NIS2 e trasporti: chi è obbligato e cosa deve fare

Aereo, ferroviario, marittimo, stradale e trasporto pubblico locale: chi rientra nel D.Lgs. 138/2024 e chi, spesso a sorpresa, no.

I trasporti sono un settore ad alta criticità (Allegato I del D.Lgs. 138/2024), ma l'elenco è preciso: vettori aerei, aeroporti, controllo del traffico aereo, ferrovie, compagnie di navigazione, porti e gestori del traffico stradale e dei sistemi di trasporto intelligenti. Le imprese medie sono importanti, le grandi essenziali. L'autotrasporto merci e la logistica, in quanto tali, non sono nell'elenco.

Chi rientra

L'Allegato I, punto 2, ha quattro sottosettori:

Trasporto aereo: vettori aerei usati a fini commerciali; gestori aeroportuali e aeroporti, compresi i soggetti che gestiscono impianti annessi negli aeroporti; operatori che forniscono il servizio di controllo del traffico aereo;
Trasporto ferroviario: gestori dell'infrastruttura; imprese ferroviarie, compresi gli operatori degli impianti di servizio;
Trasporto per vie d'acqua: compagnie di navigazione interna, marittima e costiera per passeggeri e merci (non la singola nave); organi di gestione dei porti, con i relativi impianti portuali e i soggetti che gestiscono opere e attrezzature all'interno dei porti; gestori dei servizi di assistenza al traffico marittimo (VTS);
Trasporto su strada: autorità stradali responsabili del controllo della gestione del traffico (esclusi gli enti pubblici per cui è un'attività marginale); gestori di sistemi di trasporto intelligenti (ITS).

C'è poi l'Allegato IV, punto 1: i soggetti che forniscono servizi di trasporto pubblico locale. Rientrano a prescindere dalla dimensione, ma solo se individuati dall'ACN su proposta dell'autorità di settore (art. 3, commi 8 e 13).

Essenziale o importante

grande impresa (almeno 250 dipendenti, oppure fatturato oltre 50 milioni e bilancio oltre 43 milioni) → essenziale;
media impresa (almeno 50 dipendenti, oppure fatturato e bilancio oltre 10 milioni) → importante;
piccola impresa → fuori, salvo designazione ACN.

Per il TPL individuato dall'ACN, la categoria la stabilisce l'Agenzia (art. 6, comma 2). Le società di TPL partecipate o controllate da enti pubblici hanno inoltre sanzioni in importo fisso, come le pubbliche amministrazioni (art. 38, comma 9, lett. c e d).

Rischi e obblighi specifici

Servizi che dipendono dalla disponibilità. Biglietteria, prenotazioni, informazioni al pubblico, gestione della flotta: sono i servizi dove un fermo diventa subito un incidente significativo. Per notificarlo serve aver definito prima i livelli di servizio attesi (DE.CM-01): una violazione di quei livelli è la tipologia IS-3.
Sistemi di bordo e di terra. L'inventario hardware comprende dispositivi IoT, OT e mobili (ID.AM-01): validatori, sistemi di localizzazione, apparati di segnalamento gestiti dall'impresa.
Fornitori tecnologici. Molti servizi (ITS, bigliettazione elettronica, cloud) sono affidati a terzi: vanno censiti, valutati e contrattualizzati con requisiti di sicurezza (GV.SC-04, GV.SC-05, GV.SC-07), e quelli rilevanti vanno comunicati all'ACN ogni anno.
Autorità di settore: il Ministero delle infrastrutture e dei trasporti, anche per il TPL (art. 11).

Scadenze

Registrazione o aggiornamento sul Portale ACN: ogni anno dal 1° gennaio al 28 febbraio. L'ACN pubblica l'elenco entro il 31 marzo.
Aggiornamento annuale (IP e domini, organi di amministrazione, sostituto del punto di contatto, fornitori rilevanti): dal 15 aprile al 31 maggio.
Categorizzazione di attività e servizi: dal 1° maggio al 30 giugno.
Misure di base: 18 mesi dalla comunicazione ACN per chi è entrato nell'elenco nel 2025 (ottobre 2026); 31 luglio 2027 per chi è entrato nel 2026.
Notifica degli incidenti: già in vigore per la coorte 2025; dal 1° gennaio 2027 per la coorte 2026.
Ogni modifica dei dati registrati va comunicata entro 14 giorni.

Tutte le date, da aggiungere al tuo calendario: calendario delle scadenze NIS2.

Come ti aiuta Epic Assess

Epic Assess è la piattaforma di Mokka Studios per le PMI che devono adeguarsi alla NIS2. Parte dal catalogo delle misure ACN (43 per gli essenziali, 37 per gli importanti), ti mostra cosa manca, tiene il calendario delle scadenze, segue le finestre di notifica degli incidenti e prepara i file per il Portale ACN, come l'elenco dei fornitori rilevanti, in formato conforme al modello ACN. Le proposte della piattaforma sono bozze che approvi tu: la conformità resta una decisione della tua azienda.

Domande frequenti

Siamo un'azienda di autotrasporto merci: la NIS2 ci riguarda?

Non come settore trasporti: il sottosettore stradale dell'Allegato I comprende solo le autorità stradali che gestiscono il traffico e i gestori di sistemi di trasporto intelligenti. Controlla però gli altri settori: chi offre servizi di corriere rientra nei servizi postali e di corriere (Allegato II). E se lavori per clienti NIS2, le loro richieste arriveranno lo stesso.

Gestiamo il trasporto pubblico locale: siamo automaticamente dentro?

No, non automaticamente. Il TPL è nell'Allegato IV: rientra a prescindere dalla dimensione, ma solo se l'ACN ti individua, su proposta del Ministero delle infrastrutture e dei trasporti, e te lo notifica.

Una società che gestisce un servizio dentro un aeroporto è nel perimetro?

Può esserlo: l'Allegato I comprende i soggetti che gestiscono impianti annessi situati negli aeroporti, e nei porti quelli che gestiscono opere e attrezzature. Resta la soglia dimensionale: sotto la media impresa, di norma, no.

Dobbiamo notificare anche un guasto, non solo un attacco?

Sì, se rientra in una tipologia di incidente significativo. Per il decreto un incidente è qualsiasi evento che compromette disponibilità, integrità, autenticità o riservatezza, anche accidentale. Un fermo che viola i livelli di servizio attesi è un incidente IS-3.

Per approfondire

Le pagine degli altri settori:

Fonti

Torna alla NIS2