NIS2 per università, scuole, enti e organismi di ricerca

Ricerca e istruzione sono un caso particolare nella NIS2. La direttiva europea mette nell'allegato II gli «organismi di ricerca» che sfruttano commercialmente i risultati, ma esclude gli istituti di istruzione, e lascia agli Stati la scelta di includere questi ultimi (art. 2, par. 5). L'Italia li ha messi nell'allegato IV, quello dei soggetti che entrano solo se individuati dall'ACN, e ha incluso gli enti pubblici di ricerca tra le pubbliche amministrazioni dell'allegato III.

Il risultato sono tre regimi diversi a seconda di chi siete: un centro di ricerca privato, un ente pubblico di ricerca, un'università o una scuola. Questa guida li mette in fila, con lo status, le autorità e cosa cambia in pratica.

Tre regimi a seconda di chi siete

Organismi di ricerca privati

Per il decreto un organismo di ricerca è un soggetto che ha come obiettivo principale la ricerca applicata o lo sviluppo sperimentale, per sfruttarne i risultati a fini commerciali, e non comprende gli istituti di istruzione (art. 2, c. 1, lett. mmm). La direttiva spiega che si tratta di soggetti che concentrano la parte essenziale della loro attività sulla ricerca applicata o sullo sviluppo sperimentale, nel senso del Manuale di Frascati dell'OCSE, per usarne i risultati in prodotti, processi o servizi (considerando 36).

Due conseguenze pratiche:

• un'impresa industriale con un reparto di ricerca e sviluppo non è per questo un organismo di ricerca: la ricerca non è il suo obiettivo principale. Può però rientrare per ciò che produce, come spiega la guida per le aziende manifatturiere;
• un centro di ricerca, una fondazione o una società di ricerca a contratto che vive di ricerca applicata e ne sfrutta i risultati è un organismo di ricerca e, dalla media impresa in su, è soggetto importante (FAQ ACN A2.7.1). La forma giuridica non conta: anche un'organizzazione senza scopo di lucro può rientrare.

Chi fa ricerca e sviluppo sui medicinali ha invece una voce propria nel settore sanitario dell'allegato I, con status di essenziale per le grandi imprese: ne parla la guida su farmaceutica e dispositivi medici.

Enti pubblici di ricerca

L'allegato III comprende, tra gli «altri soggetti pubblici», gli enti e le istituzioni di ricerca e gli istituti zooprofilattici sperimentali. Come per tutte le pubbliche amministrazioni, la dimensione non conta: basta essere nell'elenco ISTAT delle amministrazioni pubbliche, nella categoria corrispondente (art. 3, c. 6; FAQ A3.1). Questi enti sono soggetti importanti, salvo che l'ACN li indichi come essenziali.

Valgono per loro le regole del settore pubblico: sanzioni a importo fisso invece che in percentuale del fatturato, sanzione per la mancata notifica di un incidente solo in caso di ripetizione entro cinque anni, responsabilità dirigenziale e disciplinare dei dipendenti, possibilità per l'ACN di escludere alcuni obblighi (art. 38, c. 7, 9 e 14; art. 32, c. 2). Le spiega la guida sulla pubblica amministrazione.

Università e scuole

Per l'ACN gli istituti di istruzione, anche se svolgono attività di ricerca, in linea generale non rientrano nella NIS2 (FAQ A2.7.2). Restano due eccezioni:

• l'individuazione: l'ACN, su proposta del Ministero dell'università e della ricerca, può individuare come soggetti essenziali o importanti gli istituti di istruzione che fanno ricerca (allegato IV, punto 2; art. 3, c. 8 e 13). In quel caso arriva una notifica al domicilio digitale e da lì partono gli obblighi;
• le altre attività: come per chiunque, conta ciò che si fa davvero. Un consorzio o una società che offre a più atenei servizi di calcolo, cloud o data center va valutato come infrastruttura digitale, anche se lavora solo per i propri consorziati (FAQ A1.8.6). Le aziende ospedaliero-universitarie sono soggetti distinti, nel settore sanitario (FAQ A3.c.4.3).

Le scuole sono di regola fuori, salvo che svolgano attività degli allegati I e II o siano individuate dall'ACN (FAQ AMB.PU.1). Anche quando non sono soggetti NIS, però, università e scuole usano fornitori che lo sono, dai servizi cloud ai fornitori di connettività, e ne ricevono clausole e richieste.

Autorità di settore e calendario

Per gli organismi di ricerca dell'allegato II e per gli istituti di istruzione dell'allegato IV l'autorità di settore è il Ministero dell'università e della ricerca, anche d'accordo con le altre amministrazioni vigilanti (art. 11, c. 2, lett. g). Per gli enti pubblici di ricerca dell'allegato III, come per tutte le pubbliche amministrazioni, è la Presidenza del Consiglio dei ministri (art. 11, c. 2, lett. a). Registrazione, vigilanza e sanzioni restano all'ACN.

Il calendario è quello di tutti: registrazione dal 1° gennaio al 28 febbraio, aggiornamento delle informazioni dal 15 aprile al 31 maggio, categorizzazione dal 1° maggio al 30 giugno. Per chi è individuato, la registrazione va fatta entro 30 giorni dalla notifica o, se la notifica arriva dopo il 31 luglio, nella finestra successiva (det. ACN 314287/2026, art. 13). Le date sono in le scadenze.

Cosa cambia in un ente di ricerca

Un ente di ricerca è un ambiente aperto: ricercatori ospiti, dottorandi, collaborazioni con altri enti e imprese, strumenti di laboratorio collegati in rete, grandi quantità di dati. Le misure di base dell'ACN chiedono di metterlo in ordine senza chiuderlo:

• identità e accessi: utenze gestite e rivedute periodicamente (PR.AA-01), permessi definiti in una politica (PR.AA-05) e autenticazione a più fattori sui sistemi rilevanti (PR.AA-03), anche per gli ospiti;
• inventario di apparati e software, compresi gli strumenti scientifici collegati alla rete, che sono dispositivi IoT e OT (ID.AM-01 e ID.AM-02);
• dati della ricerca: backup con copie offline per i sistemi rilevanti (PR.DS-11) e cifratura dei dispositivi portatili (PR.DS-01);
• fornitori e partner: piattaforme di calcolo e archiviazione esterne, partner di progetto con accesso ai sistemi, da valutare e vincolare nei contratti (GV.SC-05 e GV.SC-07).

L'elenco completo è in le misure di sicurezza di base.

Un incidente concreto: i risultati che escono

Un centro di ricerca privato di medie dimensioni, soggetto importante, scopre che un attaccante entrato con le credenziali di un collaboratore ha copiato per settimane i dati di un progetto finanziato con un'impresa partner, risultati non ancora pubblicati compresi. Nello stesso attacco un ransomware ferma per giorni i computer che governano gli strumenti di laboratorio.

• I dati del progetto sono usciti verso l'esterno: IS-1.
• Le attività di laboratorio sono ferme oltre i livelli di servizio scritti dal centro (DE.CM-01): IS-3.

Pre-notifica al CSIRT Italia entro 24 ore da quando il centro ne è venuto a conoscenza, notifica entro 72 ore, relazione finale entro un mese. Se tra i dati ci sono dati personali, per esempio di partecipanti a uno studio, c'è anche la notifica al Garante privacy; e il contratto con il partner dirà probabilmente come e quando avvisarlo. I tempi sono in la notifica degli incidenti.

Da dove partire

1. Capite in quale regime siete: organismo di ricerca privato, ente pubblico nell'elenco ISTAT, istituto di istruzione.
2. Per un organismo privato, verificate che la ricerca applicata sia davvero l'obiettivo principale e calcolate la dimensione, gruppo compreso.
3. Per università e scuole, controllate il domicilio digitale e le attività svolte per altri, come calcolo e cloud.
4. Se siete dentro, partite da identità, accessi degli ospiti e inventario degli strumenti collegati.

La verifica gratuita vi dice in pochi minuti se siete dentro e perché. Pilot vi guida poi in otto tappe e tiene in uno scadenzario i documenti da rinnovare: iniziate gratis. Se volete un affiancamento, c'è la consulenza NIS2 dello Studio.

Domande frequenti