L'art. 267 definisce agente biologico qualsiasi microrganismo, anche geneticamente modificato, coltura cellulare ed endoparassita umano che potrebbe provocare infezioni, allergie o intossicazioni. L'art. 268 classifica gli agenti in quattro gruppi in base a tre criteri: capacità di causare malattia nell'uomo, pericolosità per i lavoratori, probabilità di propagazione nella comunità e disponibilità di misure profilattiche o terapeutiche efficaci.
Nel gruppo 1 rientrano agenti che presentano poche probabilità di causare malattie. Nel gruppo 2 troviamo la maggior parte dei microrganismi incontrati in RSA: Staphylococcus aureus, compreso il ceppo resistente alla meticillina, Clostridioides difficile, Legionella pneumophila, i virus influenzali stagionali, il norovirus, il virus del morbillo e quello della varicella. Nel gruppo 3 si collocano i virus dell'epatite B e C e l'HIV, per i quali l'elenco indica che normalmente non sono trasmessi per via aerea, il Mycobacterium tuberculosis e il SARS-CoV-2. Il gruppo 4, con agenti come i virus delle febbri emorragiche, è estraneo alla normale attività residenziale.
L'elenco aggiornato degli agenti classificati è nell'Allegato XLVI; le misure di contenimento sono negli Allegati XLVII e XLVIII. Se un agente non è classificato, la legge impone di attribuirlo al gruppo di rischio più elevato tra quelli possibili. Per il RSPP la classificazione è uno strumento di lavoro: orienta la scelta dei DPI, l'obbligo di registro degli esposti e la sorveglianza sanitaria, ma non sostituisce l'analisi delle mansioni e delle vie di trasmissione.