Soggetto essenziale

Un soggetto essenziale è un'organizzazione che rientra nella NIS2 italiana con la categoria più esigente: deve adottare 43 misure di sicurezza di base e rischia sanzioni fino a 10 milioni di euro o al 2% del fatturato mondiale.

Chi è essenziale

Secondo l'art. 6 del D.Lgs. 138/2024 sono essenziali:

le imprese dei settori dell'Allegato I (settori ad alta criticità: energia, trasporti, sanità, acqua, infrastrutture digitali, gestione dei servizi TIC B2B e altri) che superano i massimali della media impresa: in pratica almeno 250 dipendenti, oppure fatturato oltre 50 milioni e totale di bilancio oltre 43 milioni;
a prescindere dalla dimensione, i soggetti critici individuati ai sensi della direttiva (UE) 2022/2557, i prestatori di servizi fiduciari qualificati, i gestori di registri dei nomi di dominio di primo livello e i fornitori di servizi DNS;
i fornitori di reti e servizi di comunicazione elettronica accessibili al pubblico che sono almeno medie imprese;
le pubbliche amministrazioni centrali dell'Allegato III;
i soggetti che l'ACN designa come essenziali secondo l'art. 6, comma 2.

In pratica

Rispetto a un soggetto importante, l'essenziale ha più misure (43 contro 37) e più requisiti (116 contro 87), notifica una tipologia di incidente in più (IS-4, accessi non autorizzati o con abuso di privilegi) e può essere ispezionato dall'ACN anche ex ante, cioè senza indizi di violazione. Le sanzioni hanno un minimo pari a un ventesimo del massimo.

Errore comune: contare solo i dati della tua società. Per la dimensione si sommano, di regola, quelli delle imprese associate e collegate (art. 3, comma 4, che richiama la raccomandazione 2003/361/CE).

Riferimento normativo

Art. 6, comma 1, D.Lgs. 138/2024; soglie dimensionali: art. 2 dell'allegato alla raccomandazione 2003/361/CE; misure: Allegato 2 della Det. ACN 379907/2025.

Termini collegati

Per approfondire

Fonti

Tutto il glossario