Sei soggetto alla NIS2?
Tre domande per capire se rientri tra i soggetti essenziali, importanti o supply-chain del D.Lgs. 138/2024.
Approfondimento
Perimetro NIS2: scopri se sei un soggetto essenziale o importante
La Direttiva (UE) 2022/2555, nota come NIS2, ha ampliato in modo significativo il perimetro dei soggetti tenuti a rispettare obblighi di cybersicurezza. Recepita in Italia con il D.lgs. 138/2024, si applica a organizzazioni di medie e grandi dimensioni che operano in settori “altamente critici” (energia, sanità, trasporti, banche, infrastrutture digitali) o “critici” (manifattura, alimentare, gestione rifiuti, servizi postali, ecc.), distinguendo tra soggetti essenziali e soggetti importanti.
Capire se rientri nel perimetro NIS2 è il primo passo: da questa qualificazione discendono obblighi di gestione del rischio (art. 21), l’obbligo di notifica degli incidenti significativi entro 24 e 72 ore e — per i soggetti essenziali — una vigilanza attiva da parte dell’autorità competente. Anche se non sei direttamente obbligato, potresti esserlo indirettamente come parte della catena di fornitura di un soggetto NIS2. Questo check ti dà un’indicazione immediata; ricevi l’esito in PDF via email.
Sei pronto a gestire un data breach? Quale certificazione ISO ti serve? Parla con un consulente NIS2
Domande frequenti sulla NIS2
Che cos’è la NIS2?
La NIS2 (Direttiva UE 2022/2555) è la normativa europea sulla sicurezza delle reti e dei sistemi informativi. Sostituisce la precedente direttiva NIS, ampliando i settori e i soggetti coinvolti e rafforzando gli obblighi di gestione del rischio e di notifica degli incidenti.
Quali aziende rientrano nella NIS2?
In generale, le medie e grandi imprese (almeno 50 dipendenti o 10 milioni di euro di fatturato) che operano nei settori elencati negli Allegati I e II. Alcune categorie, come i fornitori di servizi digitali critici, rientrano a prescindere dalla dimensione.
Qual è la differenza tra soggetto essenziale e importante?
I soggetti essenziali (settori altamente critici) sono sottoposti a vigilanza attiva e preventiva; i soggetti importanti (altri settori critici) a vigilanza ex-post, attivata cioè in caso di indizi di non conformità. Gli obblighi sostanziali di sicurezza sono in gran parte comuni.
Quali obblighi impone la NIS2?
Misure tecniche e organizzative per la gestione del rischio (art. 21), notifica degli incidenti significativi entro 24 ore (pre-allerta) e 72 ore (notifica), formazione degli organi di gestione, che sono direttamente responsabili, e gestione della sicurezza nella catena di fornitura.
Cosa rischia chi non si adegua alla NIS2?
Per i soggetti essenziali le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale; per gli importanti fino a 7 milioni o all’1,4%. È inoltre prevista la responsabilità personale degli organi di gestione.