NIS2 nel settore chimico: REACH, produttori di articoli e distributori
La voce della chimica rinvia ai ruoli del REACH, e il «produttore di articoli» può toccare anche chi non si sente un'azienda chimica. Chi rientra, i casi incerti e cosa cambia.
Tra i settori della NIS2 la chimica è quello con i confini meno intuitivi. Il d.lgs. 138/2024 non parla di «industria chimica» in generale: l'allegato II, punto 3, rinvia ai ruoli definiti dal regolamento REACH (regolamento (CE) 1907/2006). E uno di quei ruoli, il «produttore di articoli», è così ampio da poter toccare anche aziende che non si considerano chimiche affatto.
Questa guida è per chi fabbrica o distribuisce sostanze e miscele, e per chi produce oggetti a partire da sostanze o miscele: chi rientra secondo l'ACN, i casi incerti, lo status e cosa cambia in reparto e nei documenti che accompagnano i prodotti.
I quattro ruoli REACH che portano nella NIS2
Secondo la FAQ ACN A2.3.1 rientrano, se superano la soglia della piccola impresa, le organizzazioni a cui si applica il REACH e che sono in almeno uno di questi ruoli:
| Ruolo | Definizione REACH (in sintesi) | Esempi |
|---|---|---|
| Fabbricante di sostanze | Chi fabbrica una sostanza nell'Unione (art. 3, punto 9) | produttori di intermedi, solventi, pigmenti, gas tecnici |
| Distributore di sostanze | Chi si limita a immagazzinare e immettere sul mercato una sostanza per venderla a terzi, compreso il rivenditore al dettaglio (art. 3, punto 14) | grossisti e commercianti di prodotti chimici |
| Distributore di miscele | Come sopra, per le miscele di due o più sostanze | distributori di vernici, detergenti, adesivi, lubrificanti |
| Produttore di articoli | Chi produce un oggetto a cui durante la produzione si danno una forma, una superficie o un disegno che ne determinano la funzione più della sua composizione chimica (art. 3, punto 3), a partire da sostanze o miscele | stampaggio di materie plastiche e gomma, molte lavorazioni manifatturiere |
Nella definizione di distributore il REACH comprende espressamente il rivenditore al dettaglio: anche un commercio che vende prodotti chimici al pubblico può ricadere in questa voce, se supera la soglia della piccola impresa.
Il nodo dei «produttori di articoli»
Quasi tutto ciò che esce da una fabbrica è un «articolo» nel senso del REACH: un oggetto la cui funzione dipende dalla forma più che dalla composizione chimica. E quasi tutte le fabbriche partono da sostanze o miscele. Letta alla lettera, quindi, la voce dell'allegato II può riguardare buona parte della manifattura, anche fuori dalle divisioni NACE da C26 a C30 che sono elencate a parte (lo spiega la guida per le aziende manifatturiere).
È una lettura discussa. La stessa proposta europea di modifica della NIS2, COM(2026) 13, vuole chiarire l'ambito del settore chimico; non è stata adottata e oggi vale la lettura dell'ACN. Il limite che l'ACN pone è uno solo: chi è esentato dagli obblighi di registrazione del titolo II del REACH, secondo l'articolo 2 del regolamento, non rientra per la chimica (FAQ A2.3.2). L'ACN precisa che questi chiarimenti valgono in attesa di un consenso a livello europeo.
Un esempio dalle FAQ dell'energia mostra come ragiona l'ACN. Il GPL non è nel sottosettore petrolio, ma chi lo fabbrica o lo distribuisce rientra nella chimica, a meno che non tratti alcun prodotto soggetto a registrazione REACH (FAQ A1.1.d.4 e A1.1.d.5).
Dimensione e status: sempre importanti
Si entra dalla media impresa in su (art. 3, c. 2): da 50 dipendenti, oppure sotto i 50 con fatturato e totale di bilancio entrambi oltre 10 milioni di euro, sommando i dati del gruppo (a chi si applica la NIS2). Basta anche un'attività marginale: per la chimica non c'è l'eccezione della prevalenza.
La chimica è nell'allegato II, quindi chi rientra solo per questa voce è soggetto importante anche se è una grande impresa: 37 misure e 87 requisiti di base, tre tipi di incidente da notificare (IS-1, IS-2, IS-3), vigilanza solo in presenza di elementi di violazione e sanzioni fino a 7 milioni di euro o all'1,4% del fatturato mondiale. Si diventa essenziali, da grandi, solo se si rientra anche per una voce dell'allegato I, come la fabbricazione di farmaci o la produzione di energia.
Chi vi segue: ACN e Ministero delle imprese
Registrazione, vigilanza e sanzioni sono dell'Agenzia per la cybersicurezza nazionale. L'autorità di settore per la fabbricazione, produzione e distribuzione di sostanze chimiche è il Ministero delle imprese e del made in Italy, sentito il Ministero della salute (art. 11, c. 2, lett. c). La registrazione si fa ogni anno dal 1° gennaio al 28 febbraio: i passi sono in registrazione e punto di contatto.
La NIS2 non sostituisce le altre regole del settore. Gli stabilimenti a rischio di incidente rilevante, la sicurezza dei processi e gli obblighi REACH restano come sono: la NIS2 riguarda la sicurezza dei sistemi informatici e di rete che reggono l'attività.
Cosa cambia in reparto e nei documenti
In un'azienda chimica i sistemi critici non sono solo il gestionale e la posta. Ci sono i sistemi di controllo dei processi, le ricette delle produzioni a lotti, i laboratori di controllo qualità e i documenti che accompagnano ogni prodotto, come le schede di dati di sicurezza e le etichette. Le misure dell'ACN che pesano di più:
- Inventario e accessi. Sistemi di controllo, PLC e strumenti di laboratorio collegati in rete vanno nell'inventario (ID.AM-01). Gli accessi da remoto di integratori e costruttori vanno elencati e protetti (PR.IR-01), con l'autenticazione a più fattori sui sistemi rilevanti (PR.AA-03).
- Integrità di ricette e documenti. Una ricetta alterata o una scheda di sicurezza modificata producono effetti fuori dall'azienda. Servono controlli su chi può cambiarle, log delle modifiche (PR.PS-04) e backup dei dati e delle configurazioni, con copie offline per i sistemi rilevanti (PR.DS-11).
- Sistemi che non si aggiornano. Un computer di controllo con un sistema operativo fuori supporto può restare solo con ragioni documentate (PR.PS-02), isolato dal resto della rete.
- Fornitori. Logistica di prodotti pericolosi, laboratori esterni, piattaforme per la gestione delle schede di sicurezza: vanno valutati e vincolati nei contratti (GV.SC-05 e GV.SC-07), come spiega NIS2 e fornitori.
Un incidente concreto: la ricetta alterata
Una media impresa che produce miscele per l'industria scopre che, dopo un accesso non autorizzato al server di produzione, i parametri di alcune ricette sono stati modificati. Due lotti sono già partiti verso i clienti con una composizione diversa da quella dichiarata nelle schede.
- È una perdita di integrità di dati aziendali con impatto verso l'esterno: IS-2.
- Se per verificare e ripristinare i sistemi la produzione si ferma oltre i livelli di servizio scritti dall'azienda (DE.CM-01), è anche un IS-3.
Pre-notifica al CSIRT Italia entro 24 ore da quando ne siete venuti a conoscenza, notifica entro 72 ore, relazione finale entro un mese. In parallelo restano gli obblighi verso i clienti e le autorità previsti dalle norme sui prodotti chimici, che la notifica NIS non sostituisce. Il piano per gli incidenti deve tenere insieme i due binari: tempi e contenuti sono in la notifica degli incidenti.
Da dove partire
- Chiedete a chi segue il REACH quali ruoli ha l'azienda: fabbricante, distributore, produttore di articoli, utilizzatore a valle.
- Verificate le esenzioni dalla registrazione REACH che vi riguardano davvero, con i documenti a supporto.
- Calcolate la dimensione con l'ultimo esercizio chiuso, gruppo compreso.
- Se siete dentro, preparate la registrazione e partite dall'inventario, comprese ricette e documenti di prodotto da proteggere.
La verifica gratuita vi dice in pochi minuti se siete dentro e perché. Pilot vi accompagna poi in otto tappe e tiene in uno scadenzario i documenti da rinnovare, con i fornitori che caricano i loro report da un link personale: iniziate gratis. Se preferite un ingegnere al vostro fianco, c'è la consulenza NIS2 dello Studio.
Domande frequenti
Pilot vi guida in otto tappe: capite se la NIS2 vi riguarda, preparate registrazione, misure e procedure per gli incidenti, e tenete i documenti in regola con uno scadenzario che vi avvisa prima. Non sostituisce un consulente o un legale: vi fa arrivare preparati.
Preferite essere seguiti da un ingegnere? La consulenza NIS2 dello Studio
Un'azienda di fantasia, Meccanica Rossi, dalla verifica alla registrazione ACN, alle misure, a un incidente simulato e al piano dei primi 90 giorni: per ogni passo cosa chiede la legge e cosa fare in pratica.
Guardate il webinar gratis
