NIS2 settore chimico: chi rientra nell'Allegato II e in REACH

Un distributore di prodotti chimici in provincia di Brescia, con 85 dipendenti, gestisce lo stoccaggio in serbatoi con un sistema connesso e raccoglie gli ordini da un portale web. Il cliente principale invia un questionario ai fornitori con una riga: «Confermate il vostro stato NIS2.» In logistica nessuno sa cosa rispondere.

Questa conversazione la avrete presto con molti clienti, come consulenti IT o MSP. Per NIS2 nel settore chimico, la chimica è un «altro settore critico» dell'Allegato II della direttiva (UE) 2022/2555, e la formulazione è più ampia di quanto i clienti si aspettino.

Cosa copre davvero il punto 3 dell'Allegato II

L'Allegato II elenca sette settori. Il punto 3 è «Fabbricazione, produzione e distribuzione di sostanze chimiche». Il testo rinvia al regolamento REACH (CE) n. 1907/2006 e comprende:

• le imprese che fabbricano sostanze (REACH articolo 3, punto 9);
• le imprese che distribuiscono sostanze o miscele (REACH articolo 3, punto 14);
• le imprese che producono articoli a partire da sostanze o miscele (REACH articolo 3, punto 3).

Due categorie non sono citate: gli importatori e gli utilizzatori a valle in quanto tali. Chi si limita a importare una sostanza non rientra in questo punto. Un formulatore è utilizzatore a valle secondo REACH, ma il testo dell'Allegato II sulla distribuzione di sostanze o miscele e sulla produzione di articoli può comunque includerlo. Non escludete un miscelatore solo in base alle etichette REACH.

Il terzo trattino è quello che allarga il perimetro. Un produttore di componenti in plastica o di articoli in metallo rivestito può rientrare nel punto 3 e, allo stesso tempo, nel settore «Fabbricazione» dell'Allegato II. Verificate entrambe le voci prima di dire a un cliente che è fuori.

La dimensione decide se la direttiva si applica

NIS2 si applica ai soggetti di medie e grandi dimensioni nei settori elencati (articolo 2, paragrafo 1). Media significa almeno 50 addetti, oppure fatturato e totale di bilancio entrambi sopra i 10 milioni di euro. Un miscelatore di specialità con 30 addetti e 6 milioni di fatturato resta sotto soglia, salvo che uno Stato membro abbia incluso soggetti più piccoli con un ruolo chiave (articolo 2, paragrafo 2).

I soggetti dell'Allegato II sono per impostazione soggetti importanti. Diventano essenziali solo se soddisfano un altro criterio dell'articolo 3, ad esempio operando anche in un settore dell'Allegato I.

Perché i clienti chimici sono più complessi di quanto sembri

Gli stabilimenti chimici stanno sul confine tra IT e OT. Dosaggio, processi a lotti, misura del livello nei serbatoi e sistemi di sicurezza sono in rete. La nostra guida alla segmentazione IT/OT per i produttori descrive l'architettura. Nella chimica, tre punti meritano attenzione particolare in una gap analysis:

1. Un inventario degli asset che includa l'OT. Se il registro si ferma a laptop e server, l'articolo 21, paragrafo 2, lettera i non è soddisfatto.
2. Una gestione degli incidenti che includa l'impatto sul processo. Un ransomware che ferma un processo a lotti è un incidente significativo con conseguenze oltre i dati.
3. La catena di fornitura. L'articolo 21, paragrafo 2, lettera d chiede attenzione a fornitori e prestatori diretti. Le aziende chimiche dipendono da piattaforme logistiche, ERP in hosting e accessi remoti dei costruttori. Vedi i contratti con i fornitori ai sensi dell'articolo 21.

I distributori hanno un altro profilo: ERP, portali ordini e sistemi di magazzino. Valgono le stesse dieci misure dell'articolo 21, paragrafo 2, su una superficie d'attacco più ridotta.

Quali sanzioni sono previste

Per i soggetti importanti il massimo dell'articolo 34, paragrafo 5 è il più alto tra 7 milioni di euro e l'1,4 % del fatturato mondiale annuo. I soggetti essenziali rischiano fino a 10 milioni o il 2 %. Il nostro articolo sulle sanzioni NIS2 e l'esposizione degli amministratori spiega come i regimi nazionali applicano questi massimali.

La situazione italiana: d.lgs. 138/2024 e ACN

L'Italia ha recepito NIS2 con il decreto legislativo 138/2024, in vigore dal 16 ottobre 2024. L'autorità nazionale competente è l'Agenzia per la cybersicurezza nazionale (ACN). Per i vostri clienti chimici contano tre scadenze:

• Registrazione: i soggetti devono registrarsi o rinnovare la registrazione sulla piattaforma ACN nella finestra annuale (nel 2026, dal 1° gennaio al 28 febbraio).
• Notifica degli incidenti: dal 15 gennaio 2026, preallarme entro 24 ore, notifica completa entro 72 ore e relazione finale entro un mese.
• Misure di sicurezza di base: devono essere operative entro ottobre 2026.

Dall'autunno 2026 l'ACN passa dalla fase di accompagnamento alle attività di verifica e ispezione. Le sanzioni arrivano fino a 10 milioni di euro o al 2 % per i soggetti essenziali, e fino a 7 milioni o all'1,4 % per quelli importanti. Un cliente che non ha ancora avviato le misure di base ha poche settimane.

Fuori dall'Italia il quadro è diverso:

• Germania: la modifica della BSIG è in vigore dal 6 dicembre 2025, senza periodo transitorio.
• Paesi Bassi: la Cyberbeveiligingswet si applica dal 15 agosto 2026.
• Polonia: la legge KSC modificata è entrata in vigore il 3 aprile 2026 e aggiunge la produzione chimica.
• Francia e Spagna: recepimento non concluso.

Per il quadro completo, vedi il calendario di attuazione nell'UE.

Come perimetrare un cliente chimico in un'ora

Percorrete queste quattro domande, in ordine:

1. Che ruolo REACH ha il cliente per ogni linea: fabbricante, distributore, produttore di articoli, solo importatore o utilizzatore a valle?
2. In quali Stati membri opera? Ogni legge nazionale ha le proprie regole di registrazione e notifica.
3. Supera la soglia delle medie imprese, o una norma nazionale lo include comunque?
4. Quali sistemi OT governano produzione o sicurezza, e chi ha accesso remoto?

Partite dalla prima. La maggior parte degli errori nasce dall'idea che «noi ci limitiamo a miscelare» significhi «siamo fuori». Verificate questa idea sul testo dell'Allegato II e sul diritto nazionale prima di accettarla.

Per un punto di partenza strutturato, fate eseguire al cliente il quick scan NIS2Certify gratuito. Produce una valutazione di prontezza con cui aprire il confronto.

In sintesi: non fidatevi del nome del settore. L'ambito di applicazione segue il ruolo REACH, la dimensione e il paese, in questo ordine.