La NIS2 riguarda la tua organizzazione?

Chi offre ad altri uno di questi servizi rientra nella NIS2 qualunque sia la sua dimensione. Conta offrirli, non usarli.

Nel decreto, i primi quattro gruppi sono nell’allegato III, l’ultimo nell’allegato IV.

Per un’impresa media o grande basta che almeno un’attività rientri in uno di questi settori, anche se è secondaria. Fanno eccezione acqua potabile, acque reflue e rifiuti, dove un’attività marginale non basta. Il codice ATECO aiuta, ma conta quello che l’organizzazione fa davvero.

Nel decreto, questi settori sono negli allegati I e II.

Le persone. Si contano in ULA, unità lavorative annue: una persona a tempo pieno per tutto l’anno vale 1, una persona al 50% vale 0,5. Per questo il numero può essere diverso da quello dei dipendenti in organico.

Le soglie. Siete una media o grande impresa se avete almeno 50 ULA, oppure se superate 10 milioni di euro sia di fatturato sia di totale di bilancio. Con meno di 50 ULA, superare 10 milioni solo nel fatturato o solo nel bilancio non basta.

Quali dati usare. Quelli degli ultimi bilanci approvati, sommando, se fate parte di un gruppo, quelli delle società collegate o associate. Superare una soglia per un solo anno, di norma, non cambia la categoria, e per le società appena nate valgono regole particolari: il vostro commercialista può confermare il dato.

Per le dimensioni. Ai vostri dati vanno sommati quelli delle società collegate (per esempio una società che vi controlla o che controllate) e, in proporzione alla quota, quelli delle società associate, di norma con partecipazioni dal 25%. Lo prevede la raccomandazione europea 2003/361/CE. Il decreto consente di non sommarli se la vostra organizzazione è indipendente dalle altre del gruppo per sistemi informatici e attività.

Anche se siete piccoli. Una società del gruppo rientra nella NIS2 qualunque sia la sua dimensione se, per un’altra società del gruppo soggetta alla NIS2, prende o influenza in modo decisivo le decisioni sulla sicurezza informatica, gestisce sistemi necessari ai suoi servizi, svolge attività di sicurezza informatica o le fornisce servizi informatici o di sicurezza (art. 3, comma 10). Avere un cliente soggetto alla NIS2 non crea un legame di gruppo.

CER, soggetto critico. È un’organizzazione identificata con un provvedimento formale delle autorità, secondo la normativa europea sulla resilienza dei soggetti critici (direttiva UE 2022/2557). Chi ha ricevuto questo provvedimento rientra nella NIS2.

OSE, operatore di servizi essenziali. Era la qualifica prevista dalla normativa precedente (D.Lgs. 65/2018). Chi l’aveva può essere individuato direttamente dall’ACN.

In entrambi i casi conta un provvedimento ricevuto: non basta ritenere importante il proprio servizio.

Oltre ai casi visti finora, l’ACN può inserire un’organizzazione nella NIS2 con una comunicazione diretta alla sua PEC, per esempio se:

• era operatore di servizi essenziali;
• è l’unico fornitore in Italia di un servizio essenziale;
• un suo blocco avrebbe effetti importanti su sicurezza o salute pubblica, o provocherebbe problemi a catena, anche in altri Paesi;
• è particolarmente importante a livello nazionale o regionale, o per le forniture di altri soggetti.

Lo prevede l’art. 3, comma 9. Essere fornitore di un soggetto NIS2, da solo, non basta.

Regola generale. La legge italiana vale per le organizzazioni stabilite in Italia. Contano le sedi della vostra società, non quelle delle altre società del gruppo.

Telecomunicazioni. Chi vende al pubblico in Italia linee o servizi di comunicazione rientra nella legge italiana, ovunque abbia sede.

Servizi digitali. Per DNS, domini, cloud, data center, reti per la distribuzione dei contenuti, servizi informatici e di sicurezza gestiti, marketplace, motori di ricerca e social network vale la legge italiana in tre casi:

• l’organizzazione ha sede solo in Italia (le sedi fuori dall’Unione europea non contano);
• ha sedi in più Paesi dell’Unione, ma lo stabilimento principale è in Italia, cioè la sede dove si prendono soprattutto le decisioni sulla sicurezza informatica;
• non ha sedi nell’Unione, offre i servizi in Italia e ha nominato qui il proprio rappresentante.

Fuori da questi casi, un’organizzazione che non è stabilita in Italia non deve registrarsi all’ACN: deve verificare le regole del Paese in cui ha sede.

Regole speciali. Per banche e mercati finanziari valgono anche le regole europee DORA sulla resilienza digitale del settore finanziario.

Esclusioni. Alcuni enti e attività di sicurezza nazionale, pubblica sicurezza, difesa e contrasto dei reati sono esclusi, alle condizioni dell’art. 4. Lavorare per una banca, una pubblica amministrazione o le forze armate non rende esenti.

Solo domini. Chi offre soltanto registrazione di domini ha obblighi specifici (artt. 29 e 32), diversi da quelli degli altri soggetti, anche per la formazione.

Quando. Ogni anno dal 1° gennaio al 28 febbraio, sulla piattaforma Servizi NIS dell’ACN.

Chi la fa. Il rappresentante legale, un suo procuratore generale oppure un dipendente delegato, che diventa il punto di contatto con l’Agenzia. Ogni società si registra per conto proprio: non esiste una registrazione unica per il gruppo.

Cosa serve. Codici ATECO, numero di dipendenti, fatturato, totale di bilancio e, per chi fa parte di un gruppo, i dati della capogruppo e delle società collegate.

Dopo. Entro il 31 marzo l’ACN prepara l’elenco dei soggetti essenziali e importanti e ad aprile comunica alla PEC di ogni organizzazione registrata se è inserita. Gli obblighi NIS2, però, valgono per chi rientra nel decreto anche senza registrazione.

Nel dubbio. Se avete dimensioni da media o grande impresa e un dubbio anche su una sola attività, l’ACN indica che è comunque opportuno registrarsi. Le società pubbliche o partecipate che svolgono solo attività dell’allegato IV si registrano dopo aver ricevuto la comunicazione di individuazione.