Contenuto informativo basato su fonti istituzionali. L’applicazione concreta richiede una valutazione del contesto, del rischio e della normativa vigente.
I criteri da esaminare insieme
Il D.Lgs. 138/2024 ha recepito la direttiva NIS2 nell’ordinamento italiano. La valutazione parte dai settori e sottosettori previsti, dalla tipologia di servizio e dalle soglie dimensionali, ma comprende anche fattispecie nelle quali la dimensione non è decisiva.
La verifica dovrebbe documentare fonti, dati societari, servizi effettivamente erogati e ruolo nella filiera. Un codice amministrativo non sempre descrive da solo l’attività reale.
- Settore e sottosettore
- Tipo di entità e servizio erogato
- Dimensione e relazioni societarie
- Territorialità e presenza nell’Unione
- Eventuali criteri o identificazioni specifiche
Soggetto essenziale o importante
Il quadro distingue soggetti essenziali e importanti. La classificazione incide sul regime di vigilanza, ma non elimina l’obbligo di adottare misure adeguate e proporzionate al rischio.
L’organizzazione deve conservare il ragionamento seguito e aggiornare la valutazione quando cambiano servizi, struttura, acquisizioni o indicazioni dell’autorità competente.
Anche la filiera conta
Clienti soggetti alla NIS2 possono chiedere ai fornitori garanzie, informazioni e clausole di sicurezza. Per questo un’impresa non direttamente soggetta può comunque dover dimostrare controlli e capacità di risposta.
Il risultato utile è una nota di applicabilità accompagnata da perimetro, referenti, dati utilizzati e punti da confermare con competenze legali o istituzionali.
Domande frequenti
Il codice ATECO decide da solo l’applicabilità?+
No. È un elemento informativo, ma occorre verificare attività e servizi effettivi, settore, dimensione e condizioni previste dalla normativa.
Tutte le medie imprese sono soggette?+
No. La dimensione va valutata insieme al settore, al tipo di entità e alle eventuali fattispecie specifiche.
La valutazione va aggiornata?+
Sì, quando cambiano organizzazione, servizi, gruppo societario o indicazioni dell’autorità competente.