NIS2 è la direttiva europea che stabilisce requisiti di cybersicurezza per le organizzazioni in determinati settori. Se la direttiva si applica direttamente alla vostra azienda dipende da due fattori: il settore in cui operate e le dimensioni della vostra impresa. Se non rientrate in questa combinazione, probabilmente non siete il destinatario diretto della direttiva, ma questo non significa che NIS2 non vi riguarderà mai.
Molte aziende che ricadono al di fuori dell'ambito di applicazione ricevono comunque domande sulla cybersicurezza da un cliente che rientra effettivamente in NIS2. Quel cliente deve dimostrare che l'intera sua catena è sufficientemente protetta e invia quindi un questionario ai fornitori. In tal caso la direttiva non si applica a voi, ma si applica l'accordo contrattuale che il vostro cliente vi vincola.
Il settore e le dimensioni determinano l'obbligo diretto
La direttiva si rivolge a quelle che chiama entità "essenziali" e "importanti": organizzazioni in settori come l'energia, i trasporti, l'acqua potabile, l'infrastruttura digitale, il settore bancario e la sanità, integrati con una serie di altri settori elencati nella direttiva stessa. Inoltre si applicano criteri dimensionali, che possono variare a seconda del settore e della categoria. Una piccola azienda di installazione senza ruolo in uno di questi settori di norma ricade al di fuori dell'applicazione diretta di NIS2. L'elenco esatto dei settori e il modo in cui gli Stati membri l'hanno recepito nella legislazione nazionale si trovano nel testo ufficiale e presso l'autorità di vigilanza designata nel vostro paese; nei Paesi Bassi è l'Agenzia olandese per la cibersicurezza e la sicurezza informatica.
Anche al di fuori del settore: la domanda del vostro cliente
Un'azienda che rientra effettivamente in NIS2 deve, tra l'altro, valutare quanto siano sicure le organizzazioni con cui collabora. Questo si chiama rischio della catena o rischio dei fornitori, e la direttiva lo cita esplicitamente come punto di attenzione. In pratica questo si traduce in un questionario o in una clausola contrattuale presso il vostro cliente: avete un punto di contatto per gli incidenti, segnalate una violazione di dati entro un termine specifico, avete organizzato il controllo degli accessi. Spesso si tratta dello stesso tipo di misure dei dieci che la direttiva stessa menziona per le aziende che vi ricadono direttamente. Per ulteriori informazioni su cosa significano esattamente queste domande e come si relazionano agli obblighi esistenti come il RGPD, leggete la spiegazione per argomento nella knowledge base.
Come verificarlo per voi stessi
Se NIS2 vi si applica direttamente è una questione di fatto che potete rispondere meglio sulla base della classificazione ufficiale dei settori e dei criteri dimensionali come recepiti nel vostro paese. Se siete in dubbio, l'autorità di vigilanza competente o un avvocato sono la parte appropriata per fare quella valutazione; questo articolo non può sostituire quella valutazione. Quello che potete verificare rapidamente voi stessi è se ricevete segnali che indicano un coinvolgimento indiretto: un cliente che ha appena inviato un questionario sulla cybersicurezza, un contratto che fa riferimento agli obblighi di segnalazione, o un appalto in cui vengono richieste misure di sicurezza. Questi sono indicatori pratici, non un parere legale.
Se ricevete domande, indipendentemente dall'obbligo diretto
Che ricadiate direttamente sotto NIS2 o solo affrontiate le conseguenze attraverso un cliente, il questionario stesso non cambia molto: vi viene chiesto di descrivere quali misure avete adottato e di sostenerle con prove. Questo spesso si sovrappone a quello che avete già documentato per altri scopi, come il controllo degli accessi per il RGPD o le procedure di emergenza per la continuità operativa. È proprio questo sovrapporsi che fa sì che le aziende debbano fornire ripetutamente lo stesso tipo di documenti di supporto, in un formato sempre diverso. Le risposte alle domande frequenti su come funzionano esattamente questo tipo di questionari si trovano in le domande frequenti sugli questionari, e una spiegazione su da dove provengono le informazioni su questo sito si trova su la pagina su come funziona.
Non esiste un'autorità che stabilisca per voi se la NIS2 si applica alla vostra azienda; rimane una valutazione che spetta a voi stessi, al vostro consulente legale o all'autorità di vigilanza. Quello che potete fare rapidamente è verificare se i segnali che riconoscete corrispondono a un coinvolgimento diretto o indiretto. Se volete vederlo in modo chiaro affiancato, potete in poche domande ricevere un'indicazione di dove vi trovate, oppure esaminare tranquillamente i temi che potrebbero applicarsi alla vostra situazione.