NIS2 e aziende manifatturiere: chi rientra e cosa cambia in fabbrica

Per molte aziende manifatturiere la NIS2 è arrivata come una sorpresa: non gestiscono reti elettriche né ospedali, eppure il d.lgs. 138/2024 le mette tra i «settori critici». È l'allegato II, punto 5, che porta dentro chi fabbrica macchinari, elettronica, apparecchiature elettriche, veicoli e dispositivi medici. A questi si aggiunge la voce della chimica, che l'ACN legge in modo molto ampio.

Questa guida è per chi dirige un'impresa di produzione: chi rientra, con quale status, chi vi controlla e cosa cambia in pratica dentro lo stabilimento, dove i computer non sono solo in ufficio ma anche a bordo delle macchine.

Quali fabbricazioni sono nella NIS2

A differenza del resto degli allegati, qui il decreto descrive le attività con i codici della classificazione europea NACE Rev. 2, che in Italia corrisponde alla classificazione ATECO. Per queste voci, quindi, il codice conta davvero: l'ACN guarda all'attività economica che svolgete nella divisione indicata (FAQ ACN AMB.GE.3 e A2.5.b.1-A2.5.f.1).

Due conseguenze pratiche. La prima: molte lavorazioni tipiche della subfornitura italiana, come la fabbricazione di prodotti in metallo (C25), la plastica (C22) o il mobile (C31), non sono in questo elenco. La seconda: basta che l'attività elencata sia una parte di ciò che fate, anche piccola, perché per l'ACN conta anche un'attività marginale (FAQ AMB.GE.4). Un'azienda di carpenteria che costruisce anche qualche linea di macchine su commessa deve guardare con attenzione alla C28.

I produttori di dispositivi medici ritenuti critici in un'emergenza di sanità pubblica stanno invece nell'allegato I, settore sanitario, insieme alla farmaceutica (C21): sono settori ad alta criticità, con le conseguenze sullo status che vediamo sotto.

Le altre porte d'ingresso per chi produce

Anche se non siete in una delle divisioni da C26 a C30, la NIS2 può riguardarvi per altre strade. Le più frequenti in un'impresa manifatturiera sono queste.

• La chimica secondo il REACH. L'allegato II, punto 3, comprende chi fabbrica o distribuisce sostanze chimiche. L'ACN vi fa rientrare anche i «produttori di articoli» secondo il regolamento REACH, cioè chi fabbrica o assembla oggetti a partire da sostanze o miscele (FAQ A2.3.1), escludendo solo chi è esentato dagli obblighi di registrazione REACH (A2.3.2). È una lettura molto ampia, che potrebbe toccare buona parte della manifattura e che la stessa proposta europea di modifica vorrebbe chiarire. Valutate il caso con chi segue il REACH in azienda.
• L'energia prodotta in stabilimento. Chi produce energia elettrica è nell'allegato I, ma un impianto fotovoltaico o di cogenerazione che vi serve per consumare l'energia e che vende in rete il surplus, senza che sia la vostra attività principale, vi rende «clienti attivi», non produttori: per l'ACN, se non svolgete altre attività degli allegati I e II, per questo non rientrate (FAQ A1.1.a.4). Diverso è il caso di una società del gruppo che produce energia di mestiere. I dettagli sono nella guida sul settore energia.
• I servizi informatici del gruppo. La società che gestisce l'informatica per le altre società del gruppo può essere un fornitore di servizi gestiti, anche se lavora solo per il gruppo (FAQ A1.9.6). Ne parliamo nella guida per MSP e fornitori IT.
• I legami con un soggetto NIS. Se gestite i sistemi informatici o la sicurezza di una società del vostro gruppo che è soggetto NIS, siete dentro a prescindere dalla dimensione (art. 3, c. 10).

Dimensione e status: importanti anche se grandi

Per l'allegato II vale la regola dimensionale: siete dentro se superate la soglia della piccola impresa, cioè dalla media impresa in su (art. 3, c. 2). In pratica da 50 dipendenti, oppure sotto i 50 ma con fatturato e totale di bilancio entrambi oltre 10 milioni di euro. Se fate parte di un gruppo, si sommano i dati delle imprese collegate e la quota delle associate: le soglie sono spiegate in a chi si applica la NIS2 e, per le imprese più piccole, in NIS2 e PMI.

Un punto spesso frainteso: chi rientra solo per l'allegato II è soggetto importante anche se è una grande impresa. Lo status di essenziale, per dimensione, è riservato all'allegato I (art. 6, c. 1, lett. a). Per una manifattura questo significa:

• 37 misure e 87 requisiti di sicurezza di base, invece di 43 e 116 (determinazione ACN 379907/2025);
• vigilanza solo «ex post»: l'ACN fa verifiche e ispezioni se ha elementi che fanno pensare a una violazione (art. 36, c. 2);
• sanzioni fino a 7 milioni di euro o all'1,4% del fatturato mondiale, se superiore, con il minimo previsto dalla legge italiana (le sanzioni).

Le cose cambiano se rientrate anche per una voce dell'allegato I, come la farmaceutica o la fabbricazione di dispositivi medici critici: in quel caso, da grandi, sareste essenziali.

Chi vi segue: l'ACN e le autorità di settore

L'autorità che registra, vigila e sanziona è sempre l'Agenzia per la cybersicurezza nazionale. Accanto a lei il decreto designa le autorità di settore, che verificano l'elenco dei soggetti e collaborano all'attuazione (art. 11):

• il Ministero delle imprese e del made in Italy per l'elettronica, le apparecchiature elettriche e i macchinari (C26, C27, C28), per autoveicoli e altri mezzi di trasporto (C29 e C30, sentito il Ministero delle infrastrutture e dei trasporti) e per la chimica (sentito il Ministero della salute);
• il Ministero della salute per i dispositivi medici e diagnostici in vitro e per il settore sanitario.

La registrazione si fa comunque sul Portale dell'ACN, ogni anno dal 1° gennaio al 28 febbraio: i passi sono in registrazione e punto di contatto.

In fabbrica: macchine, PLC e manutentori

Le misure dell'ACN non distinguono tra ufficio e reparto: valgono per i «sistemi informativi e di rete», e in uno stabilimento ne fanno parte anche i controlli delle macchine, gli HMI, i PLC collegati in rete e i sistemi di supervisione. Ecco dove una manifattura trova di solito più lavoro.

• L'inventario comprende l'OT. La misura ID.AM-01 chiede un inventario aggiornato degli apparati, «ivi inclusi i dispositivi IT, IoT, OT e mobili». Le macchine collegate alla rete, i PC di linea e i gateway di telemetria vanno censiti come i server.
• Gli accessi da remoto dei costruttori. Molte macchine sono assistite da remoto da chi le ha costruite. La misura PR.IR-01 chiede di documentare le attività consentite da remoto e di tenere l'elenco dei sistemi raggiungibili da fuori, con le modalità di accesso. Il costruttore diventa un fornitore da valutare (GV.SC-07), con requisiti di sicurezza nel contratto (GV.SC-05).
• I sistemi che non si possono aggiornare. PR.PS-02 chiede di usare software per cui sono disponibili aggiornamenti di sicurezza, «fatte salve motivate e documentate ragioni normative o tecniche». Il PC con un sistema operativo fuori supporto che governa un centro di lavoro non si butta: si scrive perché resta, si isola e si accetta il rischio residuo nel piano di trattamento.
• I backup delle configurazioni. PR.DS-11 parla di backup «dei dati e delle configurazioni»: in reparto vuol dire anche programmi dei PLC, ricette e parametri delle macchine, senza i quali una linea non riparte.
• I livelli di servizio della produzione. DE.CM-01 chiede di scrivere i livelli di servizio attesi. Se un ransomware ferma le linee oltre il limite che avete fissato, è un incidente significativo da notificare al CSIRT Italia (tipo IS-3): i tempi sono in la notifica degli incidenti.

L'elenco completo, con chi fa cosa tra azienda e fornitore IT, è in le misure di sicurezza di base.

Se la NIS2 ce l'ha il vostro cliente

Molti terzisti e subfornitori sono fuori dalla NIS2, ma lavorano per gruppi che ci sono dentro. Essere fornitori non basta per entrare (FAQ ACN AMB.GE.6), però il cliente deve valutare il rischio che portate, mettere requisiti di sicurezza nei contratti e verificarli. Aspettatevi questionari, clausole e richieste di prove: come prepararvi è spiegato in NIS2 e fornitori.

Non confondete la NIS2 con il Cyber Resilience Act (regolamento (UE) 2024/2847): quello riguarda la sicurezza dei prodotti con elementi digitali che mettete sul mercato, per esempio una macchina con software e connettività. La NIS2 riguarda invece l'organizzazione dell'azienda e i suoi sistemi. Un costruttore di macchine può doversi occupare di entrambi: le differenze e le date sono in NIS2 e Cyber Resilience Act.

Da dove partire

1. Controllate i codici delle attività che svolgete davvero, non solo quello prevalente in visura, e confrontateli con le divisioni da C26 a C30.
2. Verificate le altre porte: REACH, servizi informatici del gruppo, legami con società che sono soggetti NIS.
3. Calcolate la dimensione con l'ultimo esercizio chiuso, gruppo compreso.
4. Se siete dentro, preparate la registrazione e partite dall'inventario, reparto compreso: è la base di quasi tutte le altre misure.

Con la verifica gratuita sapete in pochi minuti se siete dentro e perché. Poi Pilot vi accompagna in otto tappe, dalle misure allo scadenzario dei documenti, e il fornitore IT o il costruttore delle macchine caricano i loro documenti da un link personale: iniziate gratis. Se preferite essere seguiti da un ingegnere, c'è la consulenza NIS2 dello Studio.

Domande frequenti