Sei soggetto a NIS2?
Allegato I: energia, trasporti, banche, mercati finanziari, sanità, acqua potabile e reflue, infrastrutture digitali, ICT gestito, pubblica amministrazione, spazio. Allegato II: poste, rifiuti, chimica, alimentare, manifattura, digitale e ricerca.
Esito
Soggetto importante
Vigilanza
Successiva, su segnalazione o incidente
Tetto sanzionatorio
Fino all'1,4% del fatturato mondiale
La dimensione non è l'ultima parola: una azienda piccola rientra lo stesso se è l'unico fornitore di un servizio essenziale, se un suo guasto avrebbe un impatto sistemico o se è identificata per nome dall'autorità. Chi ha dubbi guarda il registro ACN, non la tabella.
Domande frequenti
Chi rientra in NIS2 e che cosa cambia
Qual è la differenza fra soggetto essenziale e soggetto importante?
Gli obblighi di sicurezza sono gli stessi, cambiano il controllo e la sanzione. Sugli essenziali la vigilanza è preventiva, cioè l'autorità può chiedere ispezioni e audit senza che sia successo niente, con sanzioni fino al 2% del fatturato mondiale. Sugli importanti la vigilanza scatta dopo una segnalazione o un incidente e il tetto è l'1,4%.
Una azienda piccola può rientrare lo stesso?
Sì. Le soglie dimensionali sono la regola generale, non l'unico criterio. Rientra comunque chi è l'unico fornitore di un servizio essenziale in un territorio, chi ha un ruolo tale che un suo blocco avrebbe effetti sistemici, i fornitori di reti pubbliche di comunicazione e i prestatori di servizi fiduciari, oltre a chi viene identificato direttamente dall'autorità.
La mia azienda è fornitrice di un soggetto NIS2: mi riguarda?
Indirettamente, quasi sempre. La direttiva obbliga i soggetti in perimetro a gestire il rischio della propria catena di fornitura, quindi le richieste arrivano per contratto: questionari, clausole sulla sicurezza, tempi di notifica degli incidenti. Non sei tu a essere sanzionabile, ma il cliente ti chiede di adeguarti.
Che cosa bisogna fare concretamente?
Registrarsi presso l'autorità nazionale, adottare misure di gestione del rischio proporzionate, e notificare gli incidenti significativi entro i termini stretti previsti dalla direttiva, con un primo avviso nelle prime ore e una relazione più completa dopo. Gli organi di gestione rispondono in prima persona dell'adeguatezza delle misure.
Qual é a diferença entre entidade essencial e importante?
Os deveres de segurança são iguais; a supervisão e as coimas não. As entidades essenciais têm supervisão proativa, com auditorias e inspeções mesmo sem incidente, e coimas até 2 por cento do volume de negócios mundial.
Uma empresa pequena também pode estar abrangida?
Sim. Os limiares de dimensão são a regra geral, não o único critério. Os fornecedores únicos de um serviço essencial numa zona, as entidades cuja falha teria efeitos sistémicos, os operadores de rede e os prestadores de serviços de confiança entram seja qual for a dimensão.
Fornecemos uma entidade abrangida: isso chega até nós?
De forma indireta, quase sempre. A diretiva obriga as entidades abrangidas a gerir o risco da cadeia de fornecimento, por isso os requisitos chegam pelos contratos: questionários, cláusulas de segurança, prazos de notificação. A coima não é sua, o negócio pode ser.