Assessment di applicabilità NIS2

Il contesto e il problema

La prima domanda che ogni organizzazione deve porsi è la più insidiosa: rientro o no nell'ambito di applicazione della NIS2? Il Decreto NIS individua i soggetti obbligati sulla base di criteri oggettivi (art. 3): il settore di attività — elencato negli Allegati I e II del decreto (e, per le pubbliche amministrazioni, negli Allegati III e IV), che coprono tra l'altro energia, trasporti, banche, infrastrutture dei mercati finanziari, sanità, acqua potabile e reflue, infrastrutture digitali, gestione dei servizi TIC, pubblica amministrazione, spazio, servizi postali, gestione dei rifiuti, produzione e distribuzione di sostanze chimiche e alimentari, fabbricazione e ricerca — e le dimensioni dell'impresa.

In via generale la NIS2 si applica ai soggetti di medie e grandi dimensioni operanti nei settori individuati, con esclusione delle imprese con meno di 50 dipendenti e fatturato annuo o bilancio inferiore a determinate soglie. Tuttavia esistono eccezioni rilevanti: l'art. 3 include alcune categorie a prescindere dalla dimensione (fra cui fornitori di reti e servizi di comunicazione elettronica, prestatori di servizi fiduciari, registri dei nomi di dominio, pubbliche amministrazioni, soggetti individuati dall'ACN per la criticità del servizio) e il calcolo dimensionale tiene conto delle imprese collegate e associate. Va invece tenuto distinto il caso delle piccole imprese fornitrici di soggetti essenziali o importanti: non diventano soggetti NIS per questo, ma sono raggiunte dai requisiti di sicurezza che i clienti NIS devono imporre lungo la catena di approvvigionamento.

La classificazione come soggetto essenziale o importante non è un dettaglio formale: determina il livello di vigilanza (proattiva per gli essenziali, ex post per gli importanti) e il massimale sanzionatorio. Un errore di autovalutazione — sia per eccesso sia per difetto — espone l'organizzazione a rischi concreti: costi non necessari da un lato, inadempimento e sanzioni dall'altro.

Il servizio di IusPrivacy

IusPrivacy conduce un assessment di applicabilità strutturato, che fornisce una risposta motivata e documentata alla domanda sull'inclusione nell'ambito NIS2. L'analisi combina la lettura giuridica del Decreto NIS con la mappatura concreta dell'attività aziendale:

• Mappatura delle attività e dei codici ATECO/NACE per l'aggancio ai settori degli Allegati I e II.
• Verifica dimensionale (dipendenti, fatturato, bilancio) secondo i criteri della raccomandazione 2003/361/CE.
• Analisi della struttura di gruppo e delle imprese collegate, rilevante ai fini del calcolo dimensionale e dell'identificazione delle entità obbligate.
• Verifica dei casi speciali dell'art. 3 (soggetti inclusi a prescindere dalla dimensione, individuazione da parte dell'ACN, giurisdizione, sovrapposizione con DORA) e della posizione nella catena di fornitura, per distinguere la soggettività diretta dai requisiti che derivano dall'essere fornitore di un soggetto NIS.
• Valutazione interna di applicabilità — soggetto essenziale, importante o fuori ambito — con le relative conseguenze in termini di obblighi e vigilanza. La valutazione interna non sostituisce l'inserimento nell'elenco da parte dell'ACN: i due dati vanno tenuti distinti e registrati separatamente, con data e riferimento della comunicazione.

Cosa ottieni

• Un parere di applicabilità scritto e motivato, con l'indicazione della categoria di appartenenza, e un fascicolo dell'assessment — dati dimensionali, settoriali e societari usati, criteri e data della valutazione — per dimostrare in ogni momento su quali basi è stata presa la decisione.
• La mappatura settoriale e dimensionale dell'organizzazione (e del gruppo, ove rilevante).
• L'individuazione delle entità giuridiche del gruppo effettivamente soggette.
• Un primo quadro degli obblighi applicabili e delle scadenze pertinenti, come base per la roadmap di adeguamento.

FAQ