La mia azienda rientra in NIS2?
Se la vostra azienda rientra direttamente nella direttiva NIS2 dipende da due fattori: il settore in cui operate e le dimensioni della vostra organizzazione. La direttiva identifica in due allegati i settori che ritiene importanti per la società o l'economia, dall'energia e i trasporti alle infrastrutture digitali e la gestione delle acque reflue. Se la vostra azienda opera in uno di questi settori e rientra nelle dimensioni previste dalla direttiva, siete presumibilmente un'entità 'essenziale' o 'importante', con tutti gli obblighi che ne derivano.
Ma la risposta non si ferma qui. Molte più aziende rientrano al di fuori del settore e delle dimensioni, eppure ricevono gli stessi requisiti: come fornitori, installatori o prestatori di servizi di un'azienda che è effettivamente soggetta agli obblighi. Le organizzazioni soggette agli obblighi devono infatti valutare la propria catena di approvvigionamento, il che si traduce in questionari e requisiti contrattuali per aziende che non devono mai registrarsi presso un'autorità di vigilanza.
Settore: allegato I e II
La direttiva elenca i settori in due allegati. L'allegato I nomina i settori considerati essenziali: tra gli altri energia, trasporti, servizi bancari, approvvigionamento di acqua potabile, infrastrutture digitali e amministrazione pubblica. L'allegato II nomina i settori considerati importanti, come i servizi postali e di corriere, la gestione dei rifiuti, la chimica, l'alimentazione e determinati servizi digitali. Un'azienda di installazione, un fornitore di servizi IT o una società di consulenza di solito non compaiono per nome in questi allegati, ma le descrizioni sono più ampie di quanto il nome non suggerisca. Chi ha dubbi sul fatto che la propria attività rientri in uno di questi settori farebbe bene a leggere la descrizione nel testo ufficiale stesso, non solo il nome del settore.
Dimensioni: quando la vostra azienda conta
Oltre al settore, la direttiva considera le dimensioni dell'organizzazione, utilizzando la classificazione UE standard di piccole, medie e grandi imprese in base al numero di dipendenti e al fatturato o al totale di bilancio. Per la maggior parte dei settori vale questa regola: più grande è l'impresa, prima rientra nel campo di applicazione. Esistono anche eccezioni in cui le dimensioni hanno meno importanza, ad esempio quando un'organizzazione è l'unico fornitore di un determinato servizio in un paese. Queste eccezioni sono descritte con precisione nella direttiva e nella legge nazionale che la recepisce; una valutazione esatta della vostra situazione personale spetta a voi stessi, al vostro consulente legale o all'autorità di vigilanza.
Il gruppo più grande rimane escluso, ma riceve comunque i requisiti
La parte della direttiva che attira maggiore attenzione riguarda l'obbligo di diligenza: le organizzazioni soggette agli obblighi devono adottare misure appropriate e valutare anche i loro fornitori. Questo è esattamente ciò con cui si confronta il gruppo più grande di aziende. Un'azienda di installazione che manutenzione dei sistemi di gestione dell'edificio per un'azienda energetica, una società di pulizie che lavora per un ospedale, o un partner IT di un comune: nessuno di loro deve registrarsi direttamente, ma tutti potrebbero ricevere un questionario. Nella pratica, questo spesso si chiama 'interessato da catena di fornitura': voi non rientrate direttamente nella direttiva, ma un cliente che lo fa vi chiede comunque di dimostrare che la vostra sicurezza è in ordine.
Il fatto che questo riguardi la vostra azienda dipende da chi sono i vostri clienti e quanto importante è il vostro servizio per loro. È difficile da valutare senza una visione complessiva di settore, dimensioni e ruolo nella catena di fornitura contemporaneamente. In poche domande vedete dove la vostra azienda si colloca approssimativamente, con una spiegazione del perché e un suggerimento per il passo successivo.
Istituzioni finanziarie: una normativa separata
Le banche, le assicurazioni e altre istituzioni finanziarie non rientrano nella NIS2 ma in un regolamento separato sulla resilienza operativa digitale, destinato specificamente al settore finanziario. Chi opera in quel settore di solito lo riconosce già alla prima domanda di compilazione sulla configurazione del settore.
Cosa fare se la risposta non è chiara
Settore e dimensioni insieme forniscono una buona prima indicazione, ma il confine preciso tra 'essenziale', 'importante', 'interessato da catena di fornitura' e 'non interessato' richiede un'analisi personalizzata. La base di conoscenze con tutti gli argomenti per situazione fornisce una spiegazione per ogni concetto e rimanda al luogo di riferimento nel testo ufficiale. Se rimangono dubbi dopo la lettura, un legale o l'autorità di vigilanza nel vostro paese è la parte competente per valutare la vostra situazione specifica; secria.eu si astiene consapevolmente dal pronunciarsi al riguardo.
Volete innanzitutto sapere da dove provengono le informazioni su questa piattaforma e come vengono mantenute aggiornate? Leggete qui come gestiamo le fonti. Le risposte a domande pratiche sull'uso della piattaforma le trovate in l'elenco delle domande frequenti.
La risposta breve a 'la mia azienda rientra nella direttiva NIS2' la ottenete dunque mettendo a confronto il settore, le dimensioni e il ruolo nella catena di fornitura. Effettuate il controllo gratuito e leggete la base di conoscenze; vi daranno già un primo quadro comprovato di dove si trova la vostra azienda, senza necessità di un account.