NIS2 organizzazioni di ricerca: quali clienti rientrano nel D.Lgs. 138/2024 e quali università no

Una spin-off universitaria di 80 dipendenti, un laboratorio privato di ricerca conto terzi e un istituto universitario si definiscono tutti "di ricerca". Nel quadro NIS2 italiano, solo uno è certamente nel perimetro.

Se assisti clienti del mondo della ricerca, la domanda non è "fanno ricerca?". È: "sono un'organizzazione di ricerca ai sensi della direttiva, e che cosa ha aggiunto il D.Lgs. 138/2024?"

Che cosa intende NIS2 per organizzazione di ricerca

L'allegato II di NIS2 elenca le organizzazioni di ricerca come settore. I soggetti dei settori dell'allegato II sono soggetti importanti. La vigilanza è reattiva: dopo indizi o un incidente, non proattiva.

La definizione è all'articolo 6, punto 41. Un'organizzazione di ricerca ha come obiettivo principale la ricerca applicata o lo sviluppo sperimentale, al fine di sfruttarne i risultati a fini commerciali. Gli istituti di istruzione sono espressamente esclusi.

Ne derivano tre verifiche:

• La ricerca applicata o lo sviluppo sperimentale è l'obiettivo principale, non un'attività accessoria.
• I risultati sono destinati a sfruttamento commerciale.
• Il soggetto non è un istituto di istruzione.

Un laboratorio privato di R&S che vende risultati all'industria le supera tutte e tre. Un dipartimento universitario con qualche commessa industriale no, perché l'ateneo nel suo insieme è un istituto di istruzione.

La soglia dimensionale vale sempre

L'articolo 2, paragrafo 1, applica la soglia dimensionale europea. Sono coperte le medie imprese e quelle più grandi: in pratica almeno 50 addetti, oppure fatturato e totale di bilancio oltre 10 milioni di euro.

Una start-up con 12 ricercatori resta quindi fuori, salvo regole nazionali indipendenti dalla dimensione. È il primo filtro per ogni cliente della ricerca e ne esclude più di quanti la maggior parte dei consulenti si aspetti.

Università: fuori per impostazione, dentro per scelta nazionale

L'articolo 2, paragrafo 5, consente agli Stati membri di estendere NIS2 agli istituti di istruzione, in particolare quando svolgono attività di ricerca critiche. È una facoltà, non un obbligo.

Il risultato è un mosaico. Due atenei con lo stesso programma di ricerca possono avere obblighi diversi ai due lati di un confine. Non dedurre mai la risposta dalla sola direttiva.

Italia: tre allegati per la ricerca

Il D.Lgs. 138/2024 va oltre la direttiva e distribuisce la ricerca su tre allegati:

• Allegato II, n. 7: organizzazioni di ricerca. Autorità di settore: MUR.
• Allegato III, lett. d), n. 5: enti e istituzioni di ricerca. Autorità di settore: Presidenza del Consiglio, tramite ACN.
• Allegato IV, n. 2: istituti di istruzione che svolgono attività di ricerca. Autorità di settore: MUR.

L'ACN è l'autorità nazionale competente NIS, con poteri di vigilanza e sanzionatori, e gestisce gli obblighi annuali tramite il proprio portale. La community GARR, in una presentazione del 2025, colloca la maggior parte dei soggetti di istruzione e ricerca tra i soggetti importanti, con qualche eccezione. Se un ente sia essenziale o importante dipende comunque dai criteri applicabili al singolo caso.

Per il cliente italiano, il passo pratico è verificare in quale allegato rientra, quale autorità di settore lo segue e se ha completato la registrazione sulla piattaforma ACN. Vedi anche la guida alle dieci misure dell'articolo 21 e la guida sulla categorizzazione ACN.

Fuori dall'Italia: che cosa abbiamo potuto verificare

Paesi Bassi. La Cyberbeveiligingswet (Stb. 2026, 187) è in vigore dal 15 agosto 2026 e copre la ricerca a fini commerciali.

Germania. La NIS2UmsuCG è in vigore dal 6 dicembre 2025, con il BSI come autorità. Le organizzazioni di ricerca sono soggetti importanti (§ 28 BSIG).

Polonia. La legge KSC modificata si applica dal 2 aprile 2026 e cita la ricerca scientifica come settore importante.

Francia e Spagna. Il recepimento non è concluso: in Francia il disegno di legge attende l'Assemblea nazionale, in Spagna vige ancora il Real Decreto-ley 12/2018 e la Commissione ha adito la Corte di giustizia.

Che cosa comporta in pratica essere soggetto importante

I soggetti importanti hanno gli stessi obblighi di gestione del rischio (articolo 21) dei soggetti essenziali. Devono anche notificare gli incidenti significativi (articolo 23): preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro un mese.

La differenza sta in vigilanza e sanzioni. Per i soggetti importanti il massimo è 7 milioni di euro o l'1,4 % del fatturato mondiale annuo, se superiore. La vigilanza è ex post.

Nei clienti della ricerca i punti deboli sono prevedibili: dati di ricerca e proprietà intellettuale, gestione degli accessi dei collaboratori esterni e reti di laboratorio o strumentazione che nessuno ha classificato come IT.

Come perimetrare un cliente della ricerca in quattro domande

1. La ricerca è l'obiettivo principale del soggetto? Se è prima di tutto un istituto di istruzione, verifica l'Allegato IV.
2. La ricerca è applicata, con sfruttamento commerciale? Se no, la definizione dell'articolo 6, punto 41 probabilmente non regge: controlla gli Allegati III e IV.
3. Il soggetto supera la soglia dimensionale? Sotto i 50 addetti e i 10 milioni di euro di fatturato, di norma è fuori.
4. Il diritto nazionale aggiunge qualcosa? In Italia, sì: registra allegato, autorità di settore e data.

Documenta risposte e data. Se l'autorità valuta diversamente in seguito, una nota di perimetrazione datata dimostra diligenza. Per i gruppi presenti in più paesi, le regole di giurisdizione dell'articolo 26 stabiliscono quale autorità ti vigila.

La conclusione

Non perimetrare sulla parola "ricerca". Perimetra sull'articolo 6, punto 41, sulla soglia dimensionale e sul D.Lgs. 138/2024, in quest'ordine.

Per trasformarlo in evidenza, esegui una valutazione di maturità per cliente e conserva il risultato. Avvia una quick scan con NIS2Certify per vedere dove si colloca la postura di conformità di un cliente della ricerca rispetto all'articolo 21.

Questo articolo è un'informazione generale, non una consulenza legale. Verifica il perimetro sul diritto nazionale e presso l'autorità del tuo cliente.