NIS2 e settore energia: chi è obbligato e cosa deve fare

Elettricità, gas, petrolio, idrogeno, teleriscaldamento e ricarica: chi rientra nel D.Lgs. 138/2024 e con quali obblighi.

L'energia è un settore ad alta criticità (Allegato I del D.Lgs. 138/2024): ne fanno parte produttori, distributori, fornitori e gestori di reti di elettricità e gas, oltre a petrolio, idrogeno, teleriscaldamento e punti di ricarica. Se la tua impresa è media o grande, rientri nella NIS2: essenziale se grande, importante se media.

Chi rientra

L'Allegato I, punto 1, elenca cinque sottosettori. In sintesi, le tipologie di soggetto sono:

Energia elettrica: imprese che vendono elettricità ai clienti (attività di «fornitura»), gestori dei sistemi di distribuzione e di trasmissione, produttori, gestori del mercato elettrico designati, partecipanti al mercato che offrono aggregazione, gestione della domanda o stoccaggio, gestori di punti di ricarica che forniscono il servizio agli utenti finali;
Teleriscaldamento e teleraffrescamento: i gestori;
Petrolio: gestori di oleodotti, di impianti di produzione, raffinazione, trattamento, deposito e trasporto, organismi centrali di stoccaggio;
Gas: imprese fornitrici, gestori dei sistemi di distribuzione e trasporto, degli impianti di stoccaggio e GNL, imprese di gas naturale, gestori di impianti di raffinazione e trattamento;
Idrogeno: gestori di impianti di produzione, stoccaggio e trasporto.

Ogni tipologia rimanda alla definizione della direttiva europea di settore (per esempio la direttiva (UE) 2019/944 per l'elettricità): se il tuo caso è di confine, la definizione esatta è lì.

Essenziale o importante

La regola è quella generale dell'art. 6, applicata a un settore dell'Allegato I:

grande impresa (almeno 250 dipendenti, oppure fatturato oltre 50 milioni e bilancio oltre 43 milioni) → soggetto essenziale;
media impresa (almeno 50 dipendenti, oppure fatturato e bilancio oltre 10 milioni) → soggetto importante;
piccola o micro impresa → di norma fuori, salvo designazione dell'ACN o identificazione come soggetto critico.

Per la dimensione si contano, di regola, anche le imprese associate e collegate: nei gruppi energetici è spesso questo a spostare la categoria.

Rischi e obblighi specifici

Impianti e sistemi di controllo. Per il decreto un «sistema informativo e di rete» è anche qualsiasi dispositivo che tratta dati digitali in automatico. L'inventario dell'hardware richiesto dalle misure ACN comprende esplicitamente i dispositivi OT e IoT (ID.AM-01): telecontrollo, sistemi di automazione, contatori intelligenti.
Accessi da remoto. Manutentori e fornitori che si collegano agli impianti vanno censiti, con le modalità di accesso documentate (PR.IR-01) e registrate (PR.PS-04). Per gli essenziali serve anche l'inventario dei flussi di rete verso l'esterno (ID.AM-03).
Continuità. Piano di continuità operativa, di disaster recovery e di gestione delle crisi informatiche, approvati dagli organi di amministrazione (ID.IM-04).
Regimi che si sommano. Chi era già operatore di servizi essenziali con la vecchia NIS (D.Lgs. 65/2018) mantiene le misure adottate sui sistemi OSE; chi è nel Perimetro di sicurezza nazionale cibernetica segue quella disciplina per i beni censiti (art. 33); i soggetti critici della direttiva (UE) 2022/2557 sono essenziali a prescindere dalla dimensione.
Autorità di settore: il Ministero dell'ambiente e della sicurezza energetica (art. 11), che affianca l'ACN.

Scadenze

Registrazione o aggiornamento sul Portale ACN: ogni anno dal 1° gennaio al 28 febbraio. L'ACN pubblica l'elenco entro il 31 marzo.
Aggiornamento annuale (IP e domini, organi di amministrazione, sostituto del punto di contatto, fornitori rilevanti): dal 15 aprile al 31 maggio.
Categorizzazione di attività e servizi: dal 1° maggio al 30 giugno.
Misure di base: 18 mesi dalla comunicazione ACN per chi è entrato nell'elenco nel 2025 (ottobre 2026); 31 luglio 2027 per chi è entrato nel 2026.
Notifica degli incidenti: già in vigore per la coorte 2025; dal 1° gennaio 2027 per la coorte 2026.
Ogni modifica dei dati registrati va comunicata entro 14 giorni.

Tutte le date, da aggiungere al tuo calendario: calendario delle scadenze NIS2.

Come ti aiuta Epic Assess

Epic Assess è la piattaforma di Mokka Studios per le PMI che devono adeguarsi alla NIS2. Parte dal catalogo delle misure ACN (43 per gli essenziali, 37 per gli importanti), ti mostra cosa manca, tiene il calendario delle scadenze, segue le finestre di notifica degli incidenti e prepara i file per il Portale ACN, come l'elenco dei fornitori rilevanti, in formato conforme al modello ACN. Le proposte della piattaforma sono bozze che approvi tu: la conformità resta una decisione della tua azienda.

Domande frequenti

Vendiamo energia elettrica ma siamo una piccola società: rientriamo?

Di norma no: sotto i 50 dipendenti e con fatturato o bilancio entro i 10 milioni sei una piccola impresa, e la NIS2 non si applica per il solo settore. Restano due eccezioni: la designazione da parte dell'ACN (art. 3, comma 9) e l'identificazione come soggetto critico. E se hai clienti NIS2, riceverai comunque le loro richieste come fornitore.

Gestiamo colonnine di ricarica: siamo nel perimetro?

Sì, se il servizio di ricarica è fornito agli utenti finali e superi le soglie della piccola impresa: i gestori di punti di ricarica sono una tipologia esplicita del sottosettore energia elettrica. Media impresa: importante; grande: essenziale.

Eravamo già operatori di servizi essenziali con la vecchia NIS. Cosa cambia?

Restate nel perimetro. Secondo la Guida alla lettura dell'ACN, sui sistemi OSE va mantenuto quanto già adottato con il D.Lgs. 65/2018; per gli altri sistemi informativi e di rete si applicano le misure di base della nuova disciplina.

Gli impianti industriali contano, o solo l'IT d'ufficio?

Contano anche gli impianti: la definizione di sistema informativo e di rete del decreto copre ogni dispositivo che tratta dati digitali in automatico, e l'inventario richiesto dall'ACN include i dispositivi OT.

Per approfondire

Le pagine degli altri settori:

Fonti

Torna alla NIS2