- Significato
- Impresa od organizzazione rientrante nell’ambito di applicazione
- Categorie
- Soggetti essenziali e soggetti importanti
- Criteri
- Settore + dimensione (addetti/fatturato)
- Rapporto con la NIS2
- Nozione fondamentale della direttiva
- Aggiornamento
- giugno 2026
- Redazione
- Compliance Compass
Che cos’è un soggetto nel contesto NIS2?
La NIS2 non parla deliberatamente di «imprese», ma di soggetti (in inglese entities), perché accanto alle società private possono rientrarvi anche pubbliche amministrazioni, associazioni e altre organizzazioni. Un soggetto è quindi ogni persona giuridica o unità organizzativa che ricade nell’ambito di applicazione della direttiva. Il termine è l’ancoraggio centrale dell’intero impianto normativo: solo quando è accertato che un’organizzazione è un soggetto ai sensi della NIS2 scattano gli obblighi di gestione del rischio, notifica e governance.
Quando si è un soggetto?
Rilevano due fattori: l’appartenenza a un settore regolamentato (ad esempio energia, sanità, trasporti, infrastrutture digitali o gestione dei rifiuti) e la dimensione. Di regola la soglia scatta a partire da 50 addetti oppure da un fatturato annuo e da un totale di bilancio superiori a 10 milioni di euro. In alcuni ambiti — servizi DNS, servizi fiduciari qualificati o pubblica amministrazione — l’obbligo si applica a prescindere dalla dimensione.
Essenziale o importante?
La NIS2 divide le organizzazioni interessate in due categorie: soggetti essenziali (sottoposti a vigilanza più stringente e proattiva) e soggetti importanti (controllati piuttosto in occasione di eventi specifici). La qualificazione incide soprattutto sull’intensità della vigilanza e sui massimali sanzionatori: fino a 10.000.000 di euro o al 2 % del fatturato per i soggetti essenziali, fino a 7.000.000 di euro o all’1,4 % per i soggetti importanti. Gli obblighi sostanziali di sicurezza sono invece in larga parte identici.
Primo passo: verificare se si rientra
Se si è un soggetto ai sensi della NIS2 lo chiarisce una verifica strutturata dell’ambito di applicazione: si documentano l’assegnazione al settore, la soglia dimensionale e i casi particolari. In concreto: un’azienda alimentare di medie dimensioni con 120 addetti e 30 milioni di euro di fatturato verifica se rientra negli allegati, si qualifica come soggetto importante e provvede all’adempimento chiamato obbligo di registrazione iscrivendosi sulla piattaforma ACN entro la finestra annuale, aperta dal 1° gennaio al 28 febbraio. Solo dopo questa qualificazione è possibile attuare obblighi e termini in modo vincolante; l’autovalutazione spetta al soggetto stesso.
Per approfondire: ACN – I soggetti NIS
Domande frequenti
Che cos’è un soggetto ai sensi della NIS2?
Soggetto (in inglese entity) è il termine generale con cui la NIS2 indica ogni organizzazione che ricade nella direttiva: non soltanto le società private, quindi, ma anche pubbliche amministrazioni, associazioni od organismi pubblici appartenenti a un settore regolamentato. Solo quando è accertato che un’organizzazione è un soggetto ai sensi della NIS2 scattano gli obblighi di gestione del rischio, notifica e governance. In Italia il decreto NIS è in vigore dal 16 ottobre 2024.
Quando un soggetto rientra nella NIS2?
Si rientra nella NIS2 come soggetto quando si appartiene a un settore regolamentato e si raggiungono le soglie dimensionali: di regola a partire da 50 addetti oppure da un fatturato annuo e da un totale di bilancio superiori a 10 milioni di euro. In alcuni ambiti, come i servizi DNS, i servizi fiduciari qualificati o la pubblica amministrazione, l’obbligo si applica a prescindere dalla dimensione. L’autovalutazione spetta al soggetto; l’iscrizione sulla piattaforma ACN si effettua nella finestra annuale, aperta dal 1° gennaio al 28 febbraio.
Quali categorie di soggetti esistono?
La NIS2 distingue due categorie: i soggetti essenziali, sottoposti a vigilanza proattiva, e i soggetti importanti, controllati piuttosto in occasione di eventi specifici. La qualificazione incide soprattutto sull’intensità della vigilanza e sui massimali sanzionatori: fino a 10.000.000 di euro o al 2 % del fatturato annuo per i soggetti essenziali, fino a 7.000.000 di euro o all’1,4 % per i soggetti importanti. Gli obblighi sostanziali di sicurezza sono invece in larga parte identici.