NIS2 · D.Lgs. 138/2024
Verifica applicabilità NIS2: soggetto essenziale o importante
Uno screening per capire se l’organizzazione va trattata come soggetto essenziale, soggetto importante, fornitore della catena ICT o fuori dal perimetro diretto. Serve a preparare registri, fornitori e evidenze, non a sostituire l’analisi dell’ACN.
Strumento indicativo per preparare il lavoro di compliance. Non è una valutazione legale, una notifica alle autorità né una certificazione.
Come si legge il perimetro NIS2
La direttiva NIS2, recepita in Italia dal D.Lgs. 138/2024, distingue i soggetti in base al settore e alla dimensione. I settori dell’Allegato I (energia, trasporti, sanità, acqua, infrastrutture digitali, banche e mercati finanziari, pubblica amministrazione) e dell’Allegato II (servizi postali, rifiuti, chimica, alimentare, manifattura, fornitori digitali e ricerca) non producono lo stesso esito.
In linea generale un’impresa media o grande di un settore dell’Allegato I è trattata come soggetto essenziale se è grande, e come soggetto importante se è media. Nell’Allegato II la stessa soglia porta di solito al soggetto importante. Micro e piccole imprese restano fuori, salvo eccezioni: DNS, registri TLD, prestatori di servizi fiduciari qualificati e alcune amministrazioni pubbliche.
Un fornitore ICT che non è nel perimetro diretto può comunque ricevere richieste di sicurezza, notifica e evidenze dai clienti soggetti a NIS2. Lo strumento segnala questo impatto indiretto sulla supply chain.
Cosa preparano CISO, IT e compliance
Se il risultato è essenziale o importante, il lavoro operativo riguarda le misure dell’articolo 21: analisi del rischio, gestione degli incidenti, continuità, supply chain, sicurezza nello sviluppo, igiene informatica, crittografia, controllo degli accessi e formazione. Servono owner, scadenze e prove, non solo una policy.
La categorizzazione ACN e l’elenco dei servizi vanno tenuti accanto ai controlli. Un esito “fuori perimetro” non chiude il tema se l’azienda tratta dati personali, sistemi di IA o fornitori critici per clienti regolamentati.
Dal risultato a un piano audit-ready
Usa l’esito per decidere quali evidenze chiedere subito: inventario dei servizi, elenco fornitori, registro incidenti, backup e prove di ripristino, nomine e verbali. Poi collega lo stesso materiale a GDPR, DORA o ISO/IEC 27001 se quei regimi sono già aperti.
FAQ
Questo calcolo dice se sono un soggetto essenziale NIS2?
No. È uno screening su settore, dimensione ed eccezioni note. La qualificazione formale dipende dal D.Lgs. 138/2024, dagli elenchi e dalle indicazioni dell’ACN.
Quali soglie usa lo strumento?
Piccola: sotto 50 addetti e fino a 10 milioni. Media: da 50 a 249 addetti oppure da 10 a 50 milioni. Grande: da 250 addetti oppure oltre 50 milioni. Vale il criterio che fa scattare la fascia più alta.
Un fornitore fuori settore è ignorato?
No. Se lavori nella catena di fornitura ICT di un cliente essenziale o importante, lo strumento segnala un impatto indiretto: clausole, evidenze e tempi di notifica arrivano dal contratto, non solo dalla norma.
Cosa faccio dopo il risultato?
Fissa il perimetro dei servizi, assegna un owner alle misure dell’articolo 21 e raccogli le prove che un auditor o l’ACN può chiedere. AuditReady tiene controlli, fornitori e evidenze nello stesso registro.