NIS2: come contestare una iscrizione errata nel registro ACN

NIS2: come contestare una iscrizione errata nel registro ACN

Capita che l'ACN iscriva nel registro NIS società che non ne hanno i requisiti. L'iscrizione non è priva di conseguenze: misure obbligatorie, notifiche, sanzioni fino a 10 milioni. Come si chiede la cancellazione, con un caso seguito dallo Studio.

In breve — L’iscrizione nel registro NIS può essere contestata quando l’Agenzia per la cybersicurezza nazionale ha inserito nell’elenco una società che non ne ha i requisiti. Lo strumento è l’istanza di riesame, documentata con visura camerale e bilanci e fondata sull’art. 3 del d.lgs. 138/2024 e sulla raccomandazione 2003/361/CE. Quando le ragioni sono fondate l’Agenzia riconosce il difetto del requisito e dispone la cancellazione dall’elenco al primo aggiornamento utile.

Questo articolo è tratto da un caso concreto seguito dallo Studio Legale Calzoni

1. Iscritto nel registro NIS per errore: cosa si può fare

Capita, e non di rado, che una società si ritrovi iscritta nel registro NIS senza averne i requisiti. La ragione sta nel modo in cui la procedura è costruita: il soggetto compila sulla piattaforma dell’Agenzia per la cybersicurezza nazionale un modello con settore di attività, dati dimensionali e servizi erogati, e l’Autorità decide sulla base di quelle informazioni. Basta un dato inserito male, un settore selezionato in modo impreciso o una lettura diversa dei parametri dimensionali perché la società finisca nell’elenco, magari con la qualifica di soggetto essenziale.

Essere iscritti per errore non è una formalità priva di effetti. Dal momento dell’inserimento nell’elenco decorrono obblighi che costano tempo e denaro, e che non vengono meno per il fatto che l’iscrizione sia sbagliata: finché resta in vigore, il soggetto è formalmente tenuto ad adempiere.

Chi si trova in questa situazione non deve limitarsi a ignorare la comunicazione né, all’opposto, rassegnarsi ad adeguarsi. La strada è l’istanza di riesame all’Agenzia: una richiesta documentata di riconsiderare la posizione, che — quando le ragioni sono fondate — porta alla cancellazione dall’elenco. Nei capitoli che seguono vediamo che cosa comporta l’iscrizione, chi non deve esserci, e come si costruisce l’istanza, partendo da un caso che lo Studio ha seguito fino alla cancellazione.

2. Le conseguenze di un’iscrizione nel registro NIS

L’iscrizione nel registro produce conseguenze immediate e concrete. Il soggetto inserito nell’elenco deve adottare le misure tecniche e organizzative di sicurezza informatica previste dalle determinazioni dell’ACN — trentasette misure con ottantasette requisiti per i soggetti importanti, quarantatré con centosedici per gli essenziali — e deve farlo entro termini che decorrono dalla comunicazione di inserimento.

A questo si aggiungono una governance interna dedicata alla cybersicurezza, con l’approvazione delle misure da parte degli organi di amministrazione e direzione, e l’obbligo di notificare al CSIRT Italia gli incidenti significativi entro tempi stretti. Sono adempimenti che richiedono risorse interne, consulenze tecniche e una revisione dei rapporti con i fornitori.

Il mancato rispetto di questi obblighi espone a sanzioni amministrative fino a 10 milioni di euro o al 2 per cento del fatturato annuo mondiale per i soggetti essenziali, e fino a 7 milioni o all‘1,4 per cento per quelli importanti. Ma il punto più delicato è un altro: la NIS2 attribuisce agli amministratori una responsabilità personale sulla vigilanza in materia di sicurezza informatica, e di quelle scelte — adottate od omesse — rispondono in prima persona.

3. Quali società non devono essere iscritte

L’art. 3 del d.lgs. 138/2024 applica il decreto ai soggetti che operano in determinati settori strategici a condizione che superino i massimali previsti per le piccole imprese ai sensi della raccomandazione 2003/361/CE. Letto in negativo, come conviene fare a chi sospetta di essere stato iscritto per errore: non deve essere iscritta la società che resta piccola impresa, cioè quella che

Le due condizioni devono ricorrere insieme, ed è qui che si annida l’equivoco più frequente: bastano cinquanta occupati, da soli, per rientrare nel perimetro, anche con un fatturato molto al di sotto dei dieci milioni. All’opposto, un’impresa con trenta dipendenti che superi i dieci milioni di fatturato ma non di totale di bilancio resta fuori, perché non supera entrambi i parametri contabili.

Due avvertenze prima di contestare. La prima: per le imprese associate o collegate la raccomandazione prevede regole di aggregazione, e una società piccola che appartenga a un gruppo può risultare sopra soglia per effetto dei conti consolidati. La seconda: per alcune categorie la dimensione non rileva affatto — fornitori di reti pubbliche di comunicazione elettronica, prestatori di servizi fiduciari, gestori di registri dei nomi di dominio — e per loro l’argomento dimensionale non serve a nulla. Le abbiamo esaminate nella guida su a chi si applica la NIS2.

4. Il caso seguito dallo Studio

Una società operante nella produzione di prodotti di erboristeria e cosmesi si è rivolta allo Studio dopo essere stata iscritta nel registro dei soggetti NIS, con l’attribuzione della qualifica di soggetto essenziale. La società aveva meno di cinquanta dipendenti e un fatturato inferiore ai dieci milioni di euro: era, a tutti gli effetti, una piccola impresa.

Il passaggio paradossale è che la piattaforma stessa, al termine della compilazione, aveva restituito un primo responso di non applicabilità della disciplina proprio in ragione delle dimensioni aziendali. La società aveva comunque completato la registrazione per ottenere una conferma formale dall’Autorità, e si era vista rispondere con l’inserimento nell’elenco e con la qualifica più gravosa fra le due.

Il problema, a quel punto, non era teorico: con la qualifica di soggetto essenziale la società si trovava a dover adottare quarantatré misure di sicurezza, istituire una governance interna e rispondere di eventuali omissioni con il patrimonio dei propri amministratori.

5. L’istanza di riesame: come si costruisce

L’istanza predisposta dallo Studio si articolava su due argomenti distinti, costruiti in modo da poter essere accolti anche separatamente.

Il primo riguardava il difetto del requisito dimensionale, ed era l’argomento principale: richiamando l’art. 3 del d.lgs. 138/2024 e la raccomandazione 2003/361/CE, l’istanza dimostrava che le soglie non erano superate né con riferimento all’esercizio chiuso, né in via prospettica per quello successivo. La dimostrazione passava dai documenti — visura camerale, bilancio approvato e bozza di bilancio previsionale — perché un’istanza che si limiti ad affermare di essere sotto soglia non porta da nessuna parte.

Il secondo argomento riguardava la classificazione come soggetto essenziale, incompatibile sia con i criteri dell’art. 6 del decreto sia con le istruzioni operative pubblicate dall’ACN. Qui l’istanza chiedeva in via principale la qualificazione come soggetto fuori ambito e, in via subordinata, come soggetto importante, con richiesta di motivazione sui criteri applicati: una struttura a due livelli che lascia all’Autorità una via d’uscita intermedia e rende più probabile un esito favorevole.

A sostegno di entrambi, l’istanza richiamava il principio di proporzionalità che informa la disciplina NIS2, costruita per concentrare gli obblighi più gravosi sugli operatori di maggiori dimensioni o più esposti al rischio sistemico. Imporre adempimenti significativi in assenza dei presupposti normativi si traduce in costi che il legislatore ha inteso espressamente limitare alle imprese oltre soglia.

6. La risposta dell’ACN e la cancellazione dall’elenco

L’Agenzia ha accolto l’istanza. Nella propria risposta ha riconosciuto l’insussistenza dei presupposti per l’inserimento nell’ambito di applicazione del decreto per difetto del requisito dimensionale, comunicando che la società sarebbe stata espunta dall’elenco dei soggetti NIS in occasione del primo aggiornamento utile, ai sensi dell’art. 7, comma 3, del d.lgs. 138/2024.

Due precisazioni contenute nella risposta meritano attenzione. La prima: la cancellazione non è immediata, ma segue il ciclo annuale dell’elenco, e fino a quel momento la posizione resta formalmente quella di soggetto iscritto. La seconda: l’Autorità ha segnalato che il raggiungimento futuro del requisito dimensionale determinerebbe nuovamente i presupposti per l’inclusione — il che significa che la verifica va rifatta ogni anno, non una volta per tutte.

L’ACN ha inoltre precisato che la società non è tenuta ad alcun adempimento ai sensi della disciplina NIS, pur richiamando l’opportunità di adottare su base volontaria le misure di sicurezza di base pubblicate sul portale dell’Agenzia. È un invito che, al di là dell’obbligo, conviene prendere sul serio: le piccole imprese fuori perimetro sono spesso fornitrici di soggetti che nel perimetro ci stanno.

7. Cosa fare se ti trovi nella stessa situazione

Il primo passo è verificare i dati dimensionali con precisione: numero di occupati e fatturato o totale di bilancio dell’ultimo esercizio approvato, tenendo conto delle regole di aggregazione per le imprese associate o collegate. È una verifica che va fatta sui documenti, non a memoria, perché sarà la stessa che l’Agenzia ripeterà.

Il secondo è controllare la classificazione ricevuta, confrontandola con i settori di attività effettivi e con i criteri pubblicati dall’ACN: anche quando l’iscrizione è corretta, la qualifica attribuita può non esserlo, e la differenza fra soggetto essenziale e importante vale sei misure di sicurezza e tre milioni di euro di tetto sanzionatorio.

Se la verifica conferma il difetto dei presupposti, si presenta l’istanza di riesame attraverso il Service Desk dell’Agenzia, circostanziata e documentata. Conviene farlo subito dopo la comunicazione: l’istanza non sospende gli obblighi, che restano in capo al soggetto finché l’iscrizione è in vigore, e ogni settimana di attesa è una settimana di adempimenti dovuti. La procedura comporta infine il trattamento di dati aziendali e di informazioni riferite a persone fisiche — legale rappresentante e punto di contatto NIS — che va gestito nel rispetto della normativa sulla protezione dei dati personali.

Lo Studio Legale Calzoni offre consulenza in materia di cybersicurezza e assiste imprese e amministrazioni nella verifica della posizione e nella predisposizione delle istanze di riesame.

Domande frequenti

Quando si può chiedere la cancellazione dal registro NIS? Quando mancano i presupposti dell’iscrizione: nella maggior parte dei casi il difetto del requisito dimensionale, perché l’impresa è rimasta piccola ai sensi della raccomandazione 2003/361/CE, ma anche quando il settore di attività registrato non corrisponde a quello effettivamente svolto.

Come si presenta l’istanza di riesame? Attraverso il Service Desk dell’Agenzia, con un’istanza circostanziata che richiami l’art. 3 del d.lgs. 138/2024 e la raccomandazione 2003/361/CE e che alleghi la documentazione dimensionale. Una richiesta generica di riesame non porta a nulla.

Che cosa bisogna allegare? Visura camerale, ultimo bilancio approvato e, se disponibile, il bilancio previsionale, così da documentare i dati dimensionali sia dell’esercizio chiuso sia in via prospettica. Per le imprese associate o collegate servono anche i dati del gruppo.

Quanto tempo occorre per la cancellazione? L’Agenzia, se accoglie l’istanza, comunica che il soggetto sarà espunto dall’elenco in occasione del primo aggiornamento utile, ai sensi dell’art. 7, comma 3, del d.lgs. 138/2024: la cancellazione non è quindi immediata, ma segue il ciclo annuale.

Si può contestare solo la classificazione invece dell’iscrizione? Sì. Si può chiedere in via principale di essere dichiarati fuori ambito e, in via subordinata, la riqualificazione da soggetto essenziale a soggetto importante, che comporta obblighi meno gravosi.

Nel frattempo bisogna adempiere agli obblighi NIS? Finché l’iscrizione resta in vigore il soggetto è formalmente tenuto agli adempimenti, e l’istanza di riesame non sospende i termini. È un motivo in più per presentarla subito dopo la comunicazione, non a ridosso delle scadenze.

I contenuti di questa pagina si riferiscono a fattispecie generali e non possono in alcun modo sostituire il contributo di un avvocato. Per ottenere un parere legale in ordine alla questione giuridica che interessa è possibile richiedere una consulenza, oppure fissare un appuntamento. Gli autori declinano ogni responsabilità per errori od omissioni, nonché per un utilizzo improprio o non aggiornato delle presenti informazioni.