La NIS2 divide i soggetti obbligati in due categorie: essenziali e importanti. La differenza non è solo terminologica — determina il livello di vigilanza, le sanzioni massime e il regime ispettivo a cui l’organizzazione è sottoposta. I soggetti essenziali sono quelli che, se colpiti da un attacco cyber, potrebbero causare danni sistemici all’economia e alla società.
Ma chi sono esattamente questi soggetti essenziali? E come si fa a capire se la propria azienda rientra in questa categoria? Partiamo dall’elenco completo.
L’elenco completo dei settori essenziali
La Direttiva NIS2 elenca nel suo Allegato I 11 settori ad alta criticità. Il D.Lgs. 138/2024 ne riprende 10 nel proprio Allegato I e tratta la pubblica amministrazione a parte, nell'Allegato III. Le imprese dell'Allegato I che superano le soglie della media impresa sono classificate come soggetti essenziali.
| Settore | Sottosettori principali | Esempi |
|---|---|---|
| Energia | Elettricità, petrolio, gas, idrogeno, teleriscaldamento | ENEL, ENI, gestori rete distribuzione |
| Trasporti | Aereo, ferroviario, marittimo, stradale | Ferrovie dello Stato, ENAV, autorità portuali |
| Settore bancario | Enti creditizi | Banche, istituti di credito |
| Infrastrutture mercati finanziari | Sedi negoziazione, CCP | Borsa Italiana, CC&G |
| Sanità | Prestatori assistenza sanitaria, laboratori, R&S farmaci | Ospedali, ASL, aziende farmaceutiche |
| Acqua potabile | Fornitori e distributori | Gestori acquedotti |
| Acque reflue | Gestori raccolta e trattamento | Utilities idriche |
| Infrastrutture digitali | IXP, DNS, TLD, cloud, data center, CDN | Aruba, provider cloud italiani |
| Gestione servizi ICT B2B | MSP e MSSP | Provider servizi gestiti |
| Pubblica amministrazione (Allegato III) | Amministrazioni centrali (essenziali); regioni, città metropolitane, comuni sopra 100.000 abitanti e capoluoghi di regione, ASL (nel perimetro, di norma come importanti) | Ministeri, Agenzie fiscali, Autorità indipendenti |
| Spazio | Operatori infrastrutture terrestri | ASI, operatori satellitari |
Criteri per la classificazione come soggetto essenziale
Non basta operare in un settore dell'Allegato I per essere classificato come essenziale. Serve anche la dimensione di grande impresa secondo la Raccomandazione 2003/361/CE: almeno 250 dipendenti, oppure fatturato oltre 50 milioni di euro e, insieme, totale di bilancio oltre 43 milioni. Le medie imprese dell'Allegato I (da 50 dipendenti, oppure con fatturato e totale di bilancio entrambi sopra i 10 milioni) rientrano nella NIS2 come soggetti importanti.
Obblighi specifici per i soggetti essenziali
I soggetti essenziali hanno gli stessi obblighi di base dei soggetti importanti, ma con un regime di vigilanza più stringente:
- Vigilanza anche ex ante — l'ACN può svolgere ispezioni in loco e a distanza e controlli casuali anche senza indizi di violazione (art. 36); per i soggetti importanti servono invece elementi che facciano sospettare una violazione
- Sanzioni più elevate — fino a 10 milioni di euro o il 2% del fatturato annuo mondiale
- Audit periodici — l'ACN può imporre audit sulla sicurezza periodici o mirati; ai soggetti importanti non può prescrivere audit periodici (art. 37, comma 3)
- Supervisione assistita — l'ACN può designare un proprio funzionario per seguire l'adeguamento, anche con visite in loco (art. 37, comma 5)
- Responsabilità dei vertici — se il soggetto non rispetta le diffide dell'ACN, ai dirigenti può essere applicata la sanzione accessoria dell'incapacità a svolgere funzioni dirigenziali (art. 38, comma 6; vale anche per i soggetti importanti)
Settore energia: il più esposto
Il settore energetico è probabilmente il più critico e il più esposto agli attacchi cyber: dal ransomware che nel 2021 costrinse a fermare l'oleodotto Colonial Pipeline negli USA al malware Industroyer usato contro la rete elettrica ucraina. In Italia, per il settore energia l'Autorità di settore NIS che affianca l'ACN è il Ministero dell'ambiente e della sicurezza energetica (art. 11 D.Lgs. 138/2024).
Settore sanitario: la sfida dei dati
Ospedali e ASL sono bersagli privilegiati del ransomware. I dati sanitari valgono più dei dati finanziari sul dark web, e un ospedale bloccato non può semplicemente chiudere — deve continuare a curare i pazienti. Questo rende il settore sanitario particolarmente vulnerabile al ricatto.
Pubblica amministrazione: il nodo della compliance
L’inclusione della PA è una delle novità più rilevanti della NIS2. Le amministrazioni centrali (Ministeri, Agenzie fiscali, Autorità indipendenti) sono soggetti essenziali a prescindere dalla dimensione; Regioni, città metropolitane, grandi comuni e ASL entrano nel perimetro dell'Allegato III. Una sfida non da poco, considerando i vincoli di bilancio e le complessità burocratiche della PA italiana.
Se la tua organizzazione opera in uno di questi settori, la priorità è chiara: avviare l’adeguamento NIS2 il prima possibile, iniziando dalla registrazione sulla piattaforma ACN e dal risk assessment. Per i soggetti essenziali l'ACN può ispezionare anche senza un incidente alle spalle.