Sei soggetto a NIS2?
Allegato I: energia, trasporti, banche, mercati finanziari, sanità, acqua potabile e reflue, infrastrutture digitali, ICT gestito, pubblica amministrazione, spazio. Allegato II: poste, rifiuti, chimica, alimentare, manifattura, digitale e ricerca.
Esito
Soggetto importante
Vigilanza
Successiva, su segnalazione o incidente
Tetto sanzionatorio
Fino all'1,4% del fatturato mondiale
La dimensione non è l'ultima parola: una azienda piccola rientra lo stesso se è l'unico fornitore di un servizio essenziale, se un suo guasto avrebbe un impatto sistemico o se è identificata per nome dall'autorità. Chi ha dubbi guarda il registro ACN, non la tabella.
Domande frequenti
Chi rientra in NIS2 e che cosa cambia
Qual è la differenza fra soggetto essenziale e soggetto importante?
Gli obblighi di sicurezza sono gli stessi, cambiano il controllo e la sanzione. Sugli essenziali la vigilanza è preventiva, cioè l'autorità può chiedere ispezioni e audit senza che sia successo niente, con sanzioni fino al 2% del fatturato mondiale. Sugli importanti la vigilanza scatta dopo una segnalazione o un incidente e il tetto è l'1,4%.
Una azienda piccola può rientrare lo stesso?
Sì. Le soglie dimensionali sono la regola generale, non l'unico criterio. Rientra comunque chi è l'unico fornitore di un servizio essenziale in un territorio, chi ha un ruolo tale che un suo blocco avrebbe effetti sistemici, i fornitori di reti pubbliche di comunicazione e i prestatori di servizi fiduciari, oltre a chi viene identificato direttamente dall'autorità.
La mia azienda è fornitrice di un soggetto NIS2: mi riguarda?
Indirettamente, quasi sempre. La direttiva obbliga i soggetti in perimetro a gestire il rischio della propria catena di fornitura, quindi le richieste arrivano per contratto: questionari, clausole sulla sicurezza, tempi di notifica degli incidenti. Non sei tu a essere sanzionabile, ma il cliente ti chiede di adeguarti.
Che cosa bisogna fare concretamente?
Registrarsi presso l'autorità nazionale, adottare misure di gestione del rischio proporzionate, e notificare gli incidenti significativi entro i termini stretti previsti dalla direttiva, con un primo avviso nelle prime ore e una relazione più completa dopo. Gli organi di gestione rispondono in prima persona dell'adeguatezza delle misure.
Was unterscheidet eine wesentliche von einer wichtigen Einrichtung?
Die Sicherheitspflichten sind identisch, Aufsicht und Bußgelder nicht. Wesentliche Einrichtungen stehen unter vorausschauender Aufsicht, mit Audits und Inspektionen auch ohne Vorfall, und Bußgeldern bis zu 2 Prozent des weltweiten Umsatzes.
Kann auch ein kleines Unternehmen betroffen sein?
Ja. Die Größenschwellen sind die allgemeine Regel, nicht der einzige Test. Alleinanbieter eines wesentlichen Dienstes in einem Gebiet, Einrichtungen mit systemischer Wirkung bei Ausfall, Netzbetreiber und Vertrauensdiensteanbieter fallen unabhängig von der Größe darunter.
Wir beliefern eine betroffene Einrichtung: trifft es uns?
Indirekt fast immer. Die Richtlinie verpflichtet betroffene Einrichtungen, das Risiko der Lieferkette zu steuern, also kommen die Anforderungen über Verträge: Fragebögen, Sicherheitsklauseln, Meldefristen. Das Bußgeld ist nicht Ihres, der Auftrag schon.