Sei soggetto a NIS2?
Allegato I: energia, trasporti, banche, mercati finanziari, sanità, acqua potabile e reflue, infrastrutture digitali, ICT gestito, pubblica amministrazione, spazio. Allegato II: poste, rifiuti, chimica, alimentare, manifattura, digitale e ricerca.
Esito
Soggetto importante
Vigilanza
Successiva, su segnalazione o incidente
Tetto sanzionatorio
Fino all'1,4% del fatturato mondiale
La dimensione non è l'ultima parola: una azienda piccola rientra lo stesso se è l'unico fornitore di un servizio essenziale, se un suo guasto avrebbe un impatto sistemico o se è identificata per nome dall'autorità. Chi ha dubbi guarda il registro ACN, non la tabella.
Domande frequenti
Chi rientra in NIS2 e che cosa cambia
Qual è la differenza fra soggetto essenziale e soggetto importante?
Gli obblighi di sicurezza sono gli stessi, cambiano il controllo e la sanzione. Sugli essenziali la vigilanza è preventiva, cioè l'autorità può chiedere ispezioni e audit senza che sia successo niente, con sanzioni fino al 2% del fatturato mondiale. Sugli importanti la vigilanza scatta dopo una segnalazione o un incidente e il tetto è l'1,4%.
Una azienda piccola può rientrare lo stesso?
Sì. Le soglie dimensionali sono la regola generale, non l'unico criterio. Rientra comunque chi è l'unico fornitore di un servizio essenziale in un territorio, chi ha un ruolo tale che un suo blocco avrebbe effetti sistemici, i fornitori di reti pubbliche di comunicazione e i prestatori di servizi fiduciari, oltre a chi viene identificato direttamente dall'autorità.
La mia azienda è fornitrice di un soggetto NIS2: mi riguarda?
Indirettamente, quasi sempre. La direttiva obbliga i soggetti in perimetro a gestire il rischio della propria catena di fornitura, quindi le richieste arrivano per contratto: questionari, clausole sulla sicurezza, tempi di notifica degli incidenti. Non sei tu a essere sanzionabile, ma il cliente ti chiede di adeguarti.
Che cosa bisogna fare concretamente?
Registrarsi presso l'autorità nazionale, adottare misure di gestione del rischio proporzionate, e notificare gli incidenti significativi entro i termini stretti previsti dalla direttiva, con un primo avviso nelle prime ore e una relazione più completa dopo. Gli organi di gestione rispondono in prima persona dell'adeguatezza delle misure.
What is the difference between an essential and an important entity?
The security duties are identical; supervision and fines are not. Essential entities face proactive supervision, with audits and inspections even without an incident, and fines up to 2 per cent of worldwide turnover.
Can a small company still be in scope?
Yes. The size thresholds are the general rule, not the only test. Sole providers of an essential service in an area, entities whose failure would have systemic effects, network providers and trust service providers are in scope whatever their size.
We supply an entity in scope: does it reach us?
Indirectly, nearly always. The directive makes entities in scope manage supply chain risk, so the requirements arrive through contracts: questionnaires, security clauses, notification deadlines. The fine is not yours, but the business can be.
Does my data stay private?
Yes, and not because we promise it: this tool runs entirely inside your browser. What you type or upload never leaves your device, so it never reaches a server of ours and there is nothing we could keep, read or lose. You can check it yourself: open the page, disconnect from the internet, and the tool keeps working.
Do you store what I enter?
No. There is no database behind this tool: we do not store your files, your text or your results. When you close the tab nothing is left — not here with us, because it never arrived, and not anywhere else.
Do you profile me? Are you GDPR compliant?
We do not profile you: there is no account to create, we never ask for your email to use a tool, and we keep no profile of what you do. We are an Italian company and we work under the GDPR and the other European rules, with the privacy notice and the consent request in plain sight. One thing we say in full rather than hiding it behind a slogan: the ads on the page are Google's, and Google may use cookies to personalise them. You decide from the consent banner: if you say no the ads stay, but they are not personalised, and the tool works exactly the same.
If it is free, how do you make money?
From the ads on the page, and that is all. We do not sell your data, there is no hidden paid plan, there is no limit that eventually asks for your card, and you do not have to sign up. The ads pay for the servers and for the time we spend writing the tools: that is how we can keep them open to everyone.