NIS2 e pubblica amministrazione: perché l'ambito del tuo cliente pubblico dipende dal suo codice postale

Un comune olandese con 180 dipendenti e un Landkreis tedesco con lo stesso organico possono finire su lati opposti di NIS2. Stesso settore, stessi dati dei cittadini, stessi fornitori: obblighi diversi, perché la direttiva ha lasciato l'amministrazione regionale e locale come opzione degli Stati membri.

Quella singola scelta di impianto rende la pubblica amministrazione il settore più difficile da perimetrare in NIS2. Ogni altro settore dell'Allegato I applica la stessa logica di soglie dimensionali in tutti i 27 Stati membri. Questo no.

E quest'anno pesa più dello scorso. Il rapporto NIS360 2026 di ENISA colloca la pubblica amministrazione nella zona di rischio: uno degli otto settori la cui maturità cyber resta sotto il livello richiesto dalla loro criticità, insieme a sanità, ferrovie, marittimo, spazio, acqua potabile e acque reflue. Le autorità di vigilanza leggono quel rapporto, e orienta dove va per prima l'attenzione. Abbiamo trattato questa dinamica in come i regolatori decidono quali clienti verificare per primi.

Se assisti enti pubblici, o li fornisci, ecco cosa determina davvero l'obbligo.

L'amministrazione centrale rientra ovunque, e l'organico è irrilevante

L'Allegato I elenca i soggetti della pubblica amministrazione centrale come settore ad alta criticità. A differenza di un operatore logistico o di un produttore alimentare, questi soggetti non possono sfilarsi facendo leva sulle dimensioni.

La regola dimensionale - 50 o più addetti, oppure meno di 50 con fatturato e totale di bilancio entrambi superiori a 10 milioni di euro, per le medie; 250 o più addetti, oppure meno di 250 con un fatturato superiore a 50 milioni di euro e un totale di bilancio superiore a 43 milioni di euro, per le grandi - è il filtro generale dell'ambito NIS2. I soggetti dell'amministrazione centrale vi rientrano a prescindere da quel filtro. Una direzione ministeriale di 30 persone porta gli stessi obblighi dell'Article 21 di un'agenzia da 3.000.

Conseguenza pratica: non aprire una conversazione di perimetrazione con un ente pubblico chiedendo l'organico. Poni invece due domande. Quale strumento giuridico ha istituito questo ente, e a quale livello di amministrazione si colloca. Sono quelle risposte a decidere.

Nota anche la definizione usata da NIS2. Un soggetto della pubblica amministrazione è un organismo istituito per soddisfare esigenze di interesse generale, non aventi carattere industriale o commerciale, dotato di personalità giuridica e finanziato o vigilato dallo Stato. Questo comprende molte organizzazioni a distanza che non si percepiscono come "amministrazione": registri pubblici, enti previdenziali, istituti nazionali di statistica, organismi autorizzativi.

Regionale e locale sono una scelta nazionale, non una regola UE

La direttiva raggiunge i soggetti della pubblica amministrazione ai livelli NUTS 1 e 2: in sostanza, amministrazioni nazionali e grandi amministrazioni regionali. Al di sotto, l'Article 2 dà agli Stati membri la facoltà di estendere l'ambito agli enti locali. Molti l'hanno fatto. Diversi no.

Il risultato è una mappa di ambito che non coincide con nessun altro settore NIS2. Il servizio IT di una città in uno Stato membro è un soggetto essenziale regolato, con obbligo di registrazione, scadenze di notifica e responsabilità degli organi di gestione. La città equivalente oltre confine è del tutto fuori ambito e acquista sicurezza su base puramente volontaria.

Per questo lo stato di recepimento nazionale pesa qui più che altrove. Con 22 Stati membri su 27 che hanno recepito a metà 2026, e la Commissione che ha deferito Irlanda, Spagna, Francia e Paesi Bassi alla Corte di giustizia dell'Unione europea, la questione degli enti locali resta giuridicamente aperta in alcuni mercati. Il nostro tracker di recepimento paese per paese riporta la situazione attuale.

Non assumere mai una risposta valida per l'intero gruppo con un cliente che opera oltre confine. Un'organizzazione di servizi condivisi che serve comuni in tre Stati membri può essere regolata in uno e non negli altri, con un unico parco IT sottostante.

Quattro esclusioni che i consulenti leggono male con regolarità

NIS2 non si applica a tutto ciò che ha carta intestata pubblica. Quattro esclusioni contano, e tutte e quattro sono più strette di quanto si creda.

Sicurezza nazionale, sicurezza pubblica, difesa e attività di contrasto. L'esclusione si attacca all'attività, non all'organizzazione. Un ministero dell'interno non è esente in blocco perché una sua parte svolge compiti di polizia. Le parti che svolgono altre funzioni possono restare in ambito.

La magistratura. Gli organi giurisdizionali sono esclusi. I servizi di amministrazione della giustizia costituiti come soggetti giuridici distinti non sono automaticamente esclusi con essi.

I parlamenti. Gli organi legislativi sono esclusi. Le strutture informatiche parlamentari costituite separatamente, forse no.

Le banche centrali. Escluse da NIS2, ma molte delle stesse istituzioni sono catturate da DORA. Se hai portato un cliente fuori da NIS2 su questa base, verifica cosa l'ha sostituito in NIS2 e DORA a confronto.

Due punti vanno detti con chiarezza. Primo: un'esclusione non è un passaggio la cui documentazione si può saltare. Se in seguito viene chiesto all'ente perché non è registrato, qualcuno dovrà mostrare il ragionamento. Secondo: gli Stati membri possono comunque applicare i requisiti NIS2 a soggetti esclusi, e diversi lo hanno fatto proprio per parti del settore pubblico.

Gli enti pubblici in ambito sono soggetti essenziali, e questo cambia il modello di vigilanza

Quando un soggetto della pubblica amministrazione rientra nell'ambito, è trattato come soggetto essenziale. Non è un dettaglio di etichetta. Determina come si comporta il regolatore.

I soggetti essenziali sono sottoposti a vigilanza ex ante. L'autorità non ha bisogno di un incidente o di un reclamo per agire: può condurre ispezioni, richiedere evidenze e ordinare audit di sicurezza a spese del soggetto in via ordinaria. I soggetti importanti sono sottoposti a vigilanza ex post, cioè il regolatore in genere si muove dopo che qualcosa è andato storto.

Per un cliente pubblico l'audit è quindi un appuntamento programmato, non un'eventualità. Le evidenze devono esistere in modo continuativo, non essere assemblate dopo una telefonata. Cosa chiedono davvero i vigilanti lo abbiamo esposto nella checklist delle evidenze per gli audit NIS2.

Si applicano anche le disposizioni sulla responsabilità degli organi di gestione. Dirigenti, segretari generali e vertici comunali devono approvare le misure di gestione del rischio e vigilarne l'attuazione, e possono essere chiamati a risponderne personalmente. In diversi recepimenti la persona responsabile è nominata dalla legge anziché lasciata alla delega interna.

I dati di settore dicono che la pubblica amministrazione è il settore ad alta criticità meno preparato

La valutazione NIS360 2026 di ENISA è il parametro esterno più utile quando un cliente pubblico contesta l'urgenza.

La pubblica amministrazione è nella zona di rischio: criticità alta, maturità che non ha recuperato. ENISA inquadra la questione proprio attorno ai settori nuovi alla regolazione e alla loro capacità di costruire capacità più in fretta di quanto cresca la loro criticità. La pubblica amministrazione è il caso più netto di quel divario.

Le ragioni sono familiari a chiunque abbia seguito un cliente pubblico. Cicli di acquisto misurati in trimestri. Parchi legacy che nessuno governa da capo a fondo. Budget di sicurezza in concorrenza diretta con l'erogazione di servizi obbligatori. Responsabilità frammentata fra un IT centrale e decine di uffici semiautonomi con applicazioni proprie.

Nulla di tutto ciò è una scusa accettata da un vigilante. È però un argomento solido per avviare la gap analysis ora anziché dopo la prima lettera ispettiva. La nostra guida passo passo alla gap analysis funziona per un comune come per un produttore.

Fornire la pubblica amministrazione ti rende parte di una catena regolata

Ecco la parte che sfugge alla maggior parte dei consulenti IT e degli MSP. Non serve che tu sia in ambito: serve che lo sia il tuo cliente.

L'Article 21(2)(d) impone ai soggetti in ambito di gestire la sicurezza dei fornitori e dei prestatori diretti, tenendo conto delle vulnerabilità specifiche di ciascuno e delle loro prassi generali di sicurezza. Quando un ministero o un'autorità regionale lo applica alla propria base fornitori, l'obbligo arriva a te per via contrattuale: nei requisiti di gara, negli accordi quadro, negli allegati di sicurezza che sopravvivono al contratto.

Gli acquisti pubblici rendono la cosa più tagliente del mercato privato. I requisiti finiscono in documenti di gara standardizzati e vengono riutilizzati su centinaia di contratti. Non appena una centrale di committenza nazionale aggiunge clausole fornitore NIS2 al proprio modello, tutti gli offerenti le ereditano in blocco.

Se hai già contratti pubblici, leggi gli obblighi contrattuali per i fornitori ai sensi dell'Article 21 prima del prossimo rinnovo. Quelle clausole entreranno, che tu le negozi o no.

Cosa deve stabilire per prima cosa una valutazione di readiness per un ente pubblico

Prima di qualunque lavoro sui controlli, fissa per iscritto quattro questioni:

1. Livello e base giuridica. Centrale, regionale (NUTS 1 o 2) o locale, e quale strumento ha istituito il soggetto. È questo a decidere l'ambito, non l'organico.
2. Estensione nazionale. Lo Stato membro ha esteso NIS2 agli enti locali, e a quali condizioni? È diritto nazionale, non la direttiva.
3. Analisi delle esclusioni. Quali attività ricadono eventualmente nelle esclusioni per sicurezza nazionale, magistratura, parlamento o banca centrale, e quali parti del soggetto restano comunque in ambito.
4. Autorità competente. Quale regolatore vigila su questo soggetto, e pubblica linee guida settoriali? La pubblica amministrazione è spesso vigilata da un'autorità diversa da quella dei settori commerciali dello stesso paese. Vedi quale regolatore vigila davvero sul tuo cliente.

Solo allora il lavoro di gap contro l'Article 21 ha senso. Gli errori di perimetrazione in questo settore costano in entrambe le direzioni: o costruisci un programma di conformità per un soggetto che non ne aveva bisogno, o lasci un soggetto essenziale non registrato e impreparato a un'ispezione ex ante.

Se vuoi un punto di partenza rapido e strutturato per un cliente pubblico, o per la tua posizione di fornitore, esegui il quick scan NIS2. Richiede pochi minuti e restituisce una baseline di readiness difendibile su cui costruire la valutazione.

In sintesi

L'amministrazione centrale è in ambito in ogni Stato membro, a prescindere dalle dimensioni. Le amministrazioni regionali NUTS 1 e 2 sono in ambito. Il livello locale dipende interamente dal diritto nazionale. Le esclusioni sono legate all'attività e più strette di quanto sembrino. Gli enti pubblici in ambito sono soggetti essenziali, il che significa vigilanza ex ante e responsabilità nominata degli organi di gestione.

E se vendi a uno di loro, i loro obblighi diventano le tue condizioni contrattuali.