Come capire se sei soggetto
Contano due criteri: il settore (energia, trasporti, sanità, acqua, infrastrutture digitali, manifattura di alcuni prodotti, gestione dei rifiuti, alimentare e altri elencati negli allegati) e la dimensione (di norma dalle medie imprese in su). Esistono eccezioni in cui un'azienda è soggetta indipendentemente dalla dimensione. Il passaggio ufficiale è l'autovalutazione e la registrazione sulla piattaforma dell'ACN, da fare (o aggiornare) ogni anno dal 1° gennaio al 28 febbraio; entro il 31 marzo l'ACN redige l'elenco dei soggetti essenziali e importanti (art. 7).
Se sei "nella filiera"
È il caso più frequente per una PMI: un cliente soggetto alla NIS2 ti manda un questionario sulla sicurezza, o chiede garanzie nel contratto. Non sei obbligato per legge, ma se non rispondi in modo convincente rischi la fornitura. Le domande sono quasi sempre le stesse: chi accede ai tuoi sistemi e come, se hai backup verificati, come gestisci un incidente, se il personale è formato.
Le misure che contano, in pratica
Sapere quali sistemi e dati sono critici.
Accessi personali, protetti e revocabili, anche da remoto.
Backup verificati e un piano per ripartire dopo un incidente.
Una procedura scritta per gestire e notificare un incidente.
Aggiornamenti e gestione delle vulnerabilità.
Formazione del personale e responsabilità chiare del vertice aziendale.
Sono le stesse cose che servono a qualsiasi azienda per lavorare tranquilla. La NIS2 le ha solo messe per iscritto.
Sanzioni
Per le violazioni più gravi (ad esempio su misure di sicurezza e notifiche), le imprese che sono soggetti essenziali rischiano fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, se superiore; i soggetti importanti fino a 7 milioni o all'1,4%. Il decreto fissa anche dei minimi: un ventesimo e un trentesimo del massimo (art. 38, D.Lgs. 138/2024). E chi rappresenta l'azienda può essere ritenuto responsabile in prima persona.
Se un tuo cliente ti ha già mandato un questionario sulla sicurezza, la NIS2 ti riguarda. Anche se nessuno te l'ha detto.
Domande frequenti
Ho 15 dipendenti: devo registrarmi? +
Di norma no, salvo casi specifici previsti dalla norma. Ma se lavori per aziende soggette, è probabile che ti chiedano garanzie.
Cosa rischio se non sono soggetto e non faccio niente? +
Nessuna sanzione NIS2, ma il rischio concreto di perdere clienti che devono controllare i fornitori, oltre ai rischi di un incidente.
Chi è responsabile in azienda? +
Gli organi di amministrazione: approvano le misure di sicurezza, ne sovrintendono l'attuazione, rispondono delle violazioni e devono seguire una formazione sulla sicurezza informatica (art. 23). La parte operativa si può delegare, la responsabilità no.
Fonti ufficiali
- D.Lgs. 4 settembre 2024, n. 138, artt. 7, 23, 25, 38 e 42 (si apre in una nuova scheda)GU N. 230 DEL 1° OTTOBRE 2024 · NORMATTIVA
- Portale e determinazioni dell'ACN (si apre in una nuova scheda)AGENZIA PER LA CYBERSICUREZZA NAZIONALE
Questa guida ha scopo informativo e non costituisce consulenza legale.
Noi ci occupiamo della parte tecnica: misure di sicurezza, accessi, backup, gestione degli incidenti, documentazione tecnica e risposte ai questionari sulla sicurezza che ti mandano i clienti. Gli adempimenti legali spettano a un legale o a un consulente privacy: lavoriamo con quello di cui ti fidi e ci coordiniamo con lui sulla parte tecnica, così le due parti non si contraddicono.