Perché il manifatturiero pesa così tanto nella NIS2
Chiediamoci una cosa semplice: perché un impianto normativo pensato per reti e servizi digitali finisce per riguardare anche un costruttore di macchine utensili in Brianza o un produttore di componenti per l'automotive in Piemonte? La risposta sta nella natura stessa della produzione. Una linea di montaggio fermata da un ransomware non genera solo un disservizio informatico: ferma output fisico, rallenta la catena di fornitura a valle e, in certi casi, può incidere sulla sicurezza di chi lavora accanto ai macchinari. La Direttiva NIS2 ha inserito ampie fette del manifatturiero nell'Allegato II — gli "altri settori critici" — proprio per questo: non perché l'industria sia più esposta di altri comparti, ma perché lì un incidente si traduce quasi sempre in un danno fisico, non solo in un disservizio.
La mia azienda manifatturiera rientra? Il test in due passaggi
Non esiste un elenco nominale di aziende soggette alla NIS2: esiste un incrocio tra due condizioni distinte. La prima riguarda l'attività svolta, in pratica il codice ATECO dell'impresa. La seconda riguarda la dimensione aziendale. Se manca anche una sola delle due, si resta fuori dall'obbligo — indipendentemente da quanto, nella pratica, l'azienda sia davvero esposta al rischio cyber.
Primo filtro: il sottosettore secondo l'Allegato II
Il D.Lgs. 138/2024, recependo l'Allegato II della Direttiva NIS2, elenca sei sottosettori manifatturieri. Per cinque di essi il riferimento è la divisione NACE Rev.2, che a livello di divisione coincide con la classificazione ATECO usata in Italia (lo conferma Istat nella nota sull'aggiornamento Ateco2007); per i dispositivi medici il riferimento è invece la normativa di settore.
| Sottosettore manifatturiero | Codice ATECO / NACE Rev.2 | Esempi nel tessuto industriale italiano |
|---|---|---|
| Dispositivi medici e dispositivi medico-diagnostici in vitro | Regolamenti (UE) 2017/745 e 2017/746 (nessuna divisione NACE unica) | Protesi, apparecchiature diagnostiche, dispositivi IVD — distretto biomedicale mirandolese |
| Prodotti informatici, elettronici e ottici | C26 | Componentistica elettronica, strumentazione di misura, semiconduttori |
| Apparecchiature elettriche | C27 | Motori, trasformatori, cavi, quadri elettrici |
| Macchinari e apparecchiature n.c.a. | C28 | Macchine utensili, impiantistica, automazione industriale della Pianura Padana |
| Autoveicoli, rimorchi e semirimorchi | C29 | Automotive e componentistica, dalla filiera torinese a quella emiliana |
| Altri mezzi di trasporto | C30 | Cantieristica navale, materiale rotabile ferroviario, aeronautica |
Una precisazione poco citata altrove: i fabbricanti di dispositivi medici inclusi nell'elenco dei dispositivi critici per le emergenze di sanità pubblica non rientrano qui, ma nel settore sanità dell'Allegato I, con un regime di classificazione diverso. Vale la pena verificarlo caso per caso direttamente sul testo della Direttiva NIS2, più che fidarsi di una sintesi.
Secondo filtro: la soglia dimensionale
Anche quando il codice ATECO coincide, l'azienda deve raggiungere i parametri della media impresa definiti dalla Raccomandazione 2003/361/CE: almeno 50 dipendenti, oppure un fatturato annuo superiore a 10 milioni di euro e un totale di bilancio superiore a 10 milioni di euro. Sotto quella soglia, piccole e microimprese restano fuori dall'obbligo NIS2, salvo le eccezioni dimensione-indipendenti previste dalla direttiva. Chi è vicino al limite farebbe bene a leggere la pagina dedicata alle esenzioni e soglie per le PMI prima di dare per scontata l'esclusione.
Soggetto importante o essenziale? Nel manifatturiero, quasi sempre importante
Qui si fa spesso confusione. Nell'Allegato I, le grandi imprese diventano soggetti essenziali e quelle medie soggetti importanti. Nell'Allegato II — dove sta il manifatturiero — la logica è diversa: a prescindere dalla dimensione, media o grande, l'azienda resta normalmente un soggetto importante, non essenziale. Fanno eccezione i casi dimensione-indipendenti previsti dalla direttiva, come le entità già identificate come critiche ai sensi della direttiva CER, che restano comunque marginali per un produttore industriale tipico. Per inquadrare la propria posizione nel sistema complessivo, la pagina sui settori importanti della NIS2 resta il punto di partenza più solido.
La convergenza IT/OT: la vera specificità del manifatturiero
Negli uffici, un incidente informatico blocca le email o il gestionale. In fabbrica, blocca la produzione fisica — e a volte mette a rischio chi lavora accanto a un macchinario che smette di rispondere ai comandi previsti. È la convergenza IT/OT a rendere il manifatturiero un caso a parte rispetto a un servizio digitale qualsiasi. Le linee produttive sono governate da PLC, sistemi SCADA e piattaforme MES che per decenni sono rimasti isolati dalla rete aziendale; l'Industria 4.0 li ha connessi per ottenere efficienza e monitoraggio da remoto, esponendoli però agli stessi rischi di un server qualunque. Un controllore che pilota un robot di saldatura non si aggiorna come un portatile Windows: gira spesso su firmware di anni fa, con protocolli pensati per l'isolamento, non per la rete. Approfondire la sicurezza dei sistemi OT e industriali è quasi obbligatorio per chi deve tradurre la NIS2 in misure concrete su un impianto reale, non su un data center.
Le misure che contano davvero, senza legarsi a un fornitore
- Inventario unificato IT e OT — compresi i dispositivi legacy che nessuno ricorda più di avere in rete
- Segmentazione delle reti — zone IT, OT e DMZ industriale separate da apparati firewall dedicati
- Monitoraggio dedicato ai protocolli industriali, diverso dagli strumenti pensati per il solo traffico IT
- Backup dei sistemi critici, incluse le configurazioni dei PLC e i programmi dei robot — non solo i database
- Formazione specifica per i tecnici di produzione, che ragionano in termini di continuità più che di patch
- Un piano di continuità produttiva per restare operativi, anche in modalità degradata, durante un incidente
Queste priorità non sono un capriccio tecnico: rientrano, in forma più strutturata, tra le misure minime di sicurezza richieste dalla NIS2 a tutti i soggetti importanti ed essenziali, manifatturiero incluso.
Il calendario ACN: cosa scade quando
Superato il doppio filtro — settore e dimensione — restano gli obblighi operativi, e qui la NIS2 italiana ha un ritmo piuttosto preciso. Dal 1° gennaio al 28 febbraio di ogni anno, i soggetti che rientrano nell'ambito di applicazione si registrano o aggiornano la propria registrazione sulla piattaforma digitale di ACN, secondo quanto chiarito dalle FAQ ufficiali dell'Agenzia. Chi è già registrato non deve ripetere la registrazione solo se nulla è cambiato rispetto alla dichiarazione dell'anno precedente, come precisano le FAQ di ACN. I dettagli pratici sono sulla pagina dedicata alla registrazione sulla piattaforma ACN.
Fra gli obblighi di base c'è anche la nomina di un punto di contatto NIS, raggiungibile dall'Agenzia in caso di necessità — un adempimento che diverse PMI manifatturiere sottovalutano fino a quando non arriva la prima richiesta. E poi c'è la parte più operativa: se un incidente significativo colpisce l'azienda, la segnalazione al CSIRT Italia segue una sequenza a tre tempi, — un preallarme entro 24 ore dalla scoperta, una notifica più completa entro 72 ore e una relazione finale entro un mese dalla trasmissione della notifica (art. 25 D.Lgs. 138/2024). I passaggi esatti sono descritti nella pagina su notifica incidenti e CSIRT Italia.
La supply chain non è un dettaglio, nel manifatturiero
Un'azienda che assembla componenti arrivati da decine di fornitori — alcuni grandi, molti piccoli — eredita anche il loro livello di sicurezza, che lo voglia o no. La NIS2 lo riconosce esplicitamente, chiedendo ai soggetti obbligati di valutare il rischio lungo tutta la catena di approvvigionamento, non solo entro i propri confini aziendali. Per il manifatturiero italiano, spesso organizzato in filiere lunghe e subfornitura a più livelli, è probabilmente il capitolo più sottovalutato dell'intera normativa: vale la pena leggere la pagina sulla sicurezza della supply chain NIS2 prima di considerarsi a posto solo perché l'azienda, presa singolarmente, ha aggiornato i propri firewall.