La risposta breve
Una parte della fornitura di servizi ICT è menzionata espressamente nell'elenco dei settori NIS2 e può pertanto essere essa stessa un'entità essenziale o importante. Si pensi ai fornitori di servizi gestiti e di servizi di sicurezza gestiti, ai fornitori di servizi cloud e ai centri dati. Tuttavia la maggior parte dei fornitori di servizi ICT — l'amministratore di rete locale, la società che gestisce i server in remoto, il fornitore di un'applicazione aziendale — non rientra essa stessa nell'elenco dei settori. Sono spesso interessati comunque, e ciò accade perché il loro cliente ne ha l'obbligo legale: un'entità essenziale o importante deve infatti valutare quanto siano sicuri i suoi fornitori, e un fornitore di servizi ICT con accesso ai sistemi è per questa valutazione una parte ovvia.
Che voi stessi siate soggetti agli obblighi o siate interessati attraverso la catena di approvvigionamento dipende quindi da tre fattori simultanei: il vostro tipo di servizio è incluso nell'elenco dei settori, la vostra organizzazione raggiunge le dimensioni associate a tale elenco, e qual è il vostro ruolo effettivo presso i clienti che sono essi stessi soggetti agli obblighi. Questi tre fattori determinano insieme la risposta e operano indipendentemente l'uno dall'altro — potete raggiungere le dimensioni senza essere nel settore giusto, oppure essere esattamente nel settore giusto senza raggiungere le dimensioni.
Ciò che l'elenco dei settori dice sulla fornitura di servizi ICT
La direttiva NIS2 distingue i settori di criticalità elevata e altri settori critici. All'interno dell'infrastruttura digitale e dei servizi digitali sono menzionati in particolare i fornitori di servizi gestiti (managed service provider) e i fornitori di servizi di sicurezza gestiti (managed security service provider), insieme ai servizi di cloud computing, ai centri dati e ai fornitori di mercati online e motori di ricerca. Chi rientra in una di queste categorie, segue la stessa verifica di ogni altro settore: il vostro servizio corrisponde alla descrizione della direttiva, e se sì, in quale categoria.
Chi fornisce solo software, costruisce un sito web o esegue progetti IT occasionali senza gestione continuativa, rientra generalmente al di fuori di questa descrizione specifica — sebbene la delimitazione precisa rimanga una questione per la vostra situazione particolare, non per una regola generale. Se siete incerti su quale descrizione si applica alla vostra fornitura di servizi, questo è uno dei punti dove in poche domande un primo orientamento aiuta, con un rinvio al luogo preciso nella direttiva.
Le dimensioni contano tanto quanto il settore
Un settore da solo non è sufficiente per essere un'entità essenziale o importante. NIS2 lavora con criteri dimensionali coerenti con la classificazione standard delle medie e grandi imprese: il numero di dipendenti e il fatturato o il totale dello stato patrimoniale rientrano nel determinare la categoria. Un'azienda individuale che offre gestione di reti a una manciata di aziende locali rientra generalmente in una categoria diversa per dimensioni rispetto a un fornitore di servizi ICT nazionale con centinaia di dipendenti, anche se entrambi offrono essenzialmente lo stesso servizio.
Le leggi nazionali che attuano la direttiva — nei Paesi Bassi la Cybersecurity Act — sviluppano ulteriormente questi criteri, e l'autorità di vigilanza pubblica indicazioni pratiche in proposito. Noi teniamo traccia di queste fonti con la data in cui le abbiamo consultate, in modo che possiate chiedere quando un'indicazione si basa.
Gestione remota e accesso ai sistemi dei clienti: la posizione nella catena
Proprio nei servizi ICT, la posizione nella catena di fornitura è spesso il fattore decisivo, indipendentemente dal settore e dalle dimensioni. La gestione remota, l'accesso alle reti dei clienti, la gestione delle password o la manutenzione di un'applicazione critica per il cliente — questi sono esattamente i tratti che un cliente valuta quando assess i propri fornitori. Un'entità essenziale o importante deve infatti essere in grado di dimostrare che i rischi nella catena di fornitura sono stati identificati, e un fornitore con accesso ai sistemi si colloca allora in posizione elevata in tale elenco, indipendentemente dal fatto che il fornitore stesso compaia nella lista dei settori.
Questo spiega perché molti fornitori di servizi ICT, pur non essendo direttamente soggetti agli obblighi normativi, ricevono comunque un questionario sulla sicurezza o una clausola contrattuale. Non si tratta di un obbligo giuridico che grava direttamente su di loro, ma di un requisito pratico che arriva tramite il cliente — e che può effettivamente incidere sul contratto.
Subfornitori: la catena non si ferma a voi
Chi a sua volta lavora con subfornitori — un amministratore di sistema freelance, un fornitore di hosting, un helpdesk esterno — nella pratica trasmette la stessa domanda. Se il vostro cliente vuole sapere da voi come è regolato l'accesso ai sistemi, è probabile che rivolgiate la stessa domanda ai vostri stessi subfornitori. Così la valutazione della catena di fornitura si estende su più livelli, anche se nessuno nella catena rientra formalmente nella lista dei settori.
Cosa significhi per il vostro dossier
Che siate direttamente soggetti agli obblighi, raggiunti solo tramite la catena di fornitura, o nessuno dei due, determina come strutturare la vostra preparazione: un dossier completo sugli obblighi di diligenza, risposte mirate ai questionari dei clienti, o per il momento nessuna azione. Una panoramica delle dieci misure che l'obbligo di diligenza si aspetta da voi e il modo in cui si collegano a ciò che un cliente chiede in un questionario si trova in la spiegazione per argomento. Per la questione di come secria.eu mantiene le fonti e su quale base si basa un'indicazione, il metodo di lavoro è un buon punto di partenza, e le domande frequenti sulla portata della normativa sono raccolte in la panoramica di domande e risposte.
Cominciate con il controllo nis2 per verificare se il vostro servizio rientra nella lista dei settori, quali dimensioni sono rilevanti e cosa significhi la vostra posizione nella catena di fornitura — gratuitamente e senza account.