NIS2 nel settore alimentare: chi rientra e cosa fare
Industria alimentare e grossisti sì, negozi e mangimifici no. Chi rientra, come cambiano le cose in stabilimento e cosa succede se un attacco ferma le linee o altera le etichette.
Il cibo è tra i settori che la NIS2 considera critici: un attacco che ferma uno stabilimento o un grossista si sente sugli scaffali in pochi giorni. Il d.lgs. 138/2024 mette la «produzione, trasformazione e distribuzione di alimenti» nell'allegato II, punto 4. Non tutta la filiera, però: il confine è più stretto di quanto sembri leggendo il titolo.
Questa guida spiega chi rientra, con quale status, chi vi segue per conto dello Stato e cosa cambia in pratica in un'impresa alimentare, dalle linee di produzione alle etichette.
Chi rientra, e chi no
L'allegato si riferisce alle «imprese alimentari» definite dal regolamento (CE) 178/2002, ma solo a quelle che svolgono distribuzione all'ingrosso oppure produzione o trasformazione industriale (FAQ ACN A2.4.1). Le FAQ dell'ACN chiariscono anche alcuni casi di confine:
| Attività | NIS2? | Riferimento |
|---|---|---|
| Industria alimentare: caseifici, salumifici, pastifici, conserve, bevande, prodotti da forno industriali | Sì, se media o grande impresa | All. II, punto 4; FAQ A2.4.1 |
| Grossisti alimentari, anche cash and carry che riforniscono altre imprese | Sì, se media o grande impresa | All. II, punto 4; FAQ A2.4.1 |
| Integratori alimentari | Sì: per l'EFSA sono alimenti | FAQ A2.4.4 |
| Mangimi per animali (solo mangimi) | No: non sono alimenti per il consumo umano | FAQ A2.4.2 |
| Sementi (solo sementi) | No | FAQ A2.4.3 |
| Commercio al dettaglio, ristorazione, produzione agricola | Non citati: di regola no, salvo che svolgiate anche una delle attività sopra | All. II, punto 4 |
Ricordate due regole generali dell'ACN: conta ciò che fate davvero, non il codice ATECO in visura (FAQ AMB.GE.3), e basta anche un'attività marginale (FAQ AMB.GE.4). Un'azienda agricola che ha un proprio stabilimento di trasformazione industriale, o una catena di negozi che fa anche distribuzione all'ingrosso, deve quindi guardare con attenzione. Nei casi di confine fate verificare la vostra situazione prima della finestra di registrazione.
Dimensione e status: sempre soggetti importanti
Come per tutto l'allegato II, la NIS2 si applica dalla media impresa in su (art. 3, c. 2): da 50 dipendenti, oppure sotto i 50 con fatturato e totale di bilancio entrambi oltre 10 milioni di euro, sommando i dati del gruppo. Le soglie e il calcolo per i gruppi sono in a chi si applica la NIS2.
Chi rientra solo per il settore alimentare è soggetto importante anche se è una grande impresa: lo status di essenziale per dimensione vale solo per l'allegato I (art. 6, c. 1, lett. a). Quindi:
- 37 misure e 87 requisiti di sicurezza di base (determinazione ACN 379907/2025), tre tipi di incidente da notificare (IS-1, IS-2, IS-3);
- vigilanza «ex post», cioè verifiche e ispezioni solo con elementi che fanno pensare a una violazione (art. 36, c. 2);
- sanzioni fino a 7 milioni di euro o all'1,4% del fatturato mondiale, se superiore (le sanzioni).
E se lo stabilimento ha un impianto di cogenerazione, di biogas o fotovoltaico che vende alla rete l'energia in più? Di solito questo non vi fa diventare produttori di energia elettrica: chi consuma l'energia prodotta nei propri locali e vende il surplus, senza che sia la sua attività principale, è un «cliente attivo», e per l'ACN non rientra per questo, se non svolge altre attività degli allegati I e II (FAQ A1.1.a.4). Il discorso cambia se l'impianto è di una società a parte che vende energia di mestiere: i casi sono nella guida sul settore energia.
Chi vi segue: ACN e Ministero dell'agricoltura
La registrazione, la vigilanza e le sanzioni sono dell'Agenzia per la cybersicurezza nazionale. Per il settore alimentare il decreto designa come autorità di settore il Ministero dell'agricoltura, della sovranità alimentare e delle foreste (art. 11, c. 2, lett. d), che verifica l'elenco dei soggetti e collabora con l'ACN.
La registrazione si fa ogni anno sul Portale ACN dal 1° gennaio al 28 febbraio, e l'anno prosegue con l'aggiornamento delle informazioni (15 aprile – 31 maggio) e la categorizzazione di attività e servizi (1° maggio – 30 giugno). Tutte le date sono in le scadenze.
Cosa cambia in stabilimento e in magazzino
Le misure dell'ACN valgono per i «sistemi informativi e di rete» che servono alle attività per cui siete nella NIS2. In un'impresa alimentare di solito sono questi:
- il gestionale con ordini, lotti e spedizioni, e i collegamenti EDI con la grande distribuzione;
- i sistemi di produzione: supervisione delle linee, dosatori, pastorizzatori, confezionatrici collegate in rete;
- la catena del freddo: sonde di temperatura, centraline delle celle, allarmi da remoto. Sono dispositivi IoT e OT, e la misura ID.AM-01 li vuole nell'inventario;
- le etichette: modelli, dati su ingredienti e allergeni, codici di lotto e scadenza;
- la tracciabilità che la legislazione alimentare vi chiede già di garantire.
Le misure più impegnative per il settore sono spesso quelle sui fornitori: software di produzione in cloud, manutentori delle linee con accesso da remoto, logistica esterna. Vanno elencati, valutati e vincolati nei contratti con requisiti di sicurezza (misure GV.SC-05 e GV.SC-07): come fare è in NIS2 e fornitori.
Incidenti: due esempi concreti
Dal momento in cui scattano gli obblighi, gli incidenti significativi si notificano al CSIRT Italia in 24 ore, 72 ore e un mese. Per un soggetto importante i tipi sono tre, e due si vedono bene in un'impresa alimentare:
- Linee ferme (IS-3). Un ransomware blocca il gestionale e la supervisione: non si producono ordini né etichette. Se il fermo supera i livelli di servizio che avete scritto voi stessi (misura DE.CM-01), è un incidente da notificare. Senza livelli scritti non sapete nemmeno quando scatta.
- Dati alterati che escono dall'azienda (IS-2). Qualcuno modifica i modelli delle etichette o le schede degli allergeni, e il prodotto esce con informazioni sbagliate. È una perdita di integrità con impatto verso l'esterno.
La notifica al CSIRT non sostituisce gli altri obblighi: le procedure di ritiro e richiamo previste dalla legislazione alimentare restano, così come la notifica al Garante privacy se c'è anche una violazione di dati personali. Il piano per gli incidenti deve tenerle insieme: tempi e contenuti sono in la notifica degli incidenti.
Da dove partire
- Mettete per iscritto le attività: produzione industriale, trasformazione, ingrosso, e le eventuali attività di confine.
- Calcolate la dimensione con l'ultimo esercizio chiuso, gruppo compreso.
- Se siete dentro, nominate il punto di contatto e preparate la registrazione per la finestra del 1° gennaio – 28 febbraio.
- Fate l'inventario di sistemi e dispositivi, catena del freddo compresa, e scrivete i livelli di servizio delle linee.
- Partite dalle misure di base: autenticazione a più fattori, backup con una copia fuori rete, aggiornamenti, accessi dei fornitori.
La verifica gratuita vi dice in pochi minuti se siete dentro e perché. Pilot vi guida poi in otto tappe e tiene in uno scadenzario i documenti da rinnovare, con il fornitore IT che carica i suoi report da un link personale: iniziate gratis. Se volete un ingegnere che vi segua, c'è la consulenza NIS2 dello Studio.
Domande frequenti
Pilot vi guida in otto tappe: capite se la NIS2 vi riguarda, preparate registrazione, misure e procedure per gli incidenti, e tenete i documenti in regola con uno scadenzario che vi avvisa prima. Non sostituisce un consulente o un legale: vi fa arrivare preparati.
Preferite essere seguiti da un ingegnere? La consulenza NIS2 dello Studio
Un'azienda di fantasia, Meccanica Rossi, dalla verifica alla registrazione ACN, alle misure, a un incidente simulato e al piano dei primi 90 giorni: per ogni passo cosa chiede la legge e cosa fare in pratica.
Guardate il webinar gratis
