come registro la mia organizzazione come entità obbligata secondo la direttiva NIS2

La registrazione avviene attraverso l'autorità di controllo nazionale, non attraverso questa piattaforma

La registrazione è una fase formale autonoma: un'entità classificata come entità essenziale o importante secondo la Legge sulla sicurezza informatica comunica la propria registrazione all'autorità competente, tramite il portale appositamente predisposto. Questo avviene indipendentemente dalla compilazione dei documenti di policy o dall'attuazione delle misure — è il passo amministrativo attraverso il quale un'organizzazione diventa visibile all'autorità di controllo come entità obbligata. Le modalità precise, il momento in cui questa registrazione deve avvenire e i dati necessari sono descritti nei canali dell'autorità di controllo stessa e nella Legge sulla sicurezza informatica.

Prima che la registrazione diventi rilevante, è opportuno stabilire se un'organizzazione ricade effettivamente in quella categoria; come faccio a sapere se la mia azienda ricade sotto la direttiva NIS2 fornisce una prima indicazione, e la differenza tra le due categorie che devono essere registrate è illustrata in qual è la differenza tra un'entità essenziale e un'entità importante. Per chi sa già che la registrazione è obbligatoria, la domanda successiva è solitamente pratica: cosa deve essere pronto prima dell'invio della registrazione e chi all'interno dell'organizzazione se ne occupa. Questo si sovrappone con l'impostazione del dossier di adempimento degli obblighi di diligenza, dove per ogni misura vengono definiti uno stato e un responsabile — vedi chi deve essere responsabile all'interno della mia organizzazione per l'implementazione di una misura. Questa piattaforma prepara i testi e i dati per la registrazione, ma non presenta mai la registrazione al portale dell'autorità di controllo per conto del cliente; rimane sempre un passo autonomo dell'organizzazione stessa.

Perché l'obbligo di registrazione è distinto dall'obbligo di diligenza

L'obbligo di registrazione e l'obbligo di diligenza sono due obblighi diversi che la Direttiva NIS2 impone alle entità essenziali e importanti: l'articolo 21, paragrafo 2, della Direttiva (UE) 2022/2555 descrive le dieci misure che insieme costituiscono l'obbligo di diligenza, mentre l'obbligo di notifica e la registrazione sono disciplinati separatamente e sono stati attuati nei Paesi Bassi nella Legge sulla sicurezza informatica. L'NCSC fornisce orientamenti su come l'obbligo di diligenza e l'obbligo di notifica si collegano nella pratica, e l'autorità di controllo competente per il settore interessato è quella presso cui avviene la registrazione stessa.