NIS2 e manifattura: quali aziende sono obbligate

Dispositivi medici, elettronica, apparecchiature elettriche, macchinari, veicoli e mezzi di trasporto: chi rientra nel D.Lgs. 138/2024 e chi no.

Non tutta la manifattura è nella NIS2: l'Allegato II del D.Lgs. 138/2024 elenca sei sottosettori precisi, dai dispositivi medici ai macchinari e ai veicoli. Se la tua impresa è media o grande e la sua attività rientra in uno di questi, sei un soggetto importante, anche se sei una grande impresa. Chi fa, per esempio, carpenteria metallica o mobili non è nel perimetro per il solo settore.

Chi rientra

L'Allegato II, punto 5 («Fabbricazione»), comprende le imprese che:

a) fabbricano dispositivi medici (regolamento (UE) 2017/745) o dispositivi medico-diagnostici in vitro (regolamento (UE) 2017/746), salvo quelli critici per le emergenze sanitarie, che sono nel settore sanitario dell'Allegato I;
b) fabbricano computer e prodotti di elettronica e ottica (NACE Rev. 2, divisione 26);
c) fabbricano apparecchiature elettriche (divisione 27);
d) fabbricano macchinari e apparecchiature n.c.a. (divisione 28);
e) fabbricano autoveicoli, rimorchi e semirimorchi (divisione 29);
f) fabbricano altri mezzi di trasporto (divisione 30).

Altri comparti industriali hanno un proprio punto negli allegati: la chimica (Allegato II, punto 3), l'alimentare (Allegato II, punto 4, vedi NIS2 e alimentare), la farmaceutica (divisione 21, nel settore sanitario dell'Allegato I, vedi NIS2 e sanità).

Essenziale o importante

La fabbricazione è un settore dell'Allegato II («altri settori critici»), quindi:

media o grande impresa (almeno 50 dipendenti, oppure fatturato e bilancio entrambi oltre 10 milioni) → soggetto importante;
piccola impresa → fuori, salvo designazione ACN;
essenziale solo in casi particolari: designazione dell'ACN (art. 6, comma 2) o identificazione come soggetto critico.

In pratica: 37 misure di base con 87 requisiti, tre tipologie di incidente da notificare, sanzioni fino a 7 milioni di euro o all'1,4% del fatturato mondiale, se superiore.

Rischi e obblighi specifici

La linea di produzione è un sistema informativo. Macchine a controllo numerico, PLC, sistemi di supervisione e MES trattano dati digitali in automatico: per il decreto sono sistemi informativi e di rete. L'inventario hardware delle misure ACN include i dispositivi OT e IoT (ID.AM-01).
Fermo produzione. Se definisci livelli di servizio attesi per la produzione (DE.CM-01), un fermo che li viola è un incidente significativo IS-3 da notificare. Definirli con realismo è una scelta che conviene fare prima, non durante un incidente.
Proprietà intellettuale. Disegni tecnici, ricette di processo e dati di prodotto usciti verso l'esterno sono una perdita di riservatezza (IS-1). La valutazione del rischio dei fornitori deve considerare anche il loro accesso a proprietà intellettuale e dati (GV.SC-07).
Manutenzione da remoto. Costruttori di macchine e integratori spesso accedono da remoto agli impianti: accessi da documentare, proteggere e registrare (PR.IR-01, PR.PS-04).
Autorità di settore: Ministero delle imprese e del made in Italy per le lettere b)–f), sentito il Ministero delle infrastrutture e dei trasporti per veicoli e mezzi di trasporto; Ministero della salute per i dispositivi medici (art. 11).

Scadenze

Registrazione o aggiornamento sul Portale ACN: ogni anno dal 1° gennaio al 28 febbraio. L'ACN pubblica l'elenco entro il 31 marzo.
Aggiornamento annuale (IP e domini, organi di amministrazione, sostituto del punto di contatto, fornitori rilevanti): dal 15 aprile al 31 maggio.
Categorizzazione di attività e servizi: dal 1° maggio al 30 giugno.
Misure di base: 18 mesi dalla comunicazione ACN per chi è entrato nell'elenco nel 2025 (ottobre 2026); 31 luglio 2027 per chi è entrato nel 2026.
Notifica degli incidenti: già in vigore per la coorte 2025; dal 1° gennaio 2027 per la coorte 2026.
Ogni modifica dei dati registrati va comunicata entro 14 giorni.

Tutte le date, da aggiungere al tuo calendario: calendario delle scadenze NIS2.

Come ti aiuta Epic Assess

Epic Assess è la piattaforma di Mokka Studios per le PMI che devono adeguarsi alla NIS2. Parte dal catalogo delle misure ACN (37 per gli importanti, 43 per gli essenziali), ti mostra cosa manca, tiene il calendario delle scadenze, segue le finestre di notifica degli incidenti e prepara i file per il Portale ACN, come l'elenco dei fornitori rilevanti, in formato conforme al modello ACN. Le proposte della piattaforma sono bozze che approvi tu: la conformità resta una decisione della tua azienda.

Domande frequenti

Siamo una grande azienda metalmeccanica con 600 dipendenti: siamo essenziali?

No, per il solo settore. La fabbricazione è nell'Allegato II, e le imprese dell'Allegato II, anche grandi, sono soggetti importanti. Diventeresti essenziale solo se l'ACN ti designasse come tale o se fossi identificato come soggetto critico.

Produciamo componenti in metallo su commessa: rientriamo?

Dipende dalla divisione NACE della tua attività principale. Il punto 5 dell'Allegato II copre solo le divisioni 26–30 e i dispositivi medici. La fabbricazione di prodotti in metallo (divisione 25), per esempio, non è elencata. Il codice ATECO della tua visura è il punto di partenza: le prime due cifre corrispondono alla divisione.

Non siamo nel perimetro, ma un cliente del settore automotive ci chiede la NIS2. Perché?

Perché il tuo cliente deve gestire la sicurezza della sua catena di approvvigionamento (art. 24, lett. d) e, se sei un fornitore rilevante, comunicarti all'ACN. Non diventi soggetto NIS2, ma dovrai dimostrare le misure che ti chiede per contratto.

Contiamo solo la nostra società o tutto il gruppo?

Di regola tutto il perimetro di imprese associate e collegate, come prevede la raccomandazione 2003/361/CE richiamata dall'art. 3, comma 4. Il decreto ammette eccezioni quando il calcolo non è proporzionato, per esempio se i tuoi sistemi sono indipendenti da quelli del gruppo.

Per approfondire

Le pagine degli altri settori:

Fonti

Torna alla NIS2