NIS2 per società in house, partecipate e a controllo pubblico

Le società in house, le partecipate e le società a controllo pubblico sono imprese, non pubbliche amministrazioni. Per la NIS2 questo conta: non rientrano nell'allegato III del d.lgs. 138/2024, quello delle amministrazioni, ma possono entrare per due strade diverse, con regole, tempi e perfino sanzioni diverse. Molte non sanno da quale strada passano, o pensano di essere fuori perché «sono del comune».

Questa guida è per chi amministra una società definita dal testo unico sulle società a partecipazione pubblica (d.lgs. 175/2016): multiservizi, società informatiche regionali e comunali, gestori di trasporti, aeroporti, farmacie comunali e simili.

Le due strade per entrare

L'errore più comune è aspettare una comunicazione. Se la società svolge attività degli allegati I o II e ne ha i requisiti, l'obbligo di registrarsi nasce dalla legge, senza bisogno di essere individuati: l'ACN lo ricorda anche per gli enti culturali, che pure sono nell'allegato IV (FAQ A4.3.1).

La regola generale: come le imprese private

Per l'ACN la riconducibilità alla NIS2 non distingue tra soggetti pubblici e privati: le società in house, partecipate e controllate che svolgono attività degli allegati I e II e sono almeno medie imprese rientrano come qualsiasi impresa (FAQ AMB.PU.2). Le FAQ di settore lo ripetono per acqua potabile, acque reflue, infrastrutture digitali e rifiuti (A1.6.2, A1.7.2, A1.8.5 e A2.2.2).

Per la dimensione, il decreto esclude espressamente la regola europea per cui un'impresa controllata per almeno il 25% da enti pubblici non è una PMI (art. 3, c. 3): conta solo il numero di dipendenti, il fatturato e il bilancio, con il calcolo di gruppo dove ci sono imprese collegate o associate. Se la vostra società fa parte di un gruppo, per esempio una holding con più società operative, verificate il calcolo come spiegato in a chi si applica la NIS2.

I casi più frequenti:

• multiservizi che distribuiscono energia o gas, gestiscono il servizio idrico o i rifiuti: per l'energia basta anche un'attività marginale, per acqua, reflue e rifiuti conta l'attività prevalente, come spiega la guida su acqua, acque reflue e rifiuti;
• società informatiche in house di regioni e comuni che gestiscono sistemi, data center o servizi cloud per gli enti soci: sono fornitori di servizi gestiti o di infrastrutture digitali, anche se lavorano solo per i soci (FAQ A1.8.6 e A1.9.6), e rientrano anche le infrastrutture e i servizi qualificati secondo il Regolamento cloud (FAQ A1.8.2 e A1.8.3);
• società di gestione di aeroporti, porti o reti di trasporto, che stanno nei trasporti dell'allegato I;
• farmacie comunali e società che gestiscono servizi sanitari o socio-sanitari, che vanno valutate come prestatori di assistenza sanitaria.

L'allegato IV: solo con la notifica

L'allegato IV è una scelta italiana: elenca tipologie che entrano solo se l'ACN le individua, a prescindere dalla dimensione. Il punto 4 riguarda proprio le società in house, partecipate e a controllo pubblico; il punto 1 le aziende di trasporto pubblico locale. L'individuazione avviene con determinazioni dell'ACN su proposta dell'autorità di settore, sentito il Tavolo per l'attuazione della disciplina NIS, e viene notificata alla società (art. 3, c. 13).

Tre conseguenze pratiche:

• senza notifica non c'è obbligo per questa voce: si registrano come soggetti dell'allegato IV solo le organizzazioni che hanno ricevuto la notifica (FAQ A4.1);
• non esiste un elenco pubblico: le determinazioni di individuazione sono escluse dall'accesso e dalla pubblicazione (art. 40, c. 6). Fa fede la PEC ricevuta, quindi chi presidia il domicilio digitale deve sapere cosa farne;
• i tempi partono dalla notifica: gli obblighi decorrono dalla sua ricezione (FAQ AMB.PU.2) e la registrazione va fatta entro 30 giorni o, se la notifica arriva dopo il 31 luglio, nella finestra successiva (det. ACN 314287/2026, art. 13).

Chi è individuato è soggetto importante, salvo che l'ACN lo indichi come essenziale (art. 6, c. 2 e 3), e l'ACN può stabilire obblighi che non gli si applicano (art. 32, c. 2, lett. b). L'autorità di settore per le società dell'allegato IV, punto 4, è la Presidenza del Consiglio dei ministri; per il trasporto pubblico locale è il Ministero delle infrastrutture e dei trasporti (art. 11, c. 2, lett. a e f). Chi rientra per la regola generale, invece, ha l'autorità del proprio settore: il Ministero dell'ambiente per energia, acqua e rifiuti, il Ministero delle imprese per le infrastrutture digitali, e così via.

Sanzioni e vertici: cosa cambia rispetto a un'impresa

Per le società dell'allegato IV, punto 4, e per le aziende di trasporto pubblico locale partecipate o controllate, quando sono individuate, il decreto usa gli importi fissi previsti per le pubbliche amministrazioni (art. 38, c. 9, 11 e 14):

• da 25.000 a 125.000 euro per misure, incidenti e obblighi dei vertici se sono essenziali, ridotti di un terzo se importanti;
• da 10.000 a 50.000 euro per registrazione e aggiornamenti, ridotti di un terzo se importanti;
• sanzione per la mancata notifica di un incidente solo se si ripete nell'arco di cinque anni.

Per le società che rientrano solo per la regola generale degli allegati I e II il decreto non prevede questa eccezione: la lettura prudente è considerare le sanzioni ordinarie, fino a 10 milioni di euro o al 2% del fatturato mondiale per gli essenziali e fino a 7 milioni o all'1,4% per gli importanti, con i minimi della legge italiana. Il confronto è in le sanzioni.

Sul governo della sicurezza, la società è responsabile per conto proprio. Approvare le modalità di attuazione delle misure, seguire la formazione e sovrintendere agli obblighi spetta al suo organo di amministrazione (art. 23), e l'approvazione non si delega (FAQ ODA.8). Gli atti di indirizzo e il controllo dell'ente socio non sostituiscono la delibera del consiglio della società.

Un incidente concreto: il data center della società regionale

La società informatica in house di una regione gestisce il data center e i servizi cloud usati dalla regione e da decine di comuni. Un ransomware cifra la piattaforma di virtualizzazione: per tre giorni si fermano protocollo, tributi e servizi online di molti enti.

• La società in house, soggetto NIS come fornitore di data center e cloud, notifica al CSIRT Italia l'incidente sui propri sistemi: pre-notifica entro 24 ore, notifica entro 72, relazione finale entro un mese. Le si applicano anche le soglie del regolamento (UE) 2024/2690, per esempio l'indisponibilità completa di un servizio di data center.
• Gli enti clienti che sono soggetti NIS notificano anch'essi, se l'incidente è significativo per i loro servizi (FAQ ISB.F.2).
• I comuni più piccoli, fuori dalla NIS2, non hanno l'obbligo di notifica NIS, ma restano gli obblighi verso il Garante privacy se sono coinvolti dati personali.

Il contratto di servizio dovrebbe dire chi avvisa chi, entro quanto e con quali informazioni: i tempi di ciascun ente partono da quando viene a conoscenza dell'incidente. I dettagli sono in la notifica degli incidenti, e il lato del fornitore informatico in MSP e fornitori IT.

Da dove partire

1. Elencate le attività della società con gli allegati I e II: energia, acqua, rifiuti, trasporti, servizi informatici, sanità.
2. Calcolate la dimensione con i vostri numeri e con quelli del gruppo, senza la regola del controllo pubblico.
3. Controllate il domicilio digitale: una notifica di individuazione dell'ACN fa partire gli obblighi.
4. Portate il tema in consiglio di amministrazione: approvazioni, formazione dei componenti, punto di contatto.

La verifica gratuita vi dice in pochi minuti se la società rientra e per quale strada. Pilot vi guida poi in otto tappe, con lo scadenzario dei documenti e i link personali per i fornitori: iniziate gratis. Per un affiancamento c'è la consulenza NIS2 dello Studio, anche per le società pubbliche.

Domande frequenti