Da qualche parte ha letto che le sanzioni NIS2 possono arrivare fino a dieci milioni di euro o il due per cento del fatturato, e si chiede se questo possa capitare a lei. La risposta breve: questi importi sono effettivamente nella direttiva, ma sono destinati alle entità essenziali e importanti — organizzazioni che ricadono direttamente sotto NIS2, con un obbligo di due diligence, un obbligo di registrazione e un obbligo di segnalazione. Se la sua azienda non ricade in questa categoria ma fornisce a un'organizzazione di questo tipo, una sanzione non è il rischio per cui dovrebbe stare sveglio.
Il rischio che la riguarda maggiormente è più pratico e arriva prima: un cliente che ricade direttamente sotto l'obbligo di due diligence deve valutare i suoi fornitori. Se non riesce a rispondere al questionario o a dimostrare il rispetto delle clausole contrattuali, di solito la conseguenza non è una sanzione ma la perdita del contratto. Questo processo spesso dura settimane, non anni.
Per chi la sanzione è effettivamente destinata
La direttiva concentra l'applicazione sulle organizzazioni che ricadono direttamente sotto i suoi obblighi: le entità essenziali e importanti dei settori dell'allegato I e II. Per loro, la legge nazionale — nei Paesi Bassi la Cybersecurity Act — stabilisce come l'autorità di vigilanza interviene quando l'obbligo di due diligence o l'obbligo di segnalazione non sono rispettati. Se lei non ricade direttamente sotto i suoi obblighi ma fornisce a un'entità di questo tipo, non è una parte in quel processo di applicazione. Avverte gli effetti della direttiva, ma attraverso le clausole contrattuali del suo cliente, non attraverso un provvedimento di sanzione a suo nome. Se ha dubbi sulla possibilità che la sua organizzazione ricada direttamente sotto la legge, questo può essere chiarito con poche domande attraverso il controllo che descrive la sua situazione in pochi step.
Gli importi indicati dalla direttiva
La direttiva stessa indica importi massimi per le entità essenziali e importanti, con un limite più alto per le entità essenziali rispetto a quelle importanti. Si tratta sempre del maggiore tra un importo fisso o una percentuale del fatturato annuale mondiale — quindi non automaticamente l'importo completo ad ogni violazione. Il modo in cui l'autorità di vigilanza valuta in un caso concreto e l'importo effettivamente irrogato non è stabilito nella direttiva ed è a discrezione dell'autorità di vigilanza competente. Consapevolmente non facciamo previsioni al riguardo; quello che la direttiva e la legge nazionale dicono esattamente, può leggerlo nel testo ufficiale e nelle pubblicazioni dell'autorità di vigilanza.
Perché il contratto viene prima della sanzione
Un procedimento di sanzione di solito inizia solo dopo segnali, indagini e un'opportunità di correzione — tutto ciò richiede tempo. Un reparto acquisti che invia un questionario sulla sicurezza non aspetta. Se la risposta manca o è incompleta, l'ordine viene spesso semplicemente assegnato a un altro fornitore, o riceve un termine di correzione che deve compilare lei stesso. Questo rende la conversazione con il suo cliente più urgente per la maggior parte delle piccole e medie imprese rispetto alla domanda se una sanzione potrebbe mai entrare in gioco. Maggiori dettagli su cosa si nasconde esattamente dietro un siffatto questionario si possono leggere in la panoramica dei temi approfonditi per ogni situazione.
Cosa significa se lei è interessato dalla catena di approvvigionamento
Se lei non ricade direttamente sotto gli obblighi ma è fornitore di un'organizzazione soggetta, la domanda non è se incombe una sanzione, ma se può dimostrare di aver implementato le misure richieste. Questo riguarda prove documentali, un responsabile per ogni misura e una risposta che non deve inventare ogni volta da zero. Chi l'ha definito una volta, risponde al prossimo questionario con molto meno lavoro. Le domande frequenti su cosa le può e non le può essere richiesto sono raccolte su la pagina delle domande frequenti.
Se lei è direttamente essenziale o importante, la sanzione conta come ultima ratio, ma l'obbligo di due diligence stesso è il vero lavoro: adottare misure, documentarle e poterle dimostrare. Come è strutturato questo processo e da dove provengono le informazioni di questo sito è spiegato su la pagina che illustra come funziona la piattaforma.
Vuole sapere se la sua organizzazione ricade direttamente sotto NIS2, o è interessata solo attraverso un cliente? Effettui il controllo NIS2 gratuito, o legga prima tranquillamente la banca dati delle conoscenze — entrambi sono accessibili senza account.