Microimprese come soggetti NIS 2: come risolvere il paradosso della direttiva

Paradosso NIS 2: microimprese come “soggetti essenziali” per automatismo

La normativa NIS 2 è stata concepita con un obiettivo chiaro e urgente: tutelare la sicurezza collettiva rafforzando la resilienza digitale dei soggetti che, per dimensione, settore e funzione, rivestono un ruolo sistemico. Non tutti, quindi.

Ma solo chi, per impatto potenziale, può rappresentare un nodo critico per la continuità dei servizi essenziali.

Tuttavia, nella fase applicativa, sta emergendo un paradosso sempre più evidente. Piccole realtà imprenditoriali, prive di qualunque incidenza strategica autonoma, si trovano classificate come soggetti “essenziali” o “importanti”, unicamente in virtù della loro appartenenza a un gruppo societario strutturato.

A determinare questa anomalia non è un’istruttoria sostanziale, ma spesso un automatismo formale legato alla piattaforma digitale di registrazione e, ancor più frequentemente, la mancata richiesta – o il mancato ottenimento – della clausola di salvaguardia prevista dalla stessa normativa.

È così può avvenire che una microimpresa – con meno di 10 dipendenti e un bilancio minimale di poche decine di migliaia di euro – si può ritrovare caricata degli obblighi previsti per un operatore infrastrutturale critico.

Un effetto perverso che contraddice lo spirito della NIS 2 e rischia di trasformare la norma da strumento di protezione a fardello burocratico.

Il cortocircuito normativo: come nasce l’errore

La classificazione dei soggetti destinatari delle misure NIS 2 avviene sulla base di due criteri principali: il settore di attività e la dimensione dell’organizzazione.

Quest’ultimo parametro è dirimente: in linea generale, le microimprese sono escluse dall’ambito di applicazione del decreto, proprio per evitare l’applicazione sproporzionata di obblighi strutturati su scala industriale.

Tuttavia, il D.lgs.138/2024 all’art. 3, comma 4, richiama una regola stabilita in una raccomandazione comunitaria del 2003: per stabilire se un’impresa è una PMI: non si guardano solo i suoi numeri, ma anche quelli delle imprese associate o collegate.

In pratica, nel calcolo di dipendenti, fatturato e bilancio (i parametri per classificare una PMI), un’azienda di piccole dimensioni può ritrovarsi improvvisamente “ingrandita” sulla carta, solo perché fa parte di un gruppo societario strutturato.

Per evitare che questa logica automatica produca classificazioni sproporzionate e ingiuste, lo stesso decreto prevede una via d’uscita.

L’ultima parte dell’art. 3, comma 4, riconosce la possibilità di chiedere una “clausola di salvaguardia”, una sorta di deroga, per tutte quelle organizzazioni che possono dimostrare di essere indipendenti, nei fatti, dai sistemi informativi e dai servizi critici gestiti dalle imprese collegate.

Il rischio di errore

È in questo spazio di ambiguità che si insinua il rischio di errore. Una microimpresa appartenente a un gruppo con fatturato e bilancio annuo rispettivamente superiori a 50 milioni e a 43 milioni di euro può vedersi automaticamente assimilata ai soggetti rilevanti, se in fase di registrazione non viene attivata – o non viene accolta – la clausola di salvaguardia.

Si tratta di un passaggio tutt’altro che secondario. La clausola di salvaguardia è lo strumento previsto per segnalare l’assenza di condizioni sostanziali di rischio, e per evitare che l’appartenenza a un gruppo diventi, di per sé, una “condanna” normativa.

Ma in molti casi questa opzione viene trascurata, sottovalutata, mal compilata. O, più semplicemente, non conosciuta.

Il risultato? Una distorsione profonda della realtà giuridica ed economica dell’impresa, che si vede attribuito uno status che non le appartiene. Una discrepanza formale che produce effetti materiali di grande portata.

Microimprese: clausola di salvaguardia prevista dalla NIS 2

A volte la salvezza si gioca su una spunta. Per le microimprese, la normativa NIS 2 prevede infatti una via d’uscita. È scritta nero su bianco. Ma, per essere efficace, va conosciuta, compresa e soprattutto attivata.

Si tratta della cosiddetta clausola di salvaguardia, ovvero la possibilità, per i soggetti registrati come “essenziali” o “importanti”, di chiedere il riesame dell’inquadramento, comunicando l’assenza dei presupposti sostanziali previsti dalla norma.

Questo meccanismo può essere attivato in due momenti distinti:

• in fase di registrazione, come dichiarazione puntuale e motivata di esclusione.
• in fase di aggiornamento annuale (tra il 1° gennaio e il 28 febbraio), mediante rettifica o aggiornamento delle informazioni precedentemente trasmesse.

Tuttavia, se la microimpresa non ha richiesto la clausola in sede di registrazione – o se non ha documentato in modo adeguato l’inesistenza dei presupposti di rischio – il sistema potrebbe rigettare l’istanza o ignorarla completamente.

Certo, si tratterrebbe di un errore del compilatore nella fase di inserimento dei dati.

Ed è proprio qui che si manifesta il paradosso: una microimpresa, autonoma e priva di qualsiasi ruolo nei servizi critici del Paese, finisce formalmente intrappolata nel perimetro NIS, senza strumenti immediati per uscirne.

Non si tratta di una distorsione voluta dalla norma, che ha una logica chiara, ma di una procedura di applicazione che forse, alla luce di quanto sta accadendo, potrebbe essere gestita meglio, evitando di gravare realtà marginali con oneri pensati per operatori strategici.

Errori di classificazione e clausola di salvaguardia: si sente il bisogno di più dialogo con l’ACN

In questo contesto, si guarda con fiducia all’ACN, chiamata a un ruolo strategico non solo di vigilanza, ma anche di supporto attivo alle imprese. 

Oggi, infatti, alcune realtà si trovano inquadrate in categorie che non riflettono né la loro effettiva dimensione né il loro peso reale nel sistema dei servizi essenziali.

Il problema non riguarda soltanto i casi legati alla clausola di salvaguardia, ma anche eventuali errori o imprecisioni registrati durante la fase iniziale di iscrizione o nei successivi aggiornamenti dei dati.

Situazioni che rischiano di creare distorsioni e oneri sproporzionati per aziende che, nella sostanza, non rappresentano un nodo critico della resilienza nazionale.

Una possibile evoluzione virtuosa potrebbe essere la creazione di un canale di interlocuzione più diretto e trasparente con le imprese, integrato da procedure guidate sulla piattaforma digitale.

Questo permetterebbe di:

• segnalare rapidamente eventuali errori o anomalie;
• richiedere in maniera più snella l’attivazione della clausola di salvaguardia;
• aggiornare dati e informazioni in modo corretto, con la piena assunzione di responsabilità da parte delle aziende.

Un sistema di questo tipo, arricchito da una storicizzazione automatica delle modifiche, non solo tutelerebbe tutte le parti, ma rafforzerebbe la fiducia degli operatori e l’efficacia stessa della normativa NIS 2.

È pur vero che l’Acn consente già l’apertura di ticket per la segnalazione di errori, ma la grande mole di richieste, unita alla complessità delle verifiche necessarie, comporta tempi di presa in carico e risoluzione che possono risultare lunghi.

Per questo, una soluzione più diretta e mirata potrebbe rappresentare un passo avanti concreto verso un sistema di cyber security nazionale più flessibile e davvero proporzionato.

Nel frattempo l’obbligo resta

In attesa di un’eventuale correzione da parte dell’ACN – a seguito dell’apertura di un ticket e della relativa istruttoria – un’organizzazione è tenuta a rispettare integralmente le misure e le tempistiche previste dal D.lgs. 138/2024, in base allo stato con cui è stata ufficialmente riconosciuta.

In altre parole, la classificazione come soggetto “essenziale” o “importante” produce effetti immediati e vincolanti: fino a quando l’ACN non avrà validato eventuali modifiche o concesso la possibilità di ricorrere alla clausola di salvaguardia, l’impresa deve adempiere a tutti gli obblighi normativi, senza interruzioni né rinvii.

Mantenere credibilità e legittimità dell’impianto normativo

La NIS 2 non è nata per creare ostacoli alle imprese, né per estendere indiscriminatamente obblighi a soggetti irrilevanti. È una norma pensata per rafforzare la protezione collettiva, non per moltiplicare adempimenti formali.

Quando delle microimprese, per un errore di valutazione o per mancanza di supporto qualificato, vengono classificate come soggetto NIS 2, l’intero impianto normativo rischia di perdere credibilità e legittimità.

La norma smette di distinguere chi è davvero critico da chi non lo è.

E si riduce a un sistema che registra, classifica, impone – senza comprendere.

Non basta più l’attenzione. Serve invece una visione, rispetto per ciò che è reale perché la sicurezza digitale non è un esercizio di forma. Conta, infatti, solo ciò che è sostanza, ciò che rende le strutture più solide e non più burocratiche.