Allegato 2 NIS2: quali settori rientrano e come verificarlo

L'Allegato 2 NIS2 (Allegato II della direttiva (UE) 2022/2555) è l'elenco degli «altri settori critici». Insieme all'Allegato I, stabilisce quali organizzazioni devono rispettare gli obblighi di cybersicurezza della direttiva. Rientrano nell'Allegato II i servizi postali e di corriere, la gestione dei rifiuti, le sostanze chimiche, gli alimenti, alcune attività manifatturiere, i fornitori di servizi digitali e la ricerca. Un'organizzazione di questi settori che sia almeno una media impresa è, di regola, un soggetto importante.

Cos'è l'Allegato 2 NIS2

La direttiva NIS 2 non si applica a tutte le imprese, ma solo a quelle che operano in determinati settori e superano certe soglie dimensionali. I settori sono elencati in due allegati:

Allegato I: settori ad alta criticità;
Allegato II: altri settori critici.

In Italia la direttiva è stata recepita con il decreto legislativo 138/2024, che affida all'Agenzia per la cybersicurezza nazionale (ACN) il ruolo di autorità competente. Il decreto riprende l'impostazione europea per settori e dimensioni, e lo stesso vale per il significato dell'Allegato II. Per le attività esatte è sempre opportuno fare riferimento al testo vigente del decreto e delle determinazioni dell'ACN.

Essere «altro settore critico» non significa essere meno rilevanti per l'economia. Significa che, in caso di incidente informatico, l'impatto sulla società è considerato meno immediato rispetto a energia, sanità o trasporti, e quindi il regime di vigilanza è più leggero.

Differenza tra Allegato 1 e Allegato 2

La differenza principale riguarda la classificazione del soggetto e l'intensità dei controlli. Chi opera nell'Allegato I può essere un soggetto essenziale o importante, a seconda della dimensione. Chi opera solo nell'Allegato II, se rientra nell'ambito di applicazione, è un soggetto importante.

Allegato I: energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi TIC (business-to-business), pubblica amministrazione e spazio.
Allegato II: servizi postali, rifiuti, chimica, alimenti, manifattura, fornitori digitali e ricerca.

Gli obblighi di sicurezza (misure di gestione del rischio e notifica degli incidenti) sono gli stessi per le due categorie. Cambiano invece il modello di vigilanza e il livello massimo delle sanzioni previste dalla direttiva.

Settori e attività elencati nell'Allegato 2

L'Allegato II individua sette ambiti. Ecco una sintesi, da verificare sul testo ufficiale per i dettagli.

1. Servizi postali e di corriere

Fornitori di servizi postali, compresi quelli di corriere.

2. Gestione dei rifiuti

Imprese che svolgono attività di gestione dei rifiuti. La direttiva esclude quelle per cui questa non è l'attività economica principale.

3. Sostanze chimiche

Fabbricazione, produzione e distribuzione di sostanze chimiche e di prodotti correlati.

4. Alimenti

Produzione, trasformazione e distribuzione di alimenti: operatori del settore alimentare attivi nella distribuzione all'ingrosso e nella produzione e trasformazione industriale.

5. Fabbricazione

È l'ambito che coinvolge più imprese manifatturiere. Comprende la fabbricazione di:

dispositivi medici e dispositivi medico-diagnostici in vitro;
computer e prodotti di elettronica e ottica;
apparecchiature elettriche;
macchinari e apparecchiature non classificati altrove;
autoveicoli, rimorchi e semirimorchi;
altri mezzi di trasporto.

6. Fornitori di servizi digitali

Fornitori di mercati online (marketplace), motori di ricerca online e piattaforme di servizi di social network.

7. Ricerca

Organizzazioni di ricerca, secondo la definizione data dalla direttiva.

L'elenco funziona per attività economiche, non per nome commerciale o settore percepito. Un'azienda che si definisce «tecnologica» ma produce macchinari può rientrare nella manifattura. Una che si occupa di logistica può ricadere nei servizi di corriere se offre quel tipo di servizio.

Soggetti essenziali e soggetti importanti: cosa cambia

Per le organizzazioni dell'Allegato II la dimensione è decisiva. In generale la direttiva si applica alle imprese medie e grandi, secondo i criteri della raccomandazione 2003/361/CE:

media impresa: almeno 50 dipendenti, oppure fatturato annuo o totale di bilancio superiore a 10 milioni di euro, restando sotto i limiti della grande impresa;
grande impresa: almeno 250 dipendenti, oppure fatturato annuo superiore a 50 milioni di euro e totale di bilancio superiore a 43 milioni.

Nell'Allegato II sia le medie sia le grandi imprese sono classificate come soggetti importanti. Per le imprese dell'Allegato I, invece, le grandi sono soggetti essenziali. Le micro e piccole imprese restano in genere fuori, salvo i casi particolari previsti dalla direttiva, che riguardano soprattutto soggetti dell'Allegato I.

La conseguenza pratica riguarda la vigilanza. I soggetti essenziali possono essere controllati sia in modo preventivo sia dopo un incidente. Quelli importanti sono vigilati in genere a posteriori, cioè quando emergono indizi di non conformità. La direttiva prevede inoltre massimali di sanzione più bassi per i soggetti importanti (fino a 7 milioni di euro o all'1,4% del fatturato mondiale annuo, se superiore) rispetto agli essenziali (10 milioni o 2%). I limiti applicabili in Italia vanno verificati nel decreto di recepimento.

Come verificare se la tua organizzazione rientra

Una verifica ordinata richiede quattro passaggi.

Individua le attività svolte. Parti dai codici ATECO e dall'oggetto sociale, ma guarda soprattutto a ciò che l'azienda fa davvero. Un gruppo può avere società diverse con attività in settori diversi.
Confrontale con gli allegati. Controlla se almeno un'attività è nell'Allegato II (o nell'Allegato I). Basta una sola attività rilevante perché l'analisi prosegua.
Verifica le soglie dimensionali. Conta dipendenti, fatturato e totale di bilancio, tenendo conto delle imprese collegate o associate, che possono modificare la classificazione.
Controlla i criteri specifici. Alcune attività hanno condizioni aggiuntive o esclusioni. Ad esempio, nella gestione dei rifiuti conta se l'attività è principale.

In Italia l'ACN gestisce una piattaforma digitale dove i soggetti che rientrano nell'ambito di applicazione devono registrarsi e comunicare le informazioni richieste. Controlla le scadenze e le procedure aggiornate sul sito dell'Agenzia, perché i termini possono essere stati modificati.

Se il risultato è dubbio, per esempio per un gruppo con più società o per un'attività al confine tra due settori, conviene documentare l'analisi e chiedere un parere legale o di un consulente specializzato.

Cosa fare dopo: primi passi di adeguamento

Una volta stabilito di essere un soggetto importante dell'Allegato II, si può impostare un percorso graduale.

Assegna la responsabilità. La direttiva attribuisce agli organi di gestione il compito di approvare e sorvegliare le misure di rischio. Servono anche formazione e un referente interno.
Fai un'analisi dei rischi. Mappa sistemi, dati, fornitori e dipendenze critiche. È la base per scegliere le misure proporzionate.
Adotta le misure di sicurezza. La direttiva richiede, tra l'altro, politiche di analisi del rischio, gestione degli incidenti, continuità operativa, sicurezza della catena di approvvigionamento, controllo degli accessi, crittografia e formazione.
Prepara la gestione degli incidenti. Definisci come rilevare un incidente significativo e chi lo notifica, rispettando le tempistiche previste dalla normativa (una pre-notifica rapida, poi aggiornamenti e relazione finale).
Verifica i fornitori. Controlla i contratti con i fornitori critici e prevedi requisiti di sicurezza.
Documenta tutto. In caso di controllo, saper dimostrare le decisioni prese è importante quanto le misure stesse.

Per un soggetto importante non serve replicare tutto ciò che si applica a un operatore essenziale. Ma il principio di proporzionalità non è un'esenzione: le misure devono essere adeguate ai rischi e alla dimensione.

Domande frequenti sull'Allegato 2

Che cos'è l'Allegato 2 della NIS 2 in una frase?

È l'elenco degli altri settori critici (servizi postali, rifiuti, chimica, alimenti, manifattura, servizi digitali e ricerca) le cui imprese medie e grandi sono soggette alla direttiva come soggetti importanti.

Un'impresa dell'Allegato 2 può essere un soggetto essenziale?

Di regola no: nell'Allegato II le imprese medie e grandi sono soggetti importanti. Può però essere essenziale se svolge anche un'attività dell'Allegato I e supera le soglie previste, oppure se è designata come tale dalle autorità competenti.

Le piccole imprese sono escluse?

In generale sì, perché la direttiva si rivolge a medie e grandi imprese. Esistono però eccezioni per alcune categorie particolari e per i soggetti designati dallo Stato membro, quindi conviene controllare il caso specifico.

Basta il codice ATECO per sapere se rientro?

No. Il codice ATECO è un buon punto di partenza, ma conta l'attività effettivamente svolta, confrontata con le definizioni degli allegati e con le soglie dimensionali.

Gli obblighi di sicurezza sono diversi per i soggetti importanti?

Le misure di gestione del rischio e gli obblighi di notifica sono gli stessi dei soggetti essenziali. Cambiano il regime di vigilanza, che per i soggetti importanti è in genere successivo, e i massimali delle sanzioni.

Dove trovo il testo ufficiale?

L'elenco completo è nell'Allegato II della direttiva (UE) 2022/2555, pubblicata sulla Gazzetta ufficiale dell'Unione europea. Per l'Italia vale il decreto legislativo 138/2024, con le indicazioni operative dell'ACN.

Questa guida ha scopo informativo e non sostituisce una consulenza legale sul caso specifico.