La tua azienda
è soggetta alla NIS2?
Rispondi a quattro domande su settore, dimensione e attività: ti diciamo se la NIS2 si applica alla tua azienda e come quale tipo di soggetto.
Domande frequenti sulla NIS2.
Cos'è la direttiva NIS2?
La NIS2 è la Direttiva UE 2022/2555 sulla sicurezza delle reti e dei sistemi informativi. In Italia è stata recepita con il D.Lgs. 138/2024, in vigore dal 16 ottobre 2024. Rispetto alla prima direttiva NIS riguarda molti più settori e aziende e introduce obblighi più stringenti per gli organi di amministrazione.
Quali aziende sono soggette alla NIS2?
Di norma le medie e grandi imprese che operano nei settori dell'Allegato I (alta criticità, come energia, trasporti, sanità, banche e infrastrutture digitali) e dell'Allegato II (altri settori critici, come manifattura, alimentare e gestione dei rifiuti). Alcune attività, come provider DNS, registri TLD, servizi fiduciari e comunicazioni elettroniche, rientrano a prescindere dalle dimensioni.
Che differenza c'è tra soggetto essenziale e importante?
I soggetti essenziali sono in genere le grandi imprese dei settori dell'Allegato I, più alcune categorie specifiche; i soggetti importanti sono le altre aziende nel perimetro. Gli obblighi sono simili, ma i soggetti essenziali hanno una vigilanza preventiva e sanzioni più alte, mentre gli importanti sono controllati soprattutto dopo un incidente o una segnalazione.
Cosa devo fare se la mia azienda rientra nella NIS2?
Devi registrarti sulla piattaforma dell'ACN (Agenzia per la Cybersicurezza Nazionale) e aggiornare i dati ogni anno tra il 1° gennaio e il 28 febbraio. Devi adottare misure di gestione del rischio, compresa la sicurezza della catena di fornitura e la formazione del personale, e notificare gli incidenti significativi al CSIRT Italia: pre-notifica entro 24 ore, notifica entro 72 ore e relazione finale entro un mese. Gli organi di amministrazione approvano le misure e ne rispondono.
Quali sono le sanzioni?
Per il D.Lgs. 138/2024 i soggetti essenziali rischiano sanzioni fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, se superiore. Per i soggetti importanti il tetto è di 7 milioni di euro o dell'1,4% del fatturato. Anche gli organi di amministrazione possono rispondere personalmente del mancato rispetto degli obblighi.
Il risultato del quiz è definitivo?
No. Il quiz dà una stima preliminare basata sulle tue risposte. La classificazione formale dipende dal codice ATECO, dalle attività che svolgi davvero e da eventuali designazioni dell'autorità, quindi va verificata con un esperto.
La mia azienda non rientra: devo fare comunque qualcosa?
Probabilmente sì. Le aziende soggette alla NIS2 devono gestire la sicurezza della propria catena di fornitura, quindi chiedono sempre più spesso ai fornitori requisiti di sicurezza, evidenze e certificazioni. Farsi trovare pronti è un vantaggio con questi clienti.
La ISO 27001 aiuta per la NIS2?
Sì. Un sistema di gestione della sicurezza delle informazioni certificato ISO 27001 copre già molte delle misure di gestione del rischio richieste dalla NIS2, come valutazione dei rischi, controllo degli accessi, gestione degli incidenti e sicurezza dei fornitori. Non sostituisce gli obblighi specifici, come la registrazione e le notifiche, ma è una base solida.
