il nostro cliente vuole sapere se siamo soggetti a NIS2, cosa inserisco

Rientrare autonomamente nella NIS2 è una questione separata rispetto al dovere di conformarsi

Se la tua impresa rientra autonomamente nella NIS2 dipende da settore e dimensioni — non da ciò che chiede il cliente. NIS2 funziona con un elenco di settori (allegati I e II della direttiva) e soglie di dimensione: media o grande secondo la definizione UE. Se rientri tra questi, sei un'"entità essenziale" o "entità importante" e gli obblighi dell'articolo 21 si applicano direttamente a te, indipendentemente da quello che un cliente inserisce in un questionario. Se non rientri, puoi semplicemente compilare "no, non sono autonomamente obbligato dalla NIS2" — non è una risposta evasiva, è la risposta corretta se corrisponde ai fatti.

Dove spesso accade l'errore: un fornitore che rientra autonomamente al di fuori della portata, riceve comunque i requisiti dell'articolo 21 tramite il contratto, perché il suo cliente deve valutarli in relazione ai propri requisiti di sicurezza per i fornitori di cui è responsabile. Allora non è un obbligo NIS2 per te, ma una traslazione contrattuale di esso. Compila dunque la risposta alla domanda così come la pone: "rientrate nella NIS2" è un sì/no sulla tua situazione personale, non su se applichi misure di tipo NIS2. Questi due aspetti vengono spesso confusi, e compilare "sì" perché stai già operando secondo ISO 27001 o sei certificatoè effettivamente inesatto se autonomamente non rientri nella portata.

L'attuazione nazionale avviene tramite la Legge sulla cibersicurezza

La direttiva stessa (2022/2555) definisce i settori e la soglia di dimensione per le entità essenziali e importanti; l'attuazione nazionale — chi esattamente viene designato e con quali scadenze di vigilanza — avviene tramite la Legge sulla cibersicurezza, che entra in vigore il 15 agosto 2026. Fino a quella data non esiste una designazione nazionale su cui basare un "sì"; dopo sì, nella misura in cui la tua impresa figura nell'elenco definitivo. Finché la legge non entra in vigore, "non ancora applicabile" o "ancora da determinare" è la risposta effettivamente corretta, non "no" — questo suggerisce un'esclusione definitiva che non esiste ancora.