NIS2 per e-commerce, marketplace e web agency che registrano domini

Il commercio online compare nella NIS2 sotto una voce precisa: i «fornitori di servizi digitali» dell'allegato II, punto 6, del d.lgs. 138/2024. Comprende i mercati online, i motori di ricerca, i social network e chi offre servizi di registrazione dei nomi di dominio. Non comprende, invece, la maggior parte dei negozi online, e questa è la prima cosa da sapere.

Questa guida è per chi vende online, per chi gestisce piattaforme su cui vendono altri e per le web agency che registrano domini per i clienti: un caso, quest'ultimo, in cui la NIS2 si applica anche a una microimpresa.

E-commerce o marketplace: la differenza che decide

Il decreto definisce il mercato online come un servizio, gestito dal professionista o per suo conto con un software, un sito o un'app, che permette ai consumatori di concludere contratti a distanza con altri professionisti o consumatori (art. 2, c. 1, lett. zz, che rinvia alla direttiva 2005/29/CE). L'ACN ha tracciato il confine in una FAQ (A2.6.2): il decreto si applica a chi gestisce un mercato online su cui si vendono prodotti di terzi, o offre una piattaforma che terzi usano per vendere; non si applica a chi vende i propri prodotti, sul proprio sito o su un mercato online di altri.

La definizione è costruita intorno ai consumatori: una piattaforma che mette in contatto solo imprese tra loro va valutata con attenzione. E un e-commerce che resta fuori da questa voce può comunque rientrare per altre attività: un'industria alimentare o manifatturiera che vende anche online è dentro per quello che produce, come spiegano le guide sull'alimentare e sulla manifattura.

Motori di ricerca e social network

Le altre due voci riguardano raramente le imprese italiane, ma vanno conosciute. Il motore di ricerca online consente di cercare, in linea di principio, su tutti i siti web o su tutti quelli in una lingua (art. 2, c. 1, lett. aaa): un motore di ricerca interno al proprio sito non lo è. La piattaforma di social network consente agli utenti di entrare in contatto, condividere e comunicare tra loro su più dispositivi, con chat, post, video e raccomandazioni (lett. eee). Per entrambe vale la soglia della media impresa.

Chi registra domini: dentro a qualsiasi dimensione

I fornitori di servizi di registrazione dei nomi di dominio sono dentro a prescindere dalla dimensione (art. 3, c. 5, lett. e) e sono soggetti importanti. La definizione comprende il registrar e chiunque agisca per suo conto, come i rivenditori e i fornitori di servizi di registrazione per la privacy o tramite proxy (art. 2, c. 1, lett. qq). L'ACN la legge in modo ampio: rientrano anche gli intermediari tra i clienti e i registrar che non svolgono attività tecniche ma raccolgono le informazioni necessarie ad acquistare un nome di dominio (FAQ A2.6.3).

In pratica: una web agency che compra i domini per i propri clienti attraverso un account da rivenditore, raccogliendone i dati, è un fornitore di servizi di registrazione dei nomi di dominio, anche se ha tre dipendenti. Gli obblighi però sono ridotti, se non svolge altre attività NIS (art. 32, c. 3; FAQ A2.6.3):

• valgono la registrazione sulla piattaforma ACN e gli aggiornamenti annuali (art. 7), la responsabilità e la formazione dei vertici (art. 23) e la banca dei dati di registrazione dei domini (art. 29);
• non valgono le misure di sicurezza dell'articolo 24 e la notifica degli incidenti dell'articolo 25. Resta però l'obbligo di assicurare un livello di sicurezza coerente con quegli articoli: per l'ACN significa adottare politiche di sicurezza coerenti con le misure di base dei soggetti importanti, approvate dai vertici (det. ACN 379907/2025, art. 4, c. 3-4).

La banca dati dell'articolo 29 deve contenere, almeno, il nome di dominio, la data di registrazione, nome, email e telefono di chi registra e i contatti di chi amministra il dominio, se diversi. Servono politiche e procedure pubbliche per verificarne l'esattezza, la pubblicazione dei dati che non sono personali e una risposta entro 72 ore alle richieste di accesso motivate dei soggetti legittimati. Registri e rivenditori possono organizzarsi insieme per non raccogliere due volte gli stessi dati (art. 29, c. 7). Il termine per adeguarsi è di diciotto mesi dalla comunicazione di inserimento nell'elenco NIS (det. 379907/2025, art. 4, c. 1).

Nell'aggiornamento annuale non serve elencare all'ACN tutti i domini registrati per i clienti (FAQ IPD.10). Le violazioni degli articoli 29 e 32 sono sanzionate fino allo 0,07% del fatturato mondiale per i soggetti importanti (art. 38, c. 10-11).

Le altre porte per una web agency

Una web agency fa spesso più mestieri insieme, e ognuno va guardato con la sua regola:

La voce che pesa di più è quella dei DNS: chi offre la risoluzione autoritativa per conto di terzi è un soggetto essenziale anche se è una microimpresa, con tutte le misure e le notifiche. È spiegata in telco, DNS e servizi fiduciari; hosting e cloud in cloud, SaaS e data center.

Status, autorità e regole europee

I fornitori di servizi digitali sono nell'allegato II: chi rientra è soggetto importante anche se è una grande impresa (art. 6, c. 3), con 37 misure e 87 requisiti di base e vigilanza solo in presenza di elementi di violazione. Per la giurisdizione conta lo stabilimento principale nell'Unione (art. 5; FAQ A2.6.1). L'autorità di settore è il Ministero delle imprese e del made in Italy (art. 11, c. 2, lett. c); registrazione, vigilanza e sanzioni sono dell'ACN.

Ai mercati online, ai motori di ricerca e ai social network che sono soggetti NIS si applica anche il regolamento (UE) 2024/2690. Per un mercato online un incidente è significativo, tra l'altro, se il servizio è completamente indisponibile per oltre il 5% degli utenti nell'Unione o oltre 1 milione di utenti, se è meno, oppure se i dati sono compromessi da un'azione che si sospetta malevola (art. 11). Il regolamento non elenca invece i fornitori di servizi di registrazione dei domini.

Due incidenti concreti

Il marketplace. Con credenziali rubate altrove, un attaccante entra negli account di decine di venditori e cambia gli IBAN su cui la piattaforma versa gli incassi. Per giorni i pagamenti finiscono su conti sbagliati. È una perdita di integrità con impatto verso l'esterno (IS-2) e, per il regolamento europeo, dati compromessi da un'azione malevola: pre-notifica al CSIRT Italia entro 24 ore, notifica entro 72, relazione finale entro un mese, oltre agli obblighi del GDPR.

La web agency. Con una email di phishing gli attaccanti rubano la password del pannello da rivenditore dell'agenzia e cambiano i server DNS di quaranta domini dei clienti, deviando siti e posta. Se l'agenzia fa solo registrazione di domini, l'articolo 25 non le si applica e la notifica al CSIRT è volontaria (art. 26); deve però dimostrare di avere un livello di sicurezza coerente, a cominciare dall'autenticazione a più fattori sul pannello. Se invece i DNS autoritativi fossero stati suoi, sarebbe stata un fornitore di servizi DNS, con la notifica obbligatoria. I clienti che sono soggetti NIS, intanto, valutano la notifica per i propri servizi colpiti. I tempi sono in la notifica degli incidenti.

Da dove partire

1. Chiedetevi chi vende sul vostro sito: solo voi, o anche altri?
2. Se registrate domini per i clienti, preparate la registrazione, la banca dati dell'articolo 29 e le politiche di sicurezza da far approvare ai vertici.
3. Controllate dove puntano i DNS dei domini dei clienti: se sono vostri, siete un fornitore di servizi DNS.
4. Calcolate la dimensione per le voci che la richiedono: marketplace, cloud, servizi gestiti.

La verifica gratuita vi dice in pochi minuti se siete dentro e per quale voce. Pilot vi accompagna poi negli adempimenti e tiene in uno scadenzario i documenti da rinnovare: iniziate gratis. Se volete un ingegnere al vostro fianco, c'è la consulenza NIS2 dello Studio.

Domande frequenti