NIS2 nei trasporti: dove le regole aeree, ferroviarie e marittime incontrano l'articolo 21

Uno spedizioniere regionale con 180 dipendenti ci ha detto che il suo avvocato lo aveva escluso dall'ambito NIS2. Il ragionamento: non è una compagnia aerea, non è un porto, non è un'impresa ferroviaria. Sei settimane dopo il suo cliente più grande — un'autorità portuale — gli ha inviato un questionario fornitori con 40 domande di sicurezza e una clausola contrattuale che rinviava all'articolo 21(2)(d).

Il trasporto è il settore NIS2 in cui l'ambito di applicazione viene valutato male più spesso. Non perché il testo sia vago, ma perché il «trasporto» dell'allegato I è composto da quattro mondi normativi distinti cuciti in un'unica voce, ciascuno con un proprio regime di sicurezza preesistente che i clienti danno per scontato li copra già.

Non è così.

L'allegato I tratta il trasporto come quattro settori, non uno

L'allegato I della NIS2 elenca il trasporto tra i settori ad alta criticità e lo suddivide poi in quattro sottosettori, ciascuno con il proprio elenco di tipi di soggetto.

Aereo. Vettori aerei utilizzati per scopi commerciali. Enti di gestione degli aeroporti, compresi gli aeroporti della rete centrale, e soggetti che gestiscono installazioni accessorie negli aeroporti. Operatori di controllo della gestione del traffico che forniscono controllo del traffico aereo.

Ferroviario. Gestori dell'infrastruttura. Imprese ferroviarie, compresi gli operatori di impianti di servizio.

Acqua. Società di trasporto passeggeri e merci per vie navigabili interne, marittimo e costiero. Enti di gestione dei porti, comprese le installazioni portuali e i soggetti che gestiscono opere e attrezzature all'interno dei porti. Operatori di servizi di traffico navale.

Strada. Autorità stradali responsabili della gestione e del controllo del traffico. Operatori di sistemi di trasporto intelligenti.

Da quell'elenco discendono due cose, ed entrambe sfuggono ai consulenti.

Primo, il trasporto stradale è molto più ristretto di quanto i clienti si aspettino. Un'impresa di autotrasporto merci non rientra nel trasporto stradale dell'allegato I. Un ente pubblico che gestisce il controllo del traffico sì. Un operatore ITS anche. L'autotrasportatore rientra solo se atterra altrove — per esempio come fornitore all'interno degli obblighi di catena di approvvigionamento dell'articolo 21(2)(d) di un altro soggetto, che è esattamente quanto accaduto allo spedizioniere di cui sopra.

Secondo, il trasporto per vie d'acqua è molto più ampio del previsto. «Soggetti che gestiscono opere e attrezzature all'interno dei porti» trascina dentro operatori di terminal, operatori di gru e portainer e imprese di manutenzione che non si sono mai considerate infrastruttura regolata.

La NIS2 si Applica alla Tua Organizzazione?
1
La tua organizzazione opera in un settore essenziale o importante (energia, trasporti, salute, infrastrutture digitali, ecc.)?
Sì▼
No▼
2
La tua organizzazione ha 50 o più dipendenti oppure un fatturato annuo superiore a 10 milioni di euro?
✗
La NIS2 non si applica direttamente alla tua organizzazione.
Sì▼
No▼
✓
La NIS2 si applica alla tua organizzazione come entità essenziale o importante.
3
La tua organizzazione è un fornitore di infrastrutture critiche o un prestatore di servizi fiduciari qualificati?
Sì▼
!
La NIS2 potrebbe applicarsi alla tua organizzazione — consulta un esperto legale per confermare il tuo status.
1
La tua organizzazione opera in un settore essenziale o importante (energia, trasporti, salute, infrastrutture digitali, ecc.)?
Sì ↓No →
2
La tua organizzazione ha 50 o più dipendenti oppure un fatturato annuo superiore a 10 milioni di euro?
Sì ↓No →
3
La tua organizzazione è un fornitore di infrastrutture critiche o un prestatore di servizi fiduciari qualificati?
Sì ↓No →
✗
La NIS2 non si applica direttamente alla tua organizzazione.
✓
La NIS2 si applica alla tua organizzazione come entità essenziale o importante.
!
La NIS2 potrebbe applicarsi alla tua organizzazione — consulta un esperto legale per confermare il tuo status.
Si applica
Possibile applicazione
Non si applica

La dimensione decide il regime di vigilanza, e nei trasporti c'è una deroga

La regola predefinita è meccanica. In un settore dell'allegato I una grande impresa — 250 dipendenti o più, oppure fatturato superiore a 50 milioni di euro e stato patrimoniale superiore a 43 milioni — è un soggetto essenziale. Una media impresa, da 50 dipendenti o 10 milioni di fatturato, è un soggetto importante.

Essenziale significa vigilanza proattiva: ispezioni in loco, audit periodici, scansioni di sicurezza e richieste di evidenze anche in assenza di incidenti. Importante significa vigilanza reattiva, attivata da un incidente o da una segnalazione. Le sanzioni arrivano a 10 milioni di euro o al 2 % del fatturato mondiale per i soggetti essenziali e a 7 milioni o all'1,4 % per quelli importanti.

Nei trasporti conta la deroga. L'articolo 2(2) consente agli Stati membri di includere soggetti sotto le soglie dimensionali a prescindere dall'organico, e il trasporto è il caso classico: un operatore di servizio di traffico navale con 30 addetti, o un piccolo operatore ITS il cui guasto interromperebbe un corridoio nazionale, può essere designato perché è l'unico fornitore di un servizio essenziale per un'attività sociale.

Non fermatevi al test dimensionale. Controllate prima l'elenco nazionale delle designazioni. In diversi Stati membri le designazioni del trasporto sono state pubblicate separatamente dalle linee guida generali di registrazione e, se il vostro cliente vi compare, il test dimensionale è irrilevante. Quale autorità pubblichi quell'elenco dipende da dove il soggetto è stabilito — abbiamo trattato le regole di giurisdizione in Articolo 26: quale autorità vigila realmente sul vostro cliente.

Il Part-IS aeronautico non disattiva la NIS2

È oggi il fraintendimento più costoso nella compliance dei trasporti.

Dal 16 ottobre 2025 il Part-IS EASA — Regolamento delegato (UE) 2022/1645 — si applica agli operatori aeroportuali, alle organizzazioni di progettazione e produzione e ai fornitori di servizi di gestione del piazzale. Il Regolamento di esecuzione (UE) 2023/203 ha esteso il quadro ad altri tipi di organizzazione da febbraio 2026. I clienti dell'aviazione leggono questo e concludono che la NIS2 sia risolta.

L'articolo 4 della NIS2 prevede effettivamente questo meccanismo. Quando un atto giuridico settoriale dell'Unione impone misure di gestione dei rischi di cibersicurezza o obblighi di notifica degli incidenti almeno equivalenti negli effetti, le corrispondenti disposizioni della NIS2 non si applicano. È una deroga reale.

Ma è più stretta di quanto suggerisca il marketing che la circonda. DORA è il caso pulito: l'articolo 1(2) del Regolamento (UE) 2022/2554 afferma nel proprio testo di valere come atto settoriale ai fini dell'articolo 4. Nulla di equivalente esiste nei regolamenti Part-IS. Le linee guida della Commissione sull'applicazione dell'articolo 4(1) e (2) elencano gli atti che ritiene rientranti nell'ambito, e la posizione aeronautica è da allora oggetto di discussione aperta — anche sul forum della comunità EASA.

La posizione pratica per un consulente: presumete che si applichino entrambi finché l'autorità nazionale competente del cliente non dice altrimenti per iscritto.

È meno doloroso di quanto sembri, perché i quadri non sono in conflitto. Il Part-IS riguarda i rischi di sicurezza delle informazioni con potenziale impatto sulla sicurezza del volo. L'articolo 21 della NIS2 riguarda i rischi per i sistemi informatici e di rete che sostengono il servizio. La sovrapposizione è ampia ma i bordi differiscono — il Part-IS non vi chiederà di dimostrare la sicurezza della catena di approvvigionamento sull'intero parco IT commerciale, e la NIS2 non vi chiederà di ricondurre ogni rilievo a un esito di sicurezza del volo.

Mappate entrambi, marcate una sola volta i controlli condivisi e documentate il delta. Gli auditor accettano un controllo mappato che serve due regimi. Non accettano «siamo coperti dal Part-IS» come risposta a una richiesta di evidenze ai sensi dell'articolo 21.

Il marittimo ha la stessa struttura con nomi diversi. Il codice ISPS e le linee guida IMO sulla gestione del rischio cibernetico marittimo affiancano la NIS2, non la sostituiscono. Gli enti di gestione portuale presentano abitualmente il piano di sicurezza dell'impianto portuale ISPS quando vengono chieste evidenze NIS2. È un buon documento. Non è una politica di gestione del rischio ai sensi dell'articolo 21(2)(a).

Le misure dell'articolo 21 atterrano diversamente in un ambiente operativo

Le dieci misure sono identiche in ogni settore. Ciò che cambia è dove risiedono le evidenze.

Nei trasporti tre di esse generano rilievi con regolarità.

Articolo 21(2)(c), continuità operativa e gestione delle crisi. Gli operatori del trasporto hanno ottimi piani di continuità — per l'interruzione fisica. Meteo, scioperi, corridoi bloccati. Quasi nessuno ha testato uno scenario in cui il sistema di pianificazione o di dispatch è cifrato e indisponibile per quattro giorni. È lo scenario su cui interrogherà il regolatore.

Articolo 21(2)(d), sicurezza della catena di approvvigionamento. Il trasporto funziona su sistemi operativi condivisi: terminal operating system, gestione bagagli, fornitori di segnalamento, fornitori di telemetria di manutenzione. Ciascuno è un terzo identificato di cui il vostro cliente deve saper descrivere la postura di sicurezza. Girare un questionario lungo la catena non basta da solo — l'obbligo è valutare e agire su ciò che si trova. Vedi perché i contratti con i fornitori fanno ormai parte della compliance NIS2.

Articolo 21(2)(i), controllo degli accessi e gestione degli asset. La tecnologia operativa nei trasporti è datata, distribuita fisicamente e spesso manutenuta da tecnici esterni con accesso remoto permanente. Un inventario completo degli asset che comprenda apparati di linea, banchina e piazzale è il deliverable più difficile del settore, ed è la prima cosa che un ispettore chiede di vedere.

Articolo 21 — 10 Misure di Cybersicurezza NIS2
🛡️
Articolo 21
10 Misure di Cybersicurezza
📊
Governance & Strategia
1Analisi dei rischi & politiche di sicurezza delle informazioni
6Valutazione dell'efficacia delle misure di sicurezza
🚨
Incidenti & Continuità
2Gestione degli incidenti & notifica
3Continuità operativa & ripristino di emergenza
🔗
Catena di Fornitura & Sistemi
4Sicurezza della catena di fornitura
5Sicurezza nello sviluppo di sistemi di rete e informativi
🔐
Controlli Tecnici
8Crittografia & cifratura
10Autenticazione a più fattori & comunicazioni sicure
👥
Persone & Risorse
7Igiene informatica & formazione
9Sicurezza HR & controllo degli accessi

Il problema del confine IT/OT è lo stesso mappato per i produttori manifatturieri, con una differenza: nei trasporti l'OT spesso non si trova affatto presso la sede del cliente.

Notifica degli incidenti: due orologi, due autorità

Gli operatori del trasporto già notificano. L'aviazione segnala eventi ai sensi del Regolamento (UE) 376/2014. La ferrovia segnala alle autorità nazionali di sicurezza. Il marittimo segnala secondo il proprio regime.

Nulla di tutto ciò soddisfa l'articolo 23.

La NIS2 richiede un preallarme al CSIRT o all'autorità competente entro 24 ore da quando si viene a conoscenza di un incidente significativo, una notifica di incidente entro 72 ore e una relazione finale entro un mese. I modelli comuni adottati dal Gruppo di cooperazione NIS2 nel maggio 2026 hanno eliminato la scusa del formato.

La modalità di guasto è prevedibile: il rapporto di sicurezza parte in tempo, quello cyber no, perché nessuno in sala operativa sa che esiste l'orologio delle 24 ore. Integrate il trigger nel flusso di segnalazione eventi esistente anziché accanto, e fate porre alla checklist del responsabile di turno una domanda in più — può essere nato in un sistema informatico o di rete? Le scadenze di notifica sono descritte in dettaglio qui.

Cosa fare nei prossimi 30 giorni

Per ogni cliente del trasporto, in quest'ordine:

1. Confermate per iscritto sottosettore e tipo di soggetto dell'allegato I, usando la formulazione effettiva dell'elenco anziché un riassunto.
2. Verificate l'elenco nazionale delle designazioni per i soggetti sotto soglia prima di applicare il test dimensionale.
3. Se aereo o marittimo, producete una mappatura dei controlli tra regime settoriale e articolo 21 — e marcate le lacune invece di presumere la copertura.
4. Estraete l'inventario degli asset di tecnologia operativa. Se non esiste, è il vostro primo progetto, non l'ultimo.
5. Collegate l'orologio NIS2 delle 24 ore al flusso di incident operativo esistente.

Tutto il resto è disciplina documentale; cosa chiedono davvero gli ispettori lo abbiamo esposto nella checklist delle evidenze per gli audit di vigilanza.

Se volete un punto di partenza strutturato per un cliente del trasporto, eseguite una scansione rapida NIS2 gratuita — produce in circa dieci minuti una gap analysis rispetto alle misure dell'articolo 21, sufficiente a capire se il regime settoriale su cui il cliente conta regga davvero il peso che gli attribuisce.