La branca dell'installazione non rientra nella sua totalità nella direttiva NIS2. Non esiste un settore "installazione" negli allegati utilizzati dalla direttiva per designare entità essenziali e importanti. Tuttavia, le aziende di installazione ricevono sempre più spesso questa domanda, e ciò ha una ragione concreta: molti dei loro clienti rientrano effettivamente nell'obbligo di due diligence, e questo obbligo li obbliga a verificare anche i loro fornitori.
Il fatto che la NIS2 coinvolga la vostra azienda di installazione dipende quindi da tre fattori concomitanti: il settore in cui operate voi stessi, le dimensioni della vostra impresa e la questione se attraverso i vostri clienti rientrate nella catena di approvvigionamento di un'organizzazione soggetta all'obbligo. Questa terza modalità è spesso la più probabile per gli installatori e merita quindi un'attenzione particolare.
Settore: l'installazione rientra nell'allegato I o II?
La direttiva designa i settori in due allegati: l'allegato I per i settori essenziali come energia, acqua potabile, sanità e infrastrutture digitali, e l'allegato II per i settori importanti come determinati settori industriali e trattamento delle acque reflue. Un'azienda di installazione generale che installa sistemi di riscaldamento, elettrici o di sicurezza non figura come tale in questi allegati. Sono possibili eccezioni: un installatore che è parte di una rete energetica, o che gestisce infrastrutture critiche per un settore designato, potrebbe avvicinarsi maggiormente al campo di applicazione diretto. Questa è una valutazione caso per caso, non un risultato generale per il settore.
Dimensioni: siete una piccola, media o grande impresa?
La direttiva collega l'obbligo diretto alle dimensioni: in sostanza riguarda le medie e grandi imprese all'interno dei settori designati, con eccezioni che possono variare a seconda del settore. Molte aziende di installazione, per numero di dipendenti e fatturato, sono piccole o medie e rientrano spesso al di fuori dell'obbligo diretto anche per questo motivo, anche se il settore potrebbe avere un nesso. Tuttavia, le dimensioni da sole non sono mai l'esito completo; il settore e le dimensioni devono essere considerati insieme, e il recepimento nazionale può divergere su alcuni punti dalla direttiva stessa.
Posizione nella catena: accesso agli edifici e ai sistemi presso i clienti
Qui si trova il vero punto di attenzione per gli installatori. Un'azienda di installazione che lavora per un ospedale, un'azienda energetica, un consorzio idrico o un grande'azienda logistica, entra spesso letteralmente: negli edifici, presso i quadri elettrici, presso i sistemi di gestione degli edifici, a volte con un proprio accesso ai sistemi del cliente. Per il cliente che rientra esso stesso nell'obbligo di due diligence, questo è esattamente il tipo di accesso che l'articolo 21 della direttiva prende in considerazione: i rischi che emergono attraverso fornitori e prestatori di servizi sono parte della sicurezza propria di quell'organizzazione. Ecco perché le aziende di installazione ricevono questionari sulla sicurezza, condizioni contrattuali o requisiti in materia di controllo degli accessi, anche senza essere esse stesse soggette all'obbligo.
Che cosa significa concretamente essere "coinvolti nella catena" per voi?
Essere coinvolti nella catena significa che voi stessi non rientrate nell'obbligo di segnalazione o di registrazione, ma che un cliente può chiedervi di dimostrare come gestite l'accesso, le password, gli aggiornamenti e gli incidenti. Questo accade solitamente attraverso un questionario sulla sicurezza o un'integrazione al contratto. Chi non ha nulla da mostrare rischia che un incarico vada a un concorrente che può rispondere in modo rapido e convincente. Non è quindi un obbligo legale che grava direttamente sulla vostra azienda, ma è una realtà commerciale che deriva dall'obbligo del vostro cliente. leggere la spiegazione per situazione offre un'immagine di come questi due percorsi — soggetto all'obbligo diretto e coinvolto nella catena — si differenziano nella pratica.
Che cosa potete fare ora?
Il primo passo consiste nel chiarire quale delle tre categorie si applica alla vostra azienda: essenziale, importante, interessata dalla catena di approvvigionamento, oppure non interessata. È proprio a questo scopo che serve la verifica NIS2: poche domande su settore, dimensioni e clienti per i quali lavorate, con un'indicazione e una spiegazione del perché. in poche domande scopri dove si colloca la vostra azienda non richiede account né costi. Se l'esito è interessata dalla catena di approvvigionamento, la domanda successiva è di natura pratica: quali questionari e requisiti contrattuali potete aspettarvi, e come documentate le risposte in modo da non doverle ripensare ogni volta. consultare le domande frequenti sulla verifica e il dossier fornisce una prima impressione di ciò, e leggere da dove provengono le informazioni sulla piattaforma mostra come i risultati sono collegati alla direttiva e alla legge nazionale.
Volete già sapere se la vostra azienda di installazione tende verso essenziale, importante, interessata dalla catena di approvvigionamento o non interessata? Effettuate la verifica NIS2 gratuita, oppure leggete prima la banca dati delle conoscenze per affrontare i concetti al vostro ritmo.