NIS2: differenza tra soggetto importante ed essenziale

NIS2: differenza tra soggetto importante ed essenziale

La comunicazione dell'ACN non dice soltanto che sei nell'elenco NIS: dice anche se sei un soggetto essenziale o importante. Da quella parola dipendono il numero delle misure da adottare, il tipo di controlli che puoi ricevere e il tetto delle sanzioni.

In breve — La differenza tra soggetto essenziale e soggetto importante nella NIS2 sta nel grado degli obblighi, non nel loro tipo. Sono essenziali i soggetti dei settori ad alta criticità che superano i massimali delle medie imprese, più alcune categorie indicate per legge; sono importanti tutti gli altri che rientrano nell’ambito di applicazione. Gli essenziali adottano 43 misure contro 37, possono ricevere audit periodici dall’ACN e rischiano sanzioni fino a 10 milioni di euro, contro i 7 milioni previsti per gli importanti.

1. NIS2: come sapere se una società è essenziale o importante

La qualificazione come soggetto essenziale o importante è attribuita dall’Agenzia per la cybersicurezza nazionale e viene comunicata insieme all’inserimento nell’elenco NIS: la comunicazione che l’ente riceve non si limita a confermare l’iscrizione, ma indica anche in quale delle due categorie è stato collocato. Non è quindi una scelta dell’impresa né il risultato di un’autovalutazione.

Dalla qualificazione attribuita dall’ACN alla società dipendono gli obblighi: i soggetti essenziali sono infatti tenuti a garantire un maggiore livello di cybersicurezza e quindi su di loro ricadono adempimenti più gravosi. Per questo la prima cosa da fare, quando la comunicazione arriva, è verificare che la classificazione sia corretta, confrontandola con l’attività realmente svolta e con i dati dimensionali: se non lo è, esiste una strada per chiederne la rettifica, e ne parliamo al capitolo 5.

2. Chi sono i soggetti essenziali

Sono qualificati come soggetti essenziali, ai sensi dell’art. 6 del d.lgs. 138/2024, i soggetti che operano nei settori ad alta criticità dell’allegato I e che superano i massimali previsti per le medie imprese. I settori ad alta criticità sono undici — energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi TIC, pubbliche amministrazioni e spazio — e i requisiti dimensionali si calcolano con i criteri della raccomandazione 2003/361/CE: gli uni e gli altri sono spiegati nella guida su a chi si applica la NIS2.

La qualifica di essenziale spetta inoltre, a prescindere dalle dimensioni, ad alcune categorie indicate dalla norma, fra cui i soggetti identificati come critici, i prestatori di servizi fiduciari qualificati e le pubbliche amministrazioni centrali dell’allegato III. L’elenco non è però chiuso: l’Agenzia può qualificare come essenziali anche soggetti che non rientrano nei parametri ordinari, quando l’attività svolta è rilevante per la sicurezza nazionale.

3. Chi sono i soggetti importanti

Sono soggetti importanti tutti quelli che rientrano nell’ambito di applicazione della NIS2 e che non sono stati qualificati come essenziali: la categoria è definita per differenza, e per questo vi ricadono situazioni molto diverse fra loro. Vi rientrano, in particolare, i soggetti dei settori critici dell’allegato II, che sono sette — servizi postali e di corriere, gestione dei rifiuti, sostanze chimiche, settore alimentare, manifattura, fornitori di servizi digitali e ricerca — e quelli dei settori ad alta criticità che superano i massimali della piccola impresa senza raggiungere quelli della media.

Fra le pubbliche amministrazioni la distinzione segue una linea precisa: sono essenziali soltanto le amministrazioni centrali, mentre le amministrazioni regionali e locali e gli altri soggetti pubblici dell’allegato III sono soggetti importanti. È una conseguenza che sorprende molti enti: Regioni, Comuni e aziende sanitarie locali ricadono nella categoria meno gravosa delle due.

4. Che cosa dipende dalla qualificazione

Dalla qualificazione ricevuta dipendono tre cose, perché gli obblighi sostanziali sono gli stessi per entrambe le categorie e ciò che cambia è il grado, non il tipo:

Il calendario degli adempimenti, invece, non cambia fra le due categorie: i termini decorrono dalla comunicazione di inserimento nell’elenco e sono gli stessi per tutti, come spieghiamo nella guida alle scadenze NIS2.

5. Quando la classificazione ricevuta è sbagliata

La classificazione può essere contestata, e conviene farlo subito, perché da essa dipendono sei misure in più, la possibilità di ricevere audit periodici e tre milioni di euro di differenza sul tetto sanzionatorio. I casi tipici sono due: il soggetto è stato qualificato come essenziale pur non superando i massimali della media impresa, oppure la categorizzazione delle attività registrate sulla piattaforma non corrisponde a quelle effettivamente svolte.

La strada passa per il Service Desk dell’Agenzia, raggiungibile all’indirizzo portale.acn.gov.it/support, che è il canale ufficiale previsto dall’art. 31, comma 7, del decreto. All’Agenzia vanno trasmesse osservazioni puntuali e documentate — visura, dati dimensionali, descrizione dell’attività, eventuale confronto con la categorizzazione delle attività e dei servizi — perché una richiesta generica di riesame non porta a nulla.

Se invece ritieni che non dovresti comparire affatto nell’elenco, la questione è diversa e ha regole proprie: ne parliamo nella guida su come contestare un’iscrizione errata nel registro ACN.

6. Come ti assiste lo Studio

Lo Studio Legale Calzoni assiste imprese, società pubbliche e amministrazioni nella verifica della qualificazione ricevuta dall’ACN, che è il passaggio da cui dipende l’intero percorso di adeguamento. Confrontiamo l’attività effettivamente svolta e i dati dimensionali con i criteri dell’art. 6 del decreto e, quando la classificazione non corrisponde, prepariamo le osservazioni da trasmettere all’Agenzia con la documentazione a supporto.

Seguiamo poi l’adeguamento nella misura che la categoria richiede, dalla documentazione che gli allegati impongono fino ai rapporti con l’Agenzia in caso di controlli. Tutti i servizi sono nella pagina dedicata alla consulenza in materia di cybersicurezza.

Domande frequenti

Qual è la differenza tra soggetto essenziale e soggetto importante? Gli obblighi sono gli stessi, cambia il grado: gli essenziali adottano 43 misure con 116 requisiti contro 37 misure e 87 requisiti, possono ricevere audit periodici dall’ACN e rischiano sanzioni fino a 10 milioni o al 2 per cento del fatturato, contro 7 milioni o l‘1,4 per cento.

Chi decide se un soggetto è essenziale o importante? L’Agenzia per la cybersicurezza nazionale, che comunica la qualificazione insieme all’inserimento nell’elenco NIS. Non è un’autovalutazione dell’impresa.

Quali soglie fanno diventare essenziale un soggetto? Quelle della media impresa: si superano raggiungendo i 250 occupati, anche con conti contenuti, oppure superando sia i 50 milioni di fatturato annuo sia i 43 milioni di totale di bilancio.

I Comuni sono soggetti essenziali o importanti? Importanti. Fra le amministrazioni dell’allegato III sono essenziali soltanto le amministrazioni centrali, mentre Regioni, Comuni e aziende sanitarie locali rientrano fra i soggetti importanti.

Un soggetto importante può ricevere audit di sicurezza? Non audit periodici: l’art. 37, comma 3, del d.lgs. 138/2024 lo esclude espressamente. Restano i poteri di controllo che l’Autorità esercita in presenza di un incidente o di una violazione.

Si può chiedere la modifica della classificazione ricevuta? Sì, attraverso il Service Desk dell’ACN previsto dall’art. 31, comma 7, del decreto, trasmettendo osservazioni documentate su attività svolta e dati dimensionali. Conviene farlo subito dopo la comunicazione.

I contenuti di questa pagina si riferiscono a fattispecie generali e non possono in alcun modo sostituire il contributo di un avvocato. Per ottenere un parere legale in ordine alla questione giuridica che interessa è possibile richiedere una consulenza, oppure fissare un appuntamento. Gli autori declinano ogni responsabilità per errori od omissioni, nonché per un utilizzo improprio o non aggiornato delle presenti informazioni.