NIS2 elimina la discrezionalità che gli Stati membri avevano nella selezione delle aziende soggette, introducendo la cosiddetta size-cap rule. La direttiva si applica in via generale a tutte le organizzazioni, pubbliche o private, che operano nei settori elencati negli Allegati I e II e che raggiungono almeno la dimensione di media impresa ai sensi della Raccomandazione 2003/361/CE.
Sul piano tecnico, l'articolo 3, comma 2, del decreto legislativo 138/2024 àncora il test dimensionale al superamento dei massimali previsti per le piccole imprese. Poiché una piccola impresa è definita come impresa con meno di 50 occupati e con un fatturato annuo o un totale di bilancio annuo non superiore a 10 milioni di euro, il perimetro NIS2 si attiva quando viene superata anche una sola di queste soglie.
Il criterio, quindi, è disgiuntivo e non congiunto. Un soggetto rientra nel perimetro, se opera in un settore degli Allegati I o II, quando ricorre almeno una delle due condizioni seguenti:
In concreto, un'azienda con 45 dipendenti ma 12 milioni di euro di fatturato è comunque soggetta alla NIS2, perché supera il massimale finanziario della piccola impresa. Ai fini della qualificazione tra soggetti essenziali e importanti si distinguono poi le medie imprese, fino a 250 occupati e fino a 50 milioni di fatturato o 43 milioni di totale di bilancio, dalle grandi imprese che superano tali soglie.
Perché questa distinzione conta. Una lettura congiunta del criterio — più di 50 dipendenti e oltre 10 milioni di fatturato contemporaneamente — è un errore comune ma sostanziale: restringe indebitamente la platea dei soggetti obbligati. La lettura corretta, disgiuntiva, in linea con l'articolo 3, comma 2, del decreto e con la definizione di piccola impresa della Raccomandazione 2003/361/CE, amplia in modo significativo il numero di aziende che devono adeguarsi.
Il calcolo di dipendenti, fatturato e bilancio non si arresta al perimetro della singola società. La Raccomandazione impone di considerare anche le imprese associate e collegate, per cui una PMI controllata da un grande gruppo può rientrare nel perimetro per effetto del consolidamento dei dati a livello di gruppo.
Il criterio dimensionale, infine, conosce eccezioni rilevanti. Alcune categorie rientrano nella disciplina indipendentemente dalla dimensione, per la criticità intrinseca del servizio offerto: tra queste i prestatori di servizi fiduciari, i gestori di registri dei nomi di dominio di primo livello e i fornitori di servizi di sistema dei nomi di dominio (DNS). Restano inoltre applicabili criteri funzionali che possono attrarre nel perimetro anche soggetti sotto soglia, per esempio quando il soggetto sia l'unico fornitore di un servizio critico in uno Stato membro o quando un'eventuale interruzione avrebbe impatto sistemico.
La corretta collocazione di un soggetto tra essenziali e importanti non è un mero esercizio classificatorio, perché determina l'intensità della vigilanza e il massimale delle sanzioni. Il decreto 138/2024 costruisce un sistema differenziato per categoria, descritto nella tabella al paragrafo successivo.
Oltre alle sanzioni pecuniarie, l'ACN può disporre misure correttive obbligatorie, audit di sicurezza e, nei casi più gravi e limitatamente ai soggetti essenziali, la sospensione temporanea dell'attività. Va sottolineato il profilo di responsabilità personale: gli organi di amministrazione e direzione approvano le misure di gestione del rischio, ne sovrintendono l'attuazione e rispondono delle violazioni, con obbligo di formazione specifica per i vertici e di promozione di programmi formativi per il personale.
| Categoria | Sanzione amministrativa | In alternativa |
|---|---|---|
| Soggetti essenziali | fino a 10 milioni di euro | se superiore, fino al 2% del fatturato annuo mondiale dell'esercizio precedente |
| Soggetti importanti | fino a 7 milioni di euro | se superiore, fino all'1,4% del fatturato annuo mondiale |
A questo si aggiungono, per i soggetti essenziali nei casi più gravi, la possibilità di sospensione temporanea dell'attività e la responsabilità personale degli organi di amministrazione e direzione, con obbligo di formazione specifica per i vertici.
Questa prima parte del white paper copre in modo completo l'inquadramento normativo (Capitolo 1) e il criterio di identificazione dei soggetti obbligati con il relativo regime sanzionatorio (Capitolo 2). Gli aggiornamenti successivi di questo documento svilupperanno sul testo integrale del decreto 138/2024 i seguenti capitoli:
Una nota sulla numerazione: i riferimenti agli articoli della direttiva (UE) 2022/2555 non coincidono con la numerazione del decreto legislativo 138/2024, dove gli stessi obblighi sono collocati in articoli diversi. Nella pratica operativa vanno sempre citate le disposizioni del decreto italiano, che sono quelle direttamente esigibili verso i soggetti obbligati.
Verifichiamo insieme la size-cap rule applicata al tuo caso, la corretta classificazione tra soggetti essenziali e importanti e i passi concreti per una gap analysis. Il framework completo, con governance, misure di rischio e roadmap in dieci fasi, arriverà nei prossimi aggiornamenti di questo white paper.
Richiedi una gap analysis gratuitaGestisci il consenso per categoria. I cookie tecnici sono sempre attivi perché necessari al funzionamento del sito. Gli altri restano disattivati finché non li abiliti.
Necessari per la navigazione e le funzioni base (es. preferenza lingua e tema). Non richiedono consenso.
Statistiche aggregate sull'uso del sito (es. Google Analytics) per migliorarne i contenuti.
Cookie di profilazione e contenuti incorporati da terze parti (es. social, video, mappe).