La NIS2 divide i soggetti obbligati in due categorie: essenziali e importanti. La differenza non e solo terminologica — determina il livello di vigilanza, le sanzioni massime e il regime ispettivo a cui l'organizzazione e sottoposta. I soggetti essenziali sono quelli che, se colpiti da un attacco cyber, potrebbero causare danni sistemici all'economia e alla societa.
Ma chi sono esattamente questi soggetti essenziali? E come si fa a capire se la propria azienda rientra in questa categoria? Partiamo dall'elenco completo.
L'elenco completo dei settori essenziali
L'Allegato I della Direttiva NIS2, recepito nell'Allegato I del D.Lgs. 138/2024, individua 11 settori ad alta criticita. Le organizzazioni che operano in questi settori e superano le soglie dimensionali sono classificate come soggetti essenziali.
| Settore | Sottosettori principali | Esempi |
|---|---|---|
| Energia | Elettricita, petrolio, gas, idrogeno, teleriscaldamento | ENEL, ENI, gestori rete distribuzione |
| Trasporti | Aereo, ferroviario, marittimo, stradale | Ferrovie dello Stato, ENAV, autorita portuali |
| Settore bancario | Enti creditizi | Banche, istituti di credito |
| Infrastrutture mercati finanziari | Sedi negoziazione, CCP | Borsa Italiana, CC&G |
| Sanita | Prestatori assistenza sanitaria, laboratori, R&S farmaci | Ospedali, ASL, aziende farmaceutiche |
| Acqua potabile | Fornitori e distributori | Gestori acquedotti |
| Acque reflue | Gestori raccolta e trattamento | Utilities idriche |
| Infrastrutture digitali | IXP, DNS, TLD, cloud, data center, CDN | Aruba, provider cloud italiani |
| Gestione servizi ICT B2B | MSP e MSSP | Provider servizi gestiti |
| Pubblica amministrazione | Enti governativi centrali e regionali | Ministeri, Regioni |
| Spazio | Operatori infrastrutture terrestri | ASI, operatori satellitari |
Criteri per la classificazione come soggetto essenziale
Non basta operare in un settore essenziale per essere classificato come tale. Servono anche i requisiti dimensionali: 250+ dipendenti oppure fatturato superiore a 50 milioni di euro oppure bilancio superiore a 43 milioni. Le organizzazioni sotto queste soglie ma sopra i 50 dipendenti sono generalmente classificate come soggetti importanti.
Obblighi specifici per i soggetti essenziali
I soggetti essenziali hanno gli stessi obblighi di base dei soggetti importanti, ma con un regime di vigilanza piu stringente:
- Vigilanza proattiva — l'ACN puo condurre ispezioni preventive, non solo post-incidente
- Sanzioni piu elevate — fino a 10 milioni di euro o il 2% del fatturato annuo mondiale
- Audit periodici — possono essere richiesti anche in assenza di incidenti
- Supervisione on-site — l'ACN puo inviare ispettori in loco
- Sospensione dirigenti — in caso di gravi violazioni, l'ACN puo sospendere temporaneamente i dirigenti
Settore energia: il piu esposto
Il settore energetico e probabilmente il piu critico e il piu esposto agli attacchi cyber. Gli attacchi a infrastrutture energetiche sono in aumento costante: dal sabotaggio del gasdotto Colonial Pipeline negli USA alla campagna Industroyer che ha colpito la rete elettrica ucraina. In Italia, gli operatori energetici sono soggetti a obblighi particolarmente stringenti, con supervisione coordinata tra ACN e autorita settoriali come ARERA.
Settore sanitario: la sfida dei dati
Ospedali e ASL sono bersagli privilegiati del ransomware. I dati sanitari valgono piu dei dati finanziari sul dark web, e un ospedale bloccato non puo semplicemente chiudere — deve continuare a curare i pazienti. Questo rende il settore sanitario particolarmente vulnerabile al ricatto. Nel 2025, diversi ospedali italiani hanno subito attacchi significativi con ripercussioni sull'erogazione dei servizi.
Pubblica amministrazione: il nodo della compliance
L'inclusione della PA tra i soggetti essenziali e una delle novita piu rilevanti della NIS2. Ministeri, Regioni e grandi enti pubblici devono adeguarsi agli stessi standard del settore privato — una sfida non da poco, considerando i vincoli di bilancio e le complessita burocratiche della PA italiana. L'ACN ha previsto un percorso di adeguamento graduale, ma le aspettative sono chiare.
Se la tua organizzazione opera in uno di questi settori, la priorita e chiara: avviare l'adeguamento NIS2 il prima possibile, iniziando dalla registrazione sulla piattaforma ACN e dal risk assessment. I soggetti essenziali saranno i primi ad essere ispezionati.