Risposta rapida. NIS2 e automazione industriale: se programmi macchine per un cliente che rientra nella NIS2, quasi sempre la NIS2 non ti tocca direttamente: ti arriva dal contratto, con clausole su accessi remoti, inventario degli apparati e segnalazione degli incidenti. Ti porta dentro in prima persona essere un costruttore di macchine non piccolo, una designazione ACN come fornitore critico, o essere un’impresa collegata a un soggetto NIS che ne gestisce sistemi, sicurezza o servizi TIC (art. 3, comma 10). Caso aperto: entri nella rete del cliente con dispositivi tuoi e non sei piccola impresa. È la definizione ACN di fornitore di servizi gestiti, ma non abbiamo trovato atti che la applichino all’OT. Come fabbricante hai poi obblighi diretti che non sono NIS2: dall’11 settembre 2026 l’art. 14 del Cyber Resilience Act (Reg. UE 2024/2847) impone il preallarme entro 24 ore per le vulnerabilità attivamente sfruttate nei tuoi prodotti. Qui non lo trattiamo.

Non è consulenza legale. È scritto da chi programma PLC, per chi programma PLC. Riporta cosa dicono i testi ufficiali, con l’articolo accanto, e dichiara quali sono le nostre letture. Per decidere se la tua azienda è un soggetto NIS, o cosa firmare, serve un legale o una domanda all’ACN.

Copriamo il recepimento italiano, il D.Lgs. 4 settembre 2024, n. 138, applicato dal 18 ottobre 2024 (art. 41, comma 1). Altri Stati membri hanno procedure proprie. Date controllate al 29 settembre 2026.

1. Chi è nel perimetro, e chi no

La direttiva (UE) 2022/2555 vale per i soggetti degli allegati I e II «che sono considerati medie imprese» o più grandi (art. 2, par. 1). Il decreto italiano lo dice al contrario: si applica a chi supera «i massimali per le piccole imprese» (art. 3, comma 2).

La piccola impresa è definita dalla Raccomandazione 2003/361/CE, allegato, art. 2, par. 2: «un’impresa che occupa meno di 50 persone e realizza un fatturato annuo o un totale di bilancio annuo non superiori a 10 milioni di EUR». Due dettagli spostano il risultato. Le persone si contano in unità lavorative-anno (ULA), con part-time e stagionali in frazione (art. 5). E si cambia categoria solo dopo due esercizi consecutivi sopra soglia (art. 4).

Per chi costruisce macchine conta l’allegato II, punto 5: manifattura, divisioni NACE 26, 27, 28 («macchinari e apparecchiature n.c.a.»), 29 e 30. La FAQ ACN A2.5.d.1 guarda all’attività «(sostanziale)» e chiude: «Tali organizzazioni sono considerate soggetti importanti.» L’autovalutazione la fa la singola persona giuridica (FAQ REG.1), ma per la dimensione si sommano collegate e associate (Raccomandazione, allegato, art. 6), salvo che non sia proporzionato (decreto, art. 3, comma 4).

E il fornitore? La FAQ ACN AMB.GE.6 è netta: chi non soddisfa i criteri dell’art. 3 non rientra «per il solo fatto di fornire servizi a soggetti NIS». I soggetti NIS, invece, «dovranno imporre obblighi contrattuali ai propri fornitori».

Fornire servizi a un soggetto NIS non ti porta, da solo, nel perimetro: lo scrive la FAQ ACN AMB.GE.6.

2. Scadenze e tempi di notifica

Ogni anno, dal 1° gennaio al 28 febbraio, ci si registra sulla piattaforma ACN o si aggiorna la registrazione (art. 7, comma 1). Dal 15 aprile al 31 maggio il soggetto NIS aggiorna i propri dati, compreso l’elenco dei fornitori rilevanti (art. 7, comma 4; Det. ACN 127437/2026, art. 16).

La scadenza delle misure di base dipende dall’anno di inserimento del cliente nell’elenco:

Per chi è entrato nel 2025 il giorno esatto non è pubblicato: dipende dalla data della PEC di inserimento ricevuta dal singolo soggetto.

Gli obblighi a lungo termine, quelli che seguono la categorizzazione di attività e servizi, l’ACN li aveva annunciati «entro aprile 2026». Al 29 settembre 2026 non abbiamo trovato, nell’elenco dei provvedimenti sul sito ACN, la determinazione che li adotta. Se qualcuno te li descrive in dettaglio, chiedigli da quale atto li prende.

La notifica degli incidenti è all’art. 25, comma 5. Al CSIRT Italia va una pre-notifica entro 24 ore da quando il soggetto è venuto a conoscenza dell’incidente significativo, la notifica con una prima valutazione entro 72 ore, la relazione finale entro un mese da quella notifica. Se l’incidente è ancora in corso, il decreto chiede una «relazione mensile sui progressi».

Chi notifica? Il cliente: per la FAQ ACN ISB.F.1 (esempio: manutenzione HVAC) l’obbligo «è in capo al soggetto NIS cliente», che potrà coinvolgere il fornitore. La FAQ ISB.F.3 dice «tempestivamente», ma è scritta per il cloud: estenderla alla teleassistenza su un PLC è una lettura nostra. Nei testi che abbiamo letto non ci sono ore fissate per il fornitore: le fissa il contratto.

3. Sanzioni: di chi sono

Le sanzioni dell’art. 38 colpiscono il soggetto NIS. Per violazioni di governance, misure e notifica (artt. 23, 24, 25):

• essenziali: fino a 10.000.000 di euro o al 2% del fatturato mondiale annuo, se superiore; minimo un ventesimo del massimo edittale;
• importanti: fino a 7.000.000 di euro o all’1,4%, se superiore; minimo un trentesimo del massimo edittale (comma 9).

Per le violazioni amministrative, come la mancata collaborazione con l’ACN, il tetto è lo 0,1% del fatturato per gli essenziali e lo 0,07% per gli importanti (commi 10 e 11). Chi non si registra o si registra in ritardo si vede contestare tutte le violazioni dei commi 8 e 10, con la più grave aumentata fino al triplo (comma 13). Dopo una diffida ignorata, gli amministratori rischiano l’incapacità temporanea a svolgere funzioni dirigenziali (commi 5 e 6).

Vigilanza: artt. 36 e 37 del decreto. Verso gli importanti i poteri ispettivi scattano solo con indizi di violazione (art. 36, comma 2), e l’ACN «non puo’ prescrivere l’esecuzione periodica di audit» agli importanti (art. 37, comma 3). Attenzione se leggi la direttiva in italiano: l’art. 32, par. 2, e il titolo dell’art. 33 hanno «essenziali» e «importanti» scambiati rispetto al testo inglese. Per l’Italia si citano gli artt. 36 e 37 del D.Lgs.

Fuori perimetro, questi importi non sono tuoi: rischi quello che firmi, cioè penali e risoluzione. Lettura nostra, coerente con la FAQ AMB.GE.6.

4. Obbligo contrattuale o obbligo diretto

La via normale: il contratto

Le specifiche di base ACN (Det. 379907/2025, allegato 1) chiedono al soggetto NIS un inventario dei fornitori «con potenziali impatti sulla sicurezza» (GV.SC-04), requisiti di sicurezza nelle richieste d’offerta e nei contratti (GV.SC-05) e una valutazione del rischio che guarda anche al livello di accesso del fornitore ai sistemi (GV.SC-07). Il decreto chiede di considerare le pratiche dei fornitori, «comprese le loro procedure di sviluppo sicuro» (art. 24, comma 3).

Per le FAQ ACN MSB.15 e MSB.16 i requisiti non servono per tutte le forniture, né vanno trasferiti tutti nel contratto. Una clausola copiata per intero si discute.

Le vie dirette

• Sei tu il soggetto NIS. Costruttore con attività sostanziale in divisione 28, non piccola impresa: soggetto importante (FAQ A2.5.d.1). Le misure riguardano i sistemi informativi e di rete che i soggetti «utilizzano» nelle loro attività (art. 24, comma 1). Nella nostra lettura: ufficio tecnico, server dei progetti, teleassistenza, non la macchina che consegni.
• Fornitore di servizi gestiti. Per l’ACN c’è «assistenza o amministrazione attiva» con un’interconnessione diretta fra le reti, per esempio quando «il fornitore può accedere a reti e sistemi informativi del cliente da remoto tramite dispositivi del fornitore stesso». Fra le attività: «l’aggiornamento della configurazione, del software o del firmware» (FAQ A1.9.2 e A1.9.3). Esclusi chi opera «su dispositivi messi a disposizione dal cliente stesso» e chi dà solo istruzioni. Vale sopra la soglia della piccola impresa.
• Fornitore rilevante. Il soggetto NIS elenca ogni anno i fornitori rilevanti con denominazione, codice fiscale e codici CPV (Det. 127437/2026, art. 18). Rilevante è anche la fornitura «non fungibile», la cui interruzione ha un impatto significativo sul cliente, anche per mancanza di fornitori alternativi (art. 1, lettera ll). Lo scopo, dice l’ACN il 13 aprile 2026: selezionare i fornitori, «coloro i quali dovranno essere individuati quali soggetti importanti o essenziali». La designazione vale anche per un’impresa piccola (art. 3, comma 9, lettera f).

La domanda aperta: un integratore OT che fa teleassistenza col proprio router è un fornitore di servizi gestiti? Ogni pezzo è scritto, la conclusione no: non abbiamo trovato FAQ o atti ACN che applichino la definizione agli integratori OT. Chiedilo all’ACN.

NIS2 e automazione industriale: tre profili di fantasia

Se l’officina è l’unica a conservare il software di un impianto, secondo noi è una fornitura «non fungibile». Chi compila l’elenco, però, è il cliente.

Scenario d’esempio: la Linea P1

Impianto di fantasia. La Linea P1 è una linea di pallettizzazione con un PLC S7-1500 (192.168.10.10), un pannello HMI Comfort (192.168.10.20), due ET 200SP (192.168.10.31 e .32), due switch, un laptop di servizio (192.168.10.100) e un gateway di accesso remoto (192.168.10.2), sulla rete di stabilimento 10.20.0.0/16.

Il cliente, di fantasia, è un soggetto importante inserito nel 2026 (misure di base entro il 31 luglio 2027) e manda un questionario all’officina che ha programmato la linea. Le richieste, con la misura ACN corrispondente:

1. Inventario (ID.AM-01). Hardware «ivi inclusi i dispositivi IT, IoT, OT e mobili», l’unica volta che le specifiche di base dicono OT. Si consegnano gli apparati con codice d’ordine e firmware, dove l’apparato lo espone: gli switch non gestiti no.
2. Sistemi raggiungibili da remoto (PR.IR-01). Serve «un elenco aggiornato dei sistemi informativi e di rete ai quali è possibile accedere da remoto con la descrizione delle relative modalità di accesso». Qui: dal gateway .2 si raggiunge tutta la 192.168.10.0/24, ET 200SP comprese, perché nella Linea P1 fra gateway e macchina non c’è filtro IP.
3. Accessi registrati e MFA. Per la PR.PS-04 «tutti gli accessi eseguiti da remoto […] sono registrati»; per la PR.AA-03 l’autenticazione multifattore va usata almeno sui sistemi rilevanti, in accordo alla valutazione del rischio del cliente. Come ottenerlo: articoli sull’accesso remoto al PLC con VPN e sugli errori da evitare e su password e livelli di accesso dell’S7-1500.
4. Backup. L’art. 24, comma 2, lettera c) cita la «gestione di backup». Progetto TIA e backup della CPU diventano un’evidenza: vedi l’articolo sul backup di PLC e HMI dopo un ransomware.

La domanda che decide non è nel questionario: da quali dispositivi entri? La FAQ A1.9.2 cita dispositivi attivi del fornitore collegati alla rete del cliente e accesso remoto da dispositivi del fornitore. Lettura nostra: qui sono il gateway .2, se è dell’integratore, e il suo PC. Esclude chi opera su dispositivi del cliente, per esempio sul laptop .100 se è del cliente, e chi dà solo istruzioni. Per l’officina da 6 persone cambia poco. Per l’integratore da 60 ULA cambia la posizione davanti alla legge.

IEC 62443: un’interpretazione, non un rinvio di legge

I questionari citano la IEC 62443. La legge no. Abbiamo cercato «62443», «PLC», «SCADA» e «tecnologia operativa» nella direttiva (italiano e inglese), nel D.Lgs. 138/2024 con gli allegati, nella Det. 379907/2025 con gli allegati 1 e 2, nelle FAQ ACN su misure e notifiche e nelle linee guida tecniche ENISA: zero occorrenze. Nel D.Lgs. e negli allegati ACN «sistemi informativi e di rete» compare decine di volte: la ricerca funzionava.

Il legame con le norme è generico: le misure tengono conto dello stato dell’arte e, «ove applicabile, delle pertinenti norme nazionali, europee e internazionali» (art. 24, comma 1, lettera a). La base delle misure italiane è il Framework Nazionale per la Cybersecurity e la Data Protection, edizione 2025.

La nostra lettura: usare la 62443 per dimostrare le misure sugli impianti è una scelta tecnica difendibile. Per un integratore la parte più vicina è la 62443-2-4, che l’IEC descrive come requisiti per i processi dei fornitori di servizi IACS «during integration and maintenance activities of an Automation Solution». Nessun testo ufficiale però la prescrive: se un cliente scrive «conforme IEC 62443» nel contratto, è una richiesta contrattuale e si negozia. Quali parti servono a chi programma lo trovi nell’articolo su IEC 62443 per chi programma PLC.

Cosa NON fare

• Non accettare di notificare tu al CSIRT Italia gli incidenti sui sistemi del cliente: per l’ACN è compito del cliente (FAQ ISB.F.1). Tu lo avvisi, nei tempi del contratto.
• Non scrivere «macchina conforme NIS2» in un’offerta. Le misure NIS2 riguardano i sistemi che il soggetto usa (art. 24, comma 1), non i prodotti che vende.
• Non collegare dispositivi tuoi alla rete del cliente senza sapere cosa comporta per la definizione di fornitore di servizi gestiti.
• Non trasformare «ottobre 2026» in un giorno preciso: fa fede la PEC del cliente.

Il quadro completo è nella guida pratica alla cybersecurity PLC per chi programma macchine.

Cosa questo articolo non copre

Non abbiamo aperto il DPCM 221/2024 sui gruppi di imprese. I DPCM su vigilanza e strumenti deflattivi non li abbiamo trovati: la pagina ACN li elenca senza estremi di adozione. Il Cyber Resilience Act è un altro regolamento e qui non lo trattiamo.

Fonti

• Direttiva (UE) 2022/2555 (NIS2), GU L 333 del 27.12.2022
• D.Lgs. 4 settembre 2024, n. 138, testo vigente su Normattiva
• Regolamento (UE) 2024/2847 (Cyber Resilience Act), art. 14 e art. 71
• Raccomandazione 2003/361/CE, definizione di micro, piccole e medie imprese
• ACN, NIS: la normativa e i provvedimenti attuativi
• ACN, FAQ NIS: ambito (AMB.GE.6)
• ACN, FAQ NIS: settori e tipologie di soggetto (A1.9.2, A1.9.3, A2.5.d.1)
• ACN, FAQ NIS: registrazione (REG.1)
• ACN, FAQ NIS: misure di sicurezza e notifica di incidenti (MSB.15, MSB.16, ISB.F.1, ISB.F.3)
• Determinazione ACN 379907/2025, specifiche di base
• Determinazione ACN 127434/2026, termini per i soggetti inseriti nel 2026
• Determinazione ACN 127437/2026, piattaforma e fornitori rilevanti
• ACN, notizia del 13 aprile 2026 sulle determine per i nuovi soggetti
• IEC 62443-2-4, scheda sul webstore IEC

Ultimo controllo: 29 settembre 2026

Dott. Strongoli Alessandro

“Semplifica, automatizza, sorridi: il mantra del programmatore zen.”

Dott. Strongoli Alessandro

Programmatore
CEO IO PROGRAMMO srl