La maggior parte delle micro e piccole imprese italiane resta fuori dal perimetro NIS2 — ma non è una regola automatica legata solo al bilancio. Se operi in uno dei 18 settori degli Allegati I e II, o rientri tra le categorie escluse dal plafond dimensionale (art. 6 D.Lgs. 138/2024), gli obblighi si applicano comunque. Vediamo come capirlo davvero.
Le soglie dimensionali: dipendenti E (fatturato O bilancio)
Il D.Lgs. 138/2024 rinvia, per la definizione di PMI, ai criteri della Raccomandazione 2003/361/CE (Allegato, art. 2). Il punto che quasi tutti sbagliano: il criterio degli effettivi è obbligatorio, ma per i due criteri economici basta soddisfarne uno solo, non entrambi.
| Categoria | Dipendenti | Fatturato annuo | Totale di bilancio annuo |
|---|---|---|---|
| Microimpresa | < 10 | ≤ 2 milioni € | ≤ 2 milioni € |
| Piccola impresa | < 50 | ≤ 10 milioni € | ≤ 10 milioni € |
| Media impresa | < 250 | ≤ 50 milioni € | ≤ 43 milioni € |
Nota il 43 milioni per il bilancio della media impresa: non è un errore di stampa, ed è diverso dal tetto di fatturato. Sotto queste soglie, in linea di principio, la direttiva non si applica (art. 6, comma 1, D.Lgs. 138/2024). Ma esistono due correttivi che possono farti rientrare comunque, e sono l'oggetto delle prossime due sezioni.
Esempio pratico: uno studio di consulenza con 30 dipendenti e 4 milioni di fatturato annuo rientra nella categoria piccola impresa. Se non opera in uno dei settori elencati negli Allegati I o II e non compare tra le categorie del paragrafo successivo, resta fuori da NIS2 anche nel 2026, a prescindere da quanti clienti pubblici abbia in portafoglio.
Le categorie sempre soggette, a prescindere dalla dimensione
L'art. 6, comma 2 del D.Lgs. 138/2024 (che recepisce l'art. 2 §2 lett. a) della direttiva 2022/2555) individua chi resta dentro NIS2 anche sotto ogni soglia:
- fornitori di reti pubbliche di comunicazione elettronica o di servizi di comunicazione elettronica accessibili al pubblico;
- prestatori di servizi fiduciari qualificati;
- gestori di registri di nomi di dominio di primo livello (TLD) e fornitori di servizi DNS;
- soggetti critici individuati ai sensi del decreto di recepimento della direttiva CER 2022/2557;
- pubbliche amministrazioni centrali elencate nell'Allegato III;
- soggetti individuati direttamente dall'ACN, incluso il caso dell'unico fornitore nazionale di un servizio essenziale per il mantenimento di attività sociali o economiche fondamentali.
Un fornitore regionale di connettività internet accessibile al pubblico, con 6 dipendenti e 900 mila euro di fatturato, è comunque soggetto: rientra tra i fornitori di servizi di comunicazione elettronica dell'art. 6 comma 2, indipendentemente da quanto piccola sia l'azienda.
Attenzione a un equivoco molto diffuso: cloud computing, data center e CDN non fanno parte di questo elenco. Sono servizi dell'Allegato I ("infrastrutture digitali") e restano soggetti al plafond dimensionale come qualsiasi altro settore. Se gestisci un data center con 8 dipendenti e 1,5 milioni di fatturato, resti — di norma — fuori da NIS2.
Allegato I o Allegato II: il settore pesa più della taglia
Superare le soglie PMI non basta a dirti se sarai "essenziale" o "importante": conta anche in quale dei 18 settori NIS2 operi (11 dell'Allegato I, alta criticità + 7 dell'Allegato II, altri settori critici). L'art. 6 del D.Lgs. 138/2024 incrocia le due variabili così:
| Settore e dimensione | Classificazione NIS2 |
|---|---|
| Allegato I, sopra le soglie di media impresa | Essenziale |
| Allegato I, di dimensione media impresa | Importante |
| Allegato II, qualsiasi dimensione (anche grande impresa) | Importante — mai essenziale per la sola taglia |
| Categorie escluse dal plafond (art. 6, c. 2) | Essenziale o importante secondo la classificazione specifica, indipendentemente dalla dimensione |
La distinzione non è cosmetica: le sanzioni dell'art. 38 D.Lgs. 138/2024 sono diverse per le due categorie (fino a 10 milioni di euro o il 2% del fatturato mondiale per gli essenziali, fino a 7 milioni o l'1,4% per gli importanti, si applica il valore più elevato). Per il dettaglio delle sanzioni e di come evitarle, vedi la pagina dedicata su sanzioni NIS2 e responsabilità. Per un quadro d'insieme su ambito, soggetti e obblighi, resta valida la guida completa alla direttiva NIS2.
Se sei soggetto: registrazione, obblighi e scadenze 2026
La registrazione dei nuovi soggetti avviene in una finestra precisa: dal 1° gennaio al 28 febbraio di ogni anno, sulla piattaforma portale.acn.gov.it (procedura descritta su acn.gov.it), come previsto dall'art. 7 D.Lgs. 138/2024 e dalla Determinazione ACN n. 379887/2025, aggiornata dalla n. 127437/2026. L'elenco ufficiale dei soggetti NIS viene poi pubblicato entro il 31 marzo. Chi è già iscritto, invece, deve limitarsi a un aggiornamento annuale dei dati (IP pubblici, domini, referenti) tra il 15 aprile e il 31 maggio: sono due finestre diverse, non la stessa scadenza.
Una volta soggetto, gli obblighi principali sono:
- Misure di sicurezza di base: policy di gestione del rischio, gestione degli incidenti, backup, crittografia, MFA;
- Formazione dell'organo di amministrazione, obbligatoria ai sensi dell'art. 23 D.Lgs. 138/2024;
- Punto di contatto designato verso ACN e CSIRT Italia — vedi come nominare il punto di contatto NIS2;
- Notifica degli incidenti al CSIRT Italia (la struttura operativa dell'ACN) in tre fasi previste dall'art. 25: pre-notifica entro 24 ore, notifica con valutazione iniziale entro 72 ore, e relazione finale entro 1 mese (o report intermedi mensili se la gestione dell'incidente è ancora in corso). Il dettaglio del processo è nella pagina sul registro degli incidenti NIS2.
"Esente" non significa "senza obblighi": la trappola della supply chain
Anche se la tua PMI resta formalmente fuori da NIS2, il decreto non si ferma al tuo perimetro. I soggetti essenziali e importanti devono gestire il rischio della propria catena di fornitura — e lo fanno scaricandolo contrattualmente sui fornitori. In pratica, se lavori per un'azienda soggetta, aspettati clausole che richiedono MFA, procedure di gestione incidenti, notifica di violazioni o audit di sicurezza, anche se sulla carta resti esente.
Un caso concreto rende la cosa tangibile: una ditta di manutenzione impianti con 15 dipendenti, subappaltatrice di un ospedale pubblico, non diventa soggetto essenziale solo per questo. Ma se l'ospedale la inserisce nel proprio registro dei fornitori critici, può imporle contrattualmente requisiti equivalenti a quelli previsti per i suoi soggetti regolati — piani di continuità operativa, test periodici di vulnerabilità — a prescindere dal suo stato formale davanti alla legge. Per capire cosa ti aspetta oltre l'esenzione, la pagina sugli obblighi NIS2 per le PMI approfondisce il tema.
Checklist: la tua PMI è soggetta a NIS2?
- ☐ Appartieni a uno dei 18 settori degli Allegati I o II (energia, trasporti, sanità, acque, banche, digitale…)? Se no, sei quasi certamente fuori da NIS2, a prescindere dalla dimensione.
- ☐ Sei fornitore di reti o servizi di comunicazione elettronica pubblica, prestatore di servizi fiduciari qualificati, gestore di TLD/DNS, soggetto critico CER, PA centrale, o designato dall'ACN? → Soggetto a prescindere dalla dimensione (art. 6, c. 2).
- ☐ Appartieni all'Allegato I e superi le soglie di media impresa (≥ 250 dipendenti, oppure fatturato > 50M€ e bilancio > 43M€)? → Essenziale.
- ☐ Sei di dimensione media impresa (Allegato I o II), oppure grande impresa ma nell'Allegato II? → Importante.
- ☐ Hai ricevuto comunicazione da ACN dopo la finestra di registrazione (1° gennaio–28 febbraio)? → Verifica il tuo stato sull'elenco pubblicato entro il 31 marzo: gli obblighi decorrono da lì.
Se una o più caselle sono spuntate, la checklist operativa completa per metterti in regola è nella guida su come prepararsi a NIS2 nel 2026.