Chi deve adeguarsi alla NIS2: soggetti essenziali e importanti

Risposta rapida

Devono valutare l'adeguamento NIS2 le organizzazioni che rientrano nei settori e nei criteri previsti dal quadro europeo e dal recepimento italiano. La distinzione principale e tra soggetti essenziali e soggetti importanti, ma l'effetto pratico riguarda anche fornitori e PMI che lavorano per clienti regolati.

Il modo corretto per partire e uno scoping documentato nel modulo GAPOFF NIS2, collegato alla guida completa.

Perché la domanda e più complessa di quanto sembri

“Chi deve adeguarsi?” sembra una domanda binaria, ma nella pratica richiede analisi. Un'azienda può essere direttamente soggetta, indirettamente coinvolta o fuori perimetro ma comunque esposta a richieste dei clienti.

I fattori da valutare sono:

• settore di attività;
• dimensione aziendale;
• servizi effettivamente erogati;
• ruolo nella catena di fornitura;
• clienti serviti;
• criticità dei sistemi gestiti;
• eventuali obblighi contrattuali.

Soggetti essenziali e importanti

La NIS2 utilizza una distinzione tra soggetti essenziali e soggetti importanti. La differenza incide su vigilanza, obblighi e livello di attenzione, ma per entrambi il tema centrale resta lo stesso: dimostrare gestione del rischio cyber.

Gli articoli settoriali del cluster devono aiutare a verticalizzare questa analisi: NIS2 e PMI, NIS2 per aziende IT e MSP, manifattura, sanita, logistica e SaaS provider.

Effetto supply chain

Molte aziende scopriranno la NIS2 non per una comunicazione diretta, ma perché un cliente chiedera:

• questionario di sicurezza;
• policy incident response;
• evidenze di backup;
• clausole su subfornitori;
• tempi di comunicazione incidenti;
• prove di continuità operativa;
• certificazioni o framework adottati.

Questo effetto e cruciale per PMI, consulenti, software house e MSP.

Metodo di scoping consigliato

Uno scoping serio dovrebbe produrre una scheda con:

| Area | Domanda | Output | |---|---|---| | Settore | L'attività rientra in allegati o categorie rilevanti? | motivazione | | Dimensione | L'impresa supera soglie rilevanti? | dato documentato | | Servizi | Quali servizi sono critici? | elenco servizi | | Clienti | Serve soggetti NIS? | evidenza commerciale | | Fornitori | Dipende da terzi critici? | registro vendor | | Esito | essenziale, importante, indiretto, fuori | classificazione |

Come GAPOFF aiuta

GAPOFF deve essere posizionato come strumento di scoping e tracciamento. Il valore e documentare perché l'azienda e stata classificata in un certo modo e collegare quella decisione a controlli, evidenze e aggiornamenti futuri.

FAQ

Una PMI deve sempre adeguarsi alla NIS2?

Non sempre direttamente. Può però essere coinvolta se opera in settori rilevanti o come fornitore di clienti soggetti NIS2.

Come si capisce se si e soggetti essenziali o importanti?

Serve valutare settore, dimensione, ruolo e criteri nazionali. La valutazione va documentata.

Un fornitore non soggetto può ricevere richieste NIS2?

Si. I clienti regolati possono chiedere evidenze di sicurezza alla propria supply chain.

Fonti e disclaimer

Fonti: ACN Portale NIS, Direttiva UE 2022/2555, D.Lgs. 138/2024, ENISA, GAPOFF NIS2. Contenuto informativo.

FAQ

Una PMI deve sempre adeguarsi alla NIS2?

Non sempre direttamente. Può però essere coinvolta se opera in settori rilevanti o come fornitore di clienti soggetti NIS2.

Come si capisce se si e soggetti essenziali o importanti?

Serve valutare settore, dimensione, ruolo e criteri nazionali. La valutazione va documentata.

Un fornitore non soggetto può ricevere richieste NIS2?

Si. I clienti regolati possono chiedere evidenze di sicurezza alla propria supply chain.