Una delle prime domande che le aziende si pongono sulla NIS2 è semplicemente: si applica a noi? La risposta dipende dal settore in cui opera, dalle Sue dimensioni, dal tipo di servizio fornito e dal diritto nazionale di ciascuno Stato membro dell'UE in cui opera. Questa guida riassume la struttura generale dell'ambito di applicazione della direttiva, così da poter formulare una domanda sensata ai consulenti legali e decidere i passi successivi. Si tratta di informazioni generali e non di consulenza legale.
Che cos'è
La NIS2 (Direttiva (UE) 2022/2555) elenca i settori coperti in due allegati. L'allegato I riguarda i settori ad alta criticità: energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi ICT (business-to-business), pubblica amministrazione e spazio. L'allegato II riguarda altri settori critici: servizi postali e di corriere, gestione dei rifiuti, fabbricazione e distribuzione di sostanze chimiche, produzione e distribuzione di alimenti, fabbricazione di determinati prodotti (come dispositivi medici, computer ed elettronica, apparecchiature elettriche, macchinari e veicoli), fornitori digitali (mercati online, motori di ricerca e piattaforme di social network) e ricerca. Come regola generale, la direttiva si applica alle organizzazioni di medie e grandi dimensioni in questi settori; secondo la definizione UE di PMI, un'organizzazione è in linea di massima almeno di medie dimensioni se ha 50 o più dipendenti, oppure se sia il fatturato annuo sia il totale di bilancio superano i 10 milioni di EUR. Alcuni soggetti sono coperti indipendentemente dalle dimensioni, come determinati fornitori di comunicazioni elettroniche pubbliche, i prestatori di servizi fiduciari, i fornitori di servizi DNS e i registri dei nomi di dominio di primo livello, e gli Stati membri possono designarne altri. Le organizzazioni coperte sono classificate come soggetti essenziali o importanti. In linea generale, le grandi organizzazioni dei settori dell'allegato I sono essenziali, mentre le organizzazioni di medie dimensioni dell'allegato I e quelle dell'allegato II sono importanti, fatte salve le regole indipendenti dalle dimensioni e le designazioni nazionali. La classificazione incide sulla vigilanza e sulle sanzioni piuttosto che sulle misure di base richieste.
Per Chi È
Questa guida è utile per:
- Manager di aziende di medie dimensioni nella manifattura, nella logistica, nei servizi digitali, nell'alimentare, nella chimica o nelle filiere legate alla sanità
- Fornitori di servizi gestiti e di servizi ICT che lavorano per clienti aziendali
- Fornitori di soggetti coperti che ricevono questionari di sicurezza
- Gruppi che operano in più Stati membri dell'UE e necessitano di una visione coerente
Cosa Aiuta A Chiarire
Esaminare la struttura dell'ambito di applicazione aiuta a chiarire:
- Se una qualsiasi delle Sue attività corrisponde a un settore dell'allegato I o dell'allegato II
- Se supera la soglia dimensionale o rientra in una categoria coperta indipendentemente dalle dimensioni
- Quali leggi e autorità nazionali degli Stati membri sono pertinenti
- Se i Suoi obblighi sono diretti o derivano indirettamente dai contratti con i clienti
Cosa è incluso
- Elencare ogni attività e linea di servizio, non solo la descrizione dell'attività principale
- Confrontare ciascuna attività con le descrizioni dei settori degli allegati I e II
- Verificare numero di dipendenti, fatturato e totale di bilancio, tenendo conto della struttura del gruppo e delle imprese associate o collegate, come richiede la definizione UE di PMI
- Individuare ogni Stato membro in cui fornisce servizi coperti o dispone di stabilimenti
- Verificare la legge nazionale di recepimento e le indicazioni dell'autorità in ciascun paese pertinente
- Registrare esito, motivazione e data, e riesaminarli quando la Sua attività cambia
- Se non rientra nell'ambito di applicazione, elencare i clienti che vi rientrano e i requisiti di sicurezza che Le trasferiscono
Cosa non è incluso
- Una determinazione legale sull'applicabilità della NIS2 alla Sua organizzazione
- L'interpretazione di una specifica legge nazionale di recepimento
- La registrazione presso le autorità per Suo conto
- Certificazione o approvazione di conformità
Quando sceglierlo
Utilizzi questa guida per tempo, prima di investire in un programma di ampia portata, e di nuovo ogni volta che entra in un nuovo settore o paese, acquisisce un'azienda o supera una soglia dimensionale. Se la risposta non è chiara, ad esempio perché un'attività si colloca al confine della descrizione di un settore, si rivolga a un consulente legale anziché fare supposizioni. Anche le organizzazioni al di fuori dell'ambito diretto traggono spesso vantaggio dal prepararsi, perché i clienti coperti devono gestire i rischi della propria supply chain. Questo articolo fornisce informazioni generali e non costituisce consulenza legale.
Il nostro approccio
Affronti l'ambito di applicazione come una decisione documentata anziché come un rapido sì o no. Raccolga prima i fatti: attività, dati dimensionali, struttura del gruppo e paesi. Poi sottoponga la questione ai consulenti legali con queste evidenze. Parallelamente, esamini le misure di sicurezza richieste dalla NIS2; riflettono buone pratiche ampiamente riconosciute, quindi migliorarle è utile qualunque sia la risposta sull'ambito. Il nostro servizio Security Baseline Review può fornirLe una valutazione scritta degli asset concordati e osservazioni classificate per gravità, con osservazioni sulle lacune di preparazione rispetto a un riferimento concordato, ove incluse nel perimetro confermato. Queste evidenze possono supportare il confronto con clienti, direzione e consulenti. Si tratta di materiale di supporto alle decisioni che La aiuta a porre domande mirate ai consulenti legali e, ove pertinente, agli organismi di certificazione. Se è un fornitore, chieda ai Suoi clienti coperti quali controlli specifici devono vederLe dimostrare e dia loro la priorità.
Domande frequenti
Articoli correlati
Inizia
Desidera un quadro più chiaro della Sua posizione rispetto alla NIS2?
Ci indichi i Suoi settori, i paesi e i sistemi alla base dei Suoi servizi principali. Le proporremo una revisione con perimetro definito a supporto della Sua valutazione di preparazione.
Richieda un perimetro scritto