NIS2: siete dentro o fuori? Tre domande per capirlo

NIS2: tre domande per capire da che parte state

La prima domanda che ci pongono i clienti sulla NIS2 è semplice: "ci riguarda?". La risposta richiede tre verifiche, da fare in ordine. Il quadro di riferimento è la Direttiva (UE) 2022/2555 (artt. 2 e 3) e il D.Lgs. 4 settembre 2024, n. 138, che l'ha recepita in Italia (artt. 3 e 6 e Allegati I-IV).

Essere fuori dall'ambito non significa essere fuori dalla questione.

1. Il settore

Il primo filtro è l'attività svolta. La normativa distingue:

• Settori ad alta criticità (Allegato I): energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, settore sanitario, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi TIC in ambito B2B, spazio.
• Altri settori critici (Allegato II): servizi postali e di corriere, gestione dei rifiuti, sostanze chimiche, alimenti, fabbricazione (tra cui dispositivi medici e diagnostici in vitro, computer ed elettronica, macchinari, autoveicoli), fornitori di servizi digitali come mercati online, motori di ricerca e social network, organismi di ricerca.

Le pubbliche amministrazioni (Allegato III) e le ulteriori tipologie di soggetti (Allegato IV) seguono criteri propri.

Per chi lavora nel deep tech il punto merita attenzione. Un produttore di dispositivi medici connessi, una piattaforma digitale o un fornitore di servizi cloud possono trovarsi nell'elenco senza averlo mai considerato.

2. La dimensione

Se operate in uno di questi settori, si guarda alla dimensione: il decreto si applica ai soggetti degli Allegati I e II che superano i massimali per le piccole imprese (art. 3 D.Lgs. 138/2024, con rinvio alla Raccomandazione 2003/361/CE). Si superano con almeno 50 dipendenti oppure con fatturato annuo e totale di bilancio entrambi superiori a 10 milioni di euro. Contano anche le imprese associate e collegate: un'impresa piccola in sé, inserita in un gruppo, può superare le soglie della piccola impresa e rientrare in ambito. L’aggregazione dei dati del gruppo non è però automatica: il decreto la esclude quando non è proporzionata, tenendo conto dell’indipendenza del soggetto dalle imprese collegate per sistemi informativi e di rete e per servizi forniti (art. 3, co. 4).

La dimensione determina anche la qualifica: sono soggetti essenziali, per i settori dell'Allegato I, quelli che superano i massimali per le medie imprese (art. 6, co. 1, lett. a); gli altri soggetti rientranti sono importanti.

3. I casi speciali

Alcuni soggetti rientrano a prescindere da dipendenti e fatturato (art. 3, co. 5 e 6):

• fornitori di reti pubbliche di comunicazione elettronica o di servizi di comunicazione elettronica accessibili al pubblico;
• prestatori di servizi fiduciari;
• gestori di registri dei nomi di dominio di primo livello e fornitori di servizi DNS;
• fornitori di servizi di registrazione dei nomi di dominio;
• soggetti critici ai sensi della disciplina sulla resilienza (Direttiva (UE) 2022/2557);
• pubbliche amministrazioni delle categorie dell'Allegato III.

Altri soggetti rientrano solo se individuati dall'Agenzia per la Cybersicurezza Nazionale (art. 3, co. 9 e 13): gli ex operatori di servizi essenziali ai sensi del D.Lgs. 65/2018, l'unico fornitore nazionale di un servizio essenziale per attività sociali o economiche fondamentali, i soggetti la cui interruzione avrebbe un impatto significativo su sicurezza, incolumità o salute pubblica o un rischio sistemico, e quelli critici per la loro importanza a livello nazionale o regionale.

Nota per banche e infrastrutture finanziarie. Per i soggetti dei settori 3 e 4 dell'Allegato I (settore bancario e infrastrutture dei mercati finanziari) non si applicano l'art. 17 e i Capi IV e V del decreto, perché a essi si applica il Regolamento (UE) 2022/2554 (DORA) (art. 3, co. 14).

Se siete dentro

Action items

1. Verificare se siete soggetto essenziale o importante, mappando settore e dimensione (artt. 3 e 6).
2. Registrarsi o aggiornare la registrazione sulla piattaforma dell'ACN: la finestra è annuale, dal 1° gennaio al 28 febbraio (art. 7, co. 1).
3. Portare il tema ai vertici: gli organi di amministrazione e direttivi approvano le modalità di attuazione delle misure di gestione del rischio, sovrintendono agli adempimenti e rispondono delle violazioni (art. 23 D.Lgs. 138/2024; art. 20 Direttiva (UE) 2022/2555). Devono inoltre seguire una formazione in materia di sicurezza informatica.

Se siete fuori, ma…

Essere fuori dall'ambito non significa essere fuori dalla questione. Chi fornisce tecnologia o servizi digitali a un'azienda NIS2 riceverà richieste contrattuali di standard di sicurezza elevati e tempi stringenti per la segnalazione di guasti o attacchi. La sicurezza della catena di approvvigionamento è infatti una misura obbligatoria per i vostri clienti (art. 21, par. 2, lett. d, Direttiva (UE) 2022/2555).

Per un primo orientamento abbiamo pubblicato NIS2 Scope Check, gratuito e senza registrazione, su deeptechlaw.it/lab. È un orientamento iniziale: la qualificazione definitiva richiede un'analisi del caso concreto.