NIS2, acqua potabile e acque reflue: chi è obbligato

Gestori del servizio idrico, distributori di acqua potabile e imprese delle acque reflue: chi rientra nel D.Lgs. 138/2024 e cosa deve fare.

Acqua potabile e acque reflue sono due settori distinti ad alta criticità (Allegato I del D.Lgs. 138/2024, punti 6 e 7). Rientrano i fornitori e distributori di acqua destinata al consumo umano e le imprese che raccolgono, smaltiscono o trattano acque reflue, se sono medie o grandi imprese: importanti se medie, essenziali se grandi. Chi tratta l'acqua come attività marginale è escluso.

Chi rientra

Acqua potabile (punto 6): fornitori e distributori di acque destinate al consumo umano, come definiti dalla direttiva (UE) 2020/2184. Sono esclusi i distributori per cui la distribuzione di acqua potabile è una parte non essenziale di un'attività generale di distribuzione di altri prodotti e beni.
Acque reflue (punto 7): imprese che raccolgono, smaltiscono o trattano acque reflue urbane, domestiche o industriali, come definite dalla direttiva 91/271/CEE. Sono escluse le imprese per cui questa attività è una parte non essenziale della loro attività generale.

In pratica: il gestore del servizio idrico integrato e le società di depurazione sono il caso tipico; un'industria che depura i propri scarichi, di norma, no.

Essenziale o importante

grande impresa (almeno 250 dipendenti, oppure fatturato oltre 50 milioni e bilancio oltre 43 milioni) → essenziale;
media impresa (almeno 50 dipendenti, oppure fatturato e bilancio oltre 10 milioni) → importante;
piccola impresa → fuori, salvo designazione ACN o identificazione come soggetto critico.

Molti gestori idrici sono società partecipate o controllate da enti pubblici. Per alcune di queste il decreto prevede sanzioni in importo fisso, come per le pubbliche amministrazioni (art. 38, comma 9, lett. c e d), ma solo nei casi individuati secondo l'art. 40, comma 4: se è il tuo caso, fai verificare il regime applicabile.

Rischi e obblighi specifici

Telecontrollo e automazione. Impianti di potabilizzazione, sollevamento e depurazione sono gestiti da sistemi di automazione e telecontrollo, spesso distribuiti sul territorio. Per il decreto sono sistemi informativi e di rete a tutti gli effetti: vanno nell'inventario hardware, che include OT e IoT (ID.AM-01), e i loro accessi remoti vanno documentati e protetti (PR.IR-01) e registrati (PR.PS-04).
Approccio multi-rischio. L'art. 24 chiede di proteggere i sistemi anche da eventi fisici: interruzioni di corrente e di telecomunicazioni, allagamenti, accessi fisici non autorizzati agli impianti (PR.AA-06).
Livelli di servizio. Per riconoscere un incidente significativo di tipo IS-3 servono livelli di servizio attesi definiti e misurabili (DE.CM-01), per esempio sulla disponibilità dei sistemi di controllo.
Autorità di settore: il Ministero dell'ambiente e della sicurezza energetica, per entrambi i settori (art. 11).

Scadenze

Registrazione o aggiornamento sul Portale ACN: ogni anno dal 1° gennaio al 28 febbraio. L'ACN pubblica l'elenco entro il 31 marzo.
Aggiornamento annuale (IP e domini, organi di amministrazione, sostituto del punto di contatto, fornitori rilevanti): dal 15 aprile al 31 maggio.
Categorizzazione di attività e servizi: dal 1° maggio al 30 giugno.
Misure di base: 18 mesi dalla comunicazione ACN per chi è entrato nell'elenco nel 2025 (ottobre 2026); 31 luglio 2027 per chi è entrato nel 2026.
Notifica degli incidenti: già in vigore per la coorte 2025; dal 1° gennaio 2027 per la coorte 2026.
Ogni modifica dei dati registrati va comunicata entro 14 giorni.

Tutte le date, da aggiungere al tuo calendario: calendario delle scadenze NIS2.

Come ti aiuta Epic Assess

Epic Assess è la piattaforma di Mokka Studios per le PMI che devono adeguarsi alla NIS2. Parte dal catalogo delle misure ACN (43 per gli essenziali, 37 per gli importanti), ti mostra cosa manca, tiene il calendario delle scadenze, segue le finestre di notifica degli incidenti e prepara i file per il Portale ACN, come l'elenco dei fornitori rilevanti, in formato conforme al modello ACN. Le proposte della piattaforma sono bozze che approvi tu: la conformità resta una decisione della tua azienda.

Domande frequenti

Siamo un'azienda alimentare con un depuratore interno: rientriamo per le acque reflue?

Di norma no: l'Allegato I esclude le imprese per cui il trattamento delle acque reflue è una parte non essenziale dell'attività generale. Potresti però rientrare per il tuo settore principale, per esempio l'alimentare (Allegato II).

Distribuiamo acqua in bottiglia insieme ad altri prodotti: siamo nel settore acqua potabile?

No, se la distribuzione di acqua è una parte non essenziale di un'attività generale di distribuzione di altri beni: il punto 6 lo esclude espressamente.

Il gestore idrico è una società in house del Comune: cambia qualcosa?

Gli obblighi di sicurezza sono gli stessi. Può cambiare il regime delle sanzioni, che per alcune società partecipate o controllate è in importo fisso, e l'autorità di settore per le società in house individuate tramite l'Allegato IV è la Presidenza del Consiglio. Fai verificare il tuo caso.

Per approfondire

Le pagine degli altri settori:

Fonti

Torna alla NIS2