La NIS2 riguarda la tua organizzazione?
La NIS2 può cambiare il modo in cui gestisci sicurezza e formazione. Rispondi alle domande per capire quali aspetti riguardano la tua organizzazione e da dove iniziare.
Bastano le informazioni sulla tua attività: non servono nome, email o documenti. Le risposte restano nel tuo browser. Il risultato è un primo orientamento, non sostituisce le comunicazioni ACN né una valutazione del tuo caso. Le tue risposte restano tue.
Passaggio 1 di 5
Il tuo orientamento
Perché questo risultato
I punti da approfondire nel tuo caso
Riepilogo delle tue risposte
Il risultato ti aiuta a scegliere cosa approfondire. Per confermare gli obblighi servono le informazioni della tua organizzazione e le comunicazioni ACN; l’assenza di comunicazioni non esclude da sola l’applicabilità della NIS2.
Guida ai termini e ai criteri NIS2
Non conosci un termine o non sai quale risposta scegliere? Trovi qui spiegazioni ed esempi per proseguire. I link alle fonti ufficiali permettono di approfondire le definizioni.
Servizi che possono rilevare anche sotto soglia
| Categoria | Cosa verificare |
|---|---|
| DNS | Risoluzione ricorsiva accessibile al pubblico oppure DNS autoritativi per terzi; esclusi i root nameserver. Usare DNS per il proprio sito non basta. |
| Registro TLD | Gestione di un registro di domini di primo livello; diversa dalla registrazione di domini per i clienti. |
| Registrazione domini | Registrar o agente che opera per conto di registrar, secondo la definizione del decreto. Chi svolge esclusivamente questa attività ha obblighi specifici, diversi da quelli di un fornitore DNS. |
| Comunicazioni elettroniche | Fornitura di reti pubbliche o servizi di comunicazione elettronica accessibili al pubblico; installare centralini o assistere computer, da solo, non dimostra questa qualifica. |
| Servizi fiduciari | Servizi rientranti nel regolamento eIDAS; distinguere prestatori qualificati e non qualificati. Non basta vendere genericamente un software di firma. |
Enti pubblici e ulteriori categorie: allegati III e IV
| Categoria | Cosa verificare |
|---|---|
| Amministrazioni centrali — allegato III | Organi costituzionali/di rilievo costituzionale, Presidenza del Consiglio, Ministeri, agenzie fiscali, autorità indipendenti: verificare le esclusioni dell’art. 4, tra cui Parlamento, autorità giudiziaria, Banca d’Italia e UIF. |
| Amministrazioni regionali — allegato III | Regioni e Province autonome. |
| Amministrazioni locali — allegato III | Città metropolitane; Comuni oltre 100.000 abitanti; Comuni capoluogo di regione; ASL. Un piccolo Comune non è automaticamente compreso per il solo fatto di essere un Comune. |
| Altri enti pubblici — allegato III | Enti di regolazione dell’attività economica, produttori di servizi economici, a struttura associativa, produttori di servizi assistenziali/ricreativi/culturali, enti e istituzioni di ricerca, istituti zooprofilattici sperimentali. Verificare natura pubblica e categoria. |
| Ulteriori categorie — allegato IV | Trasporto pubblico locale; istituti di istruzione che svolgono ricerca; attività di interesse culturale; società in house, partecipate e a controllo pubblico. Per questo percorso occorre l’individuazione ACN dell’art. 3, commi 8 e 13: l’etichetta da sola non prova l’inclusione. |
Settori e attività: allegati I e II
Per il percorso ordinario occorrono tipologia prevista e dimensioni rilevanti; restano le eccezioni. Considera anche attività secondarie. I codici ATECO sono un aiuto: per alcuni ambiti l’allegato richiama esplicitamente NACE. Verifica la versione e il raccordo tra classificazioni.
| Categoria | Cosa verificare |
|---|---|
| Energia | Specifici operatori di elettricità, teleriscaldamento/teleraffrescamento, petrolio, gas e idrogeno. |
| Trasporti | Specifici operatori aerei, ferroviari, marittimi e portuali; per la strada autorità stradali e operatori di sistemi di trasporto intelligenti previsti. Non tutte le ditte di autotrasporto merci. |
| Banche e infrastrutture dei mercati finanziari | Enti creditizi, sedi di negoziazione e controparti centrali previsti; verificare il regime DORA. |
| Sanità e farmaceutica | Prestatori di assistenza sanitaria, laboratori UE di riferimento, ricerca e sviluppo medicinali, produttori farmaceutici e specifici dispositivi medici critici. Non tutte le attività sanitarie sono incluse indipendentemente dalla dimensione. |
| Acqua potabile e acque reflue | Specifici fornitori/distributori e operatori di raccolta e trattamento, con le esclusioni degli allegati. |
| Infrastrutture digitali | IXP, DNS, registri TLD, cloud, data center, CDN, servizi fiduciari e comunicazioni elettroniche. Non ogni servizio di hosting è automaticamente DNS o cloud. |
| Servizi IT gestiti B2B | Fornitori di servizi gestiti e di sicurezza gestiti (MSP/MSSP), secondo la definizione normativa; non tutta la consulenza informatica. |
| Spazio | Operatori delle infrastrutture terrestri che supportano i servizi spaziali, nei limiti previsti. |
| Servizi postali e corrieri | Fornitori previsti dalle definizioni settoriali. |
| Rifiuti | Gestione dei rifiuti come attività economica principale. |
| Chimica | Fabbricazione e distribuzione delle sostanze/miscele e produzione di articoli individuate dall’allegato. |
| Alimentare | Distribuzione all’ingrosso, produzione industriale e trasformazione; non automaticamente ogni negozio o ristorante. |
| Fabbricazione | Dispositivi medici e diagnostici in vitro; computer/elettronica/ottica (NACE 26), apparecchiature elettriche (27), macchinari (28), autoveicoli/rimorchi (29), altri mezzi di trasporto (30). |
| Piattaforme digitali | Mercati online, motori di ricerca e social network. Avere un proprio negozio online non equivale a gestire un marketplace. |
| Ricerca | Organizzazioni di ricerca secondo la definizione del decreto; gli istituti di istruzione seguono anche il percorso specifico previsto. |
ULA, fatturato e bilancio: come leggere le dimensioni
ULA = Unità Lavorative Annue. Una persona a tempo pieno per un anno vale normalmente 1 ULA; al 50% per un anno vale 0,5. Vanno applicate le regole su persone conteggiate, periodi e tipologie di lavoro: non coincide necessariamente con il numero di dipendenti.
Primo filtro: almeno 50 ULA, oppure fatturato annuo superiore a 10 milioni e totale di bilancio annuo superiore a 10 milioni. Con meno di 50 ULA, un solo valore finanziario oltre 10 milioni non basta. Considera gli esercizi e le regole sul superamento delle soglie, le nuove imprese e il gruppo; chiedi conferma al professionista che segue i dati aziendali.
Imprese associate, collegate e servizi al gruppo
Il dimensionamento può richiedere di aggregare dati delle imprese associate e collegate secondo la raccomandazione 2003/361/CE, con la salvaguardia prevista dall’art. 3, commi 4 e 12. Non basta conoscere i soli ricavi della società.
Un’impresa collegata a un soggetto NIS può inoltre rientrare indipendentemente dalle dimensioni se governa/influenza in modo dominante le decisioni sulla sicurezza, gestisce sistemi necessari ai servizi, svolge operazioni cyber oppure fornisce servizi IT o sicurezza al soggetto (art. 3, comma 10). Un semplice rapporto commerciale non è un collegamento societario.
CER e OSE: quali documenti cercare
CER: normativa sulla resilienza dei soggetti critici, direttiva (UE) 2022/2557 e recepimento italiano. Conta l’identificazione formale del soggetto critico.
OSE: Operatore di Servizi Essenziali già identificato secondo il D.Lgs. 65/2018, precedente disciplina NIS. Cerca la comunicazione ufficiale: non basta erogare un servizio che ritieni importante.
Particolare criticità e individuazione ACN
L’art. 3, comma 9, considera ex OSE, fornitore unico nazionale di un servizio essenziale, impatto significativo su sicurezza/incolumità/salute pubblica, rischio sistemico anche transfrontaliero, particolare importanza nazionale o regionale e criticità sistemica nella catena di approvvigionamento. Per questo percorso serve l’individuazione ACN prevista dal comma 13. Essere fornitore di un soggetto NIS, da solo, non basta.
Italia e servizi transfrontalieri
Va verificata la giurisdizione prevista dall’art. 5. Per alcuni servizi digitali rilevano lo stabilimento principale nell’Unione o il rappresentante designato, anziché la sola sede o la presenza di clienti italiani. La checklist orienta sul decreto italiano.
Esclusioni e discipline specifiche
Gli articoli 3–5 prevedono esclusioni e regole particolari. Per banche e infrastrutture dei mercati finanziari va considerato DORA; per determinati enti/attività di sicurezza pubblica, difesa e contrasto e per specifici servizi esclusivi si applicano le condizioni dell’art. 4. La sola attività con clienti pubblici o militari non prova un’esenzione.
Per chi eroga esclusivamente registrazione domini sono previsti obblighi specifici (artt. 29 e 32). Un risultato positivo non significa che tutti gli obblighi e i percorsi formativi siano identici.
Le tue risposte restano tue
Risposte alla checklist. Puoi usare la checklist senza comunicarci chi sei. Le risposte vengono elaborate solo nella pagina aperta: non le riceviamo, non le archiviamo e non usiamo cookie o memoria locale per conservarle. Con “Ricomincia” cancelli le risposte e il risultato dalla pagina.
Stampa o salvataggio personale. Se stampi il risultato o lo salvi come PDF dal browser, la copia resta sotto il tuo controllo e non viene trasmessa a Cyber Consulenza.
Navigazione del sito. Come per le altre pagine del sito, i servizi di hosting e protezione possono trattare dati tecnici di navigazione, come indirizzo IP e pagina richiesta. Questi dati non contengono le risposte alla checklist. Per informazioni sulla loro conservazione puoi scrivere a [email protected].
Se ci contatti. Le risposte non vengono trasferite automaticamente al modulo. Se scegli di inviarci informazioni tramite email o modulo, si applicano le modalità descritte in “Come trattiamo i dati della richiesta”. Per chiarimenti puoi scrivere a [email protected].
Dubbi sul risultato? Facciamo il prossimo passo.
Una risposta incerta può nascondere un dettaglio importante: un servizio, un rapporto societario o una comunicazione ricevuta. Raccontaci la tua situazione per capire quali aspetti approfondire e quali persone preparare.
Parliamo della tua organizzazione ↗
Consulta le fonti normative
Il riferimento è il D.Lgs. 138/2024. Attività, dimensioni, giurisdizione, discipline speciali e provvedimenti ACN concorrono a definire gli obblighi della singola organizzazione.