NIS2 e settore alimentare: chi è obbligato e cosa deve fare

Produzione industriale, trasformazione e distribuzione all'ingrosso di alimenti: chi rientra nel D.Lgs. 138/2024 e con quali obblighi.

Nel settore alimentare la NIS2 riguarda le imprese che producono e trasformano alimenti a livello industriale o li distribuiscono all'ingrosso (Allegato II del D.Lgs. 138/2024, punto 4). Se la tua impresa è media o grande sei un soggetto importante. Vendita al dettaglio e ristorazione non sono citate.

Chi rientra

L'Allegato II, punto 4 («Produzione, trasformazione e distribuzione di alimenti»), comprende le imprese alimentari, come definite dall'art. 3, punto 2, del regolamento (CE) 178/2002, che si occupano di:

produzione industriale e trasformazione di alimenti;
distribuzione all'ingrosso di alimenti.

Il regolamento 178/2002 definisce impresa alimentare ogni soggetto, pubblico o privato, con o senza fini di lucro, che svolge una qualsiasi attività connessa alle fasi di produzione, trasformazione e distribuzione degli alimenti. Il decreto NIS ne prende solo una parte: quella industriale e l'ingrosso.

Essenziale o importante

L'alimentare è un settore dell'Allegato II, quindi:

media o grande impresa (almeno 50 dipendenti, oppure fatturato e bilancio entrambi oltre 10 milioni di euro) → soggetto importante;
piccola impresa → fuori, salvo designazione ACN;
essenziale solo se designata dall'ACN (art. 6, comma 2) o identificata come soggetto critico.

Nei gruppi e nelle cooperative con società collegate, la dimensione si calcola di regola sommando le imprese associate e collegate (raccomandazione 2003/361/CE).

Rischi e obblighi specifici

Produzione e catena del freddo. Linee di confezionamento, sistemi di dosaggio, sensori di temperatura e magazzini automatici sono sistemi informativi e di rete: l'inventario hardware delle misure ACN comprende i dispositivi OT e IoT (ID.AM-01), e le loro anomalie vanno monitorate (DE.CM-01).
Ordini e spedizioni. Gestionale, scambio ordini con la grande distribuzione, pianificazione delle consegne: se si fermano, si fermano le spedizioni di prodotti deperibili. Servono backup offline dei sistemi rilevanti e test di ripristino (PR.DS-11), più un piano di continuità approvato dagli organi di amministrazione (ID.IM-04).
Livelli di servizio. Per capire quando un fermo è un incidente significativo da notificare (tipologia IS-3) servono livelli di servizio attesi, definiti prima e in modo misurabile (DE.CM-01).
Fornitori. Manutentori di impianti, fornitori di software gestionale e logistica: inventario, requisiti contrattuali e valutazione del rischio (GV.SC-04, GV.SC-05, GV.SC-07), ed elenco annuale dei fornitori rilevanti all'ACN.
Autorità di settore: il Ministero dell'agricoltura, della sovranità alimentare e delle foreste (art. 11).

Scadenze

Registrazione o aggiornamento sul Portale ACN: ogni anno dal 1° gennaio al 28 febbraio. L'ACN pubblica l'elenco entro il 31 marzo.
Aggiornamento annuale (IP e domini, organi di amministrazione, sostituto del punto di contatto, fornitori rilevanti): dal 15 aprile al 31 maggio.
Categorizzazione di attività e servizi: dal 1° maggio al 30 giugno.
Misure di base: 18 mesi dalla comunicazione ACN per chi è entrato nell'elenco nel 2025 (ottobre 2026); 31 luglio 2027 per chi è entrato nel 2026.
Notifica degli incidenti: già in vigore per la coorte 2025; dal 1° gennaio 2027 per la coorte 2026.
Ogni modifica dei dati registrati va comunicata entro 14 giorni.

Tutte le date, da aggiungere al tuo calendario: calendario delle scadenze NIS2.

Come ti aiuta Epic Assess

Epic Assess è la piattaforma di Mokka Studios per le PMI che devono adeguarsi alla NIS2. Parte dal catalogo delle misure ACN (37 per gli importanti, 43 per gli essenziali), ti mostra cosa manca, tiene il calendario delle scadenze, segue le finestre di notifica degli incidenti e prepara i file per il Portale ACN, come l'elenco dei fornitori rilevanti, in formato conforme al modello ACN. Le proposte della piattaforma sono bozze che approvi tu: la conformità resta una decisione della tua azienda.

Domande frequenti

Siamo un grossista alimentare con 80 dipendenti: rientriamo?

Sì, con buona probabilità come soggetto importante: la distribuzione all'ingrosso di alimenti è espressamente citata e superi le soglie della piccola impresa. La conferma arriva con la registrazione sul Portale ACN e la comunicazione dell'Agenzia.

Abbiamo una catena di negozi o ristoranti: siamo nel perimetro?

Per l'attività al dettaglio o di ristorazione, no: il punto 4 dell'Allegato II cita solo produzione industriale, trasformazione e distribuzione all'ingrosso. Se il gruppo ha anche un'attività di ingrosso o di produzione, valutala a parte.

Siamo grandi: siamo essenziali?

No, per il solo settore. L'alimentare è nell'Allegato II e le imprese dell'Allegato II, anche grandi, sono importanti, salvo designazione dell'ACN o identificazione come soggetto critico.

Una piccola azienda di trasformazione deve preoccuparsi?

Come soggetto NIS2, di norma no. Ma se fornisci un cliente NIS2, per esempio un grande trasformatore o un grossista, riceverai richieste sulla tua sicurezza informatica nei contratti e nei questionari.

Per approfondire

Le pagine degli altri settori:

Fonti

Torna alla NIS2