NIS2 e pubblica amministrazione: comuni, regioni, ASL ed enti pubblici

Per un'azienda privata la NIS2 dipende da cosa fa e da quanto è grande. Per una pubblica amministrazione la dimensione non conta: il d.lgs. 138/2024 si applica alle amministrazioni che compaiono nell'elenco ISTAT delle pubbliche amministrazioni e rientrano in una delle categorie dell'allegato III, qualunque sia il numero di dipendenti o il bilancio (art. 3, c. 6). La direttiva europea imponeva di includere le amministrazioni centrali e, in base al rischio, quelle regionali, e lasciava agli Stati la scelta sulle locali (art. 2, par. 2 e 5): l'Italia ne ha incluse una parte.

Questa guida è per chi lavora in un comune, in una regione, in un'azienda sanitaria o in un altro ente pubblico: chi è dentro e chi no, con quale status, cosa cambia rispetto alle imprese e come la NIS2 entra nelle gare d'appalto.

Quali amministrazioni: l'allegato III e l'elenco ISTAT

Il controllo si fa in due passi, come suggerisce l'ACN (FAQ A3.1): si cerca l'ente nell'elenco ISTAT delle amministrazioni pubbliche (art. 1, c. 3, della legge 196/2009) e si verifica che la sua categoria sia tra quelle dell'allegato III.

Le categorie della lettera d) sono quelle dell'elenco ISTAT, e non vanno lette con il significato comune delle parole. Per esempio, sono «enti a struttura associativa» solo gli enti che l'ISTAT classifica in quella categoria (FAQ A3.d.3.1): gli ordini e i collegi professionali, con i loro organismi nazionali, non rientrano nell'allegato III (FAQ A3.d.3.2). Possono però entrare per altre strade, e l'ACN raccomanda di verificare in particolare i servizi informatici gestiti o di infrastruttura digitale offerti agli iscritti, anche se secondari.

Restano fuori per legge il Parlamento, l'autorità giudiziaria, la Banca d'Italia e l'Unità di informazione finanziaria (art. 4, c. 2), e gli enti che operano nella pubblica sicurezza, nella difesa, nel contrasto ai reati e nell'intelligence (art. 4, c. 3). Agli organi costituzionali non si applica il capo V, cioè vigilanza e sanzioni. Il decreto prevede che altre categorie di amministrazioni possano essere aggiunte con decreto del Presidente del Consiglio (art. 3, c. 7).

I comuni: chi è dentro e chi no

Tra gli enti locali la NIS2 tocca le città metropolitane, i comuni con più di 100.000 abitanti e i comuni capoluogo di regione, anche se più piccoli, come Aosta, Potenza o Campobasso. Le Province non compaiono nell'allegato III, salvo le Province autonome di Trento e di Bolzano, che sono tra le amministrazioni regionali.

Per l'ACN, salvo eccezioni, sono invece fuori (FAQ AMB.PU.1):

• i comuni con 100.000 abitanti o meno che non sono capoluogo di regione;
• le unioni di comuni;
• le scuole.

Le eccezioni sono due. La prima: l'ente svolge direttamente un'attività degli allegati I o II, per esempio la distribuzione di energia o un servizio di telecomunicazioni. Per acqua potabile, acque reflue e rifiuti conta però l'attività prevalente, e un comune per cui questi servizi non sono l'attività principale non rientra per questo (FAQ A1.6.3, A1.7.3 e A2.2.3), come spiega la guida su acqua, acque reflue e rifiuti. La seconda: l'ACN individua l'ente su proposta dell'autorità di settore e glielo notifica al domicilio digitale (art. 3, c. 9 e 13).

Un dettaglio che conta nella registrazione: i consigli regionali, provinciali, metropolitani e comunali hanno autonomia amministrativa, organizzativa e contabile, e per l'ACN si registrano separatamente dall'ente di cui fanno parte (FAQ A3.b.1.1).

Anche chi resta fuori, poi, sente la NIS2 attraverso i suoi fornitori: le società in house, i gestori dei servizi pubblici e i fornitori informatici che sono soggetti NIS porteranno nei contratti requisiti e verifiche.

Aziende sanitarie e altri casi da conoscere

Le aziende sanitarie locali sono nell'allegato III e quindi soggetti importanti; poiché prestano assistenza sanitaria, rientrano anche nel settore sanitario dell'allegato I, dove da grandi sono essenziali. Si registrano per entrambe le voci (FAQ A3.c.4.1). Le aziende ospedaliere e ospedaliero-universitarie non sono ASL: rientrano nel settore sanitario e si registrano per conto proprio, anche se l'ASL del loro territorio è già nell'elenco (FAQ A3.c.4.3 e A3.c.4.4). Tutti i dettagli sono nella guida sulla NIS2 in sanità.

Altri casi chiariti dall'ACN:

• aziende pubbliche di servizi alla persona: non sono nell'allegato III, ma possono rientrare come prestatori di assistenza sanitaria se superano la soglia della piccola impresa (FAQ A3.c.4.2);
• enti di ricerca, università e scuole: gli enti e le istituzioni di ricerca dell'elenco ISTAT sono nell'allegato III; università e scuole di regola no, salvo individuazione dell'ACN. I dettagli sono nella guida su università e ricerca;
• musei e biblioteche del Ministero della cultura: le strutture centrali e periferiche del Ministero sono già comprese tra le amministrazioni centrali (FAQ A4.3.2);
• società in house e partecipate: non sono pubbliche amministrazioni dell'allegato III, ma rientrano come le imprese private se svolgono attività degli allegati I e II e sono almeno medie, oppure se l'ACN le individua (FAQ AMB.PU.2). Le regole sono nella guida sulle società in house e partecipate.

Cosa cambia per una PA: ruoli, sanzioni e responsabilità

Gli obblighi sono quelli di tutti i soggetti NIS: registrazione ogni anno dal 1° gennaio al 28 febbraio, misure di sicurezza, notifica degli incidenti e responsabilità dei vertici. Alcune regole però sono pensate per il settore pubblico.

• Il punto di contatto. Una PA può designare come punto di contatto il dipendente di un'altra pubblica amministrazione soggetta alla NIS2, in linea con il referente per la cybersicurezza della legge 90/2024; per ogni ente vanno ripetute associazione e registrazione (FAQ REG.6).
• L'organo che approva. Dove non c'è un consiglio di amministrazione, si individua dalla legge istitutiva e dallo statuto l'organo con funzioni analoghe; il rappresentante legale ne fa sempre parte (FAQ ODA.5). È questo organo che approva i documenti chiave, come le politiche e i piani (art. 23).
• Sanzioni a importo fisso. Per le PA il decreto non usa le percentuali del fatturato. Per misure, incidenti e obblighi dei vertici le sanzioni vanno da 25.000 a 125.000 euro per le amministrazioni essenziali, ridotte di un terzo per le importanti; per registrazione e aggiornamenti da 10.000 a 50.000 euro, anche qui ridotte di un terzo per le importanti (art. 38, c. 9 e 11).
• La notifica mancata. Per la mancata notifica di un incidente la sanzione scatta solo se la violazione si ripete nell'arco di cinque anni, e nei dodici mesi successivi l'ACN può fare verifiche e ispezioni (art. 38, c. 14). Non è un invito a non notificare: restano le responsabilità dei dipendenti descritte qui sotto.
• La responsabilità dei dipendenti. Per chi lavora nella PA la violazione degli obblighi può costituire responsabilità dirigenziale, disciplinare e amministrativo-contabile (art. 38, c. 7).
• Obblighi modulabili. Per le amministrazioni locali e gli altri soggetti pubblici (lettere c e d dell'allegato III) l'ACN può individuare obblighi che non si applicano (art. 32, c. 2).
• La categorizzazione. Le PA che hanno già classificato dati e servizi secondo il Regolamento cloud usano quel modello anche per la categorizzazione NIS, partendo dall'elenco presente sulla piattaforma PA digitale 2026 (FAQ CAT.8). I servizi del Perimetro di sicurezza nazionale cibernetica non si categorizzano, perché sono già a impatto alto (FAQ CAT.9).

L'autorità di settore per le pubbliche amministrazioni è la Presidenza del Consiglio dei ministri (art. 11, c. 2, lett. a); registrazione, vigilanza e sanzioni sono dell'ACN. Il confronto completo tra le sanzioni è in le sanzioni della NIS2.

Gare e contratti: i requisiti di sicurezza nei bandi

Per una PA la misura sulla catena di fornitura (GV.SC-05) ha un effetto molto concreto: i requisiti di sicurezza vanno inseriti nelle richieste di offerta, nei bandi di gara, accordi quadro compresi, nei contratti e nelle convenzioni per le forniture che possono incidere sulla sicurezza dei sistemi informativi. Le FAQ dell'ACN ne hanno chiarito la portata:

• non per tutte le forniture, ma per quelle con potenziali impatti sulla sicurezza dei sistemi, individuate con una valutazione del rischio della fornitura (FAQ MSB.13-MSB.15);
• non tutti i requisiti, né il testo letterale delle misure: basta recepirne il contenuto sostanziale, in proporzione al rischio (FAQ MSB.16);
• servizi non informatici, come pulizie o vigilanza senza strumenti digitali: i requisiti si modulano sull'oggetto del contratto, fino a escluderne alcuni (FAQ MSB.17 e MSB.19);
• raggruppamenti di imprese: le misure le devono rispettare solo le imprese che svolgono la parte della prestazione con impatti sulla sicurezza (FAQ MSB.18);
• contratti in corso: non è obbligatorio modificarli; i requisiti sono obbligatori nei contratti stipulati, rinnovati o prorogati dal termine per le misure di sicurezza (FAQ MSB.12).

Sul versante opposto, l'ACN può imporre obblighi specifici ai soggetti NIS che forniscono servizi, anche digitali, alla pubblica amministrazione (art. 32, c. 1). Come impostare elenco, valutazione e clausole è spiegato in NIS2 e fornitori.

Un incidente in comune: cosa succede

Un lunedì mattina i server del comune non rispondono: un ransomware ha cifrato il gestionale di anagrafe, protocollo e tributi. Gli sportelli chiudono, le pratiche online si fermano e qualche giorno dopo una parte dei dati dei cittadini compare su un sito degli attaccanti. Per la NIS2 ci sono due incidenti significativi:

• IS-3, perché i servizi sono fermi oltre i livelli di servizio che il comune ha scritto (misura DE.CM-01). Se quei livelli non sono mai stati scritti, non si sa nemmeno quando scatta l'obbligo;
• IS-1, perché dati di cui l'ente ha il controllo sono usciti verso l'esterno.

La pre-notifica al CSIRT Italia va fatta entro 24 ore da quando l'ente ne viene a conoscenza, la notifica entro 72 ore e la relazione finale entro un mese. In parallelo c'è la notifica al Garante privacy entro 72 ore per la violazione dei dati personali. Il piano per gli incidenti deve tenere insieme i due canali, chi decide e chi scrive ai cittadini: i dettagli sono in la notifica degli incidenti.

Da dove partire

1. Controllate l'elenco ISTAT e la categoria dell'ente; per i comuni, popolazione e capoluogo.
2. Verificate le altre porte: servizi degli allegati I e II svolti direttamente, notifiche di individuazione arrivate al domicilio digitale, consigli con registrazione separata.
3. Nominate punto di contatto e referente CSIRT e fate approvare all'organo di vertice politiche e piani.
4. Fate l'inventario di sistemi e servizi, compresi quelli affidati a società in house e fornitori, e scrivete i livelli di servizio.
5. Aggiornate i modelli di gara con requisiti di sicurezza proporzionati, da usare dal primo affidamento o rinnovo.

La verifica gratuita vi dice in pochi minuti se l'ente rientra e perché. Pilot vi guida poi in otto tappe e tiene in uno scadenzario i documenti da rinnovare, con i fornitori che caricano report e attestazioni da un link personale: iniziate gratis. Se volete essere affiancati da un ingegnere, c'è la consulenza NIS2 dello Studio.

Domande frequenti