Chi è soggetto alla NIS 2: scopriamo le entità coinvolte

La direttiva NIS2 rappresenta una normativa fondamentale che introduce obblighi di sicurezza informatica per diverse categorie di organizzazioni in Europa. Il suo scopo è garantire che settori critici, sia pubblici che privati, adottino misure efficaci per proteggere le loro infrastrutture digitali e assicurare la resilienza dei servizi essenziali.

Ma quali sono le organizzazioni direttamente coinvolte?

1. Le organizzazioni obbligate dalla NIS 2
2. Soggetti essenziali (EE)
3. Soggetti importanti (IE)
4. Differenze tra entità essenziali e importanti
5. Applicazioni speciali della NIS 2
6. L’importanza di rispettare la NIS 2

Le organizzazioni obbligate dalla NIS 2

La NIS 2 si applica principalmente a due gruppi di entità: soggetti essenziali (EE) e soggetti importanti (IE). Entrambi i gruppi includono settori ritenuti vitali per il funzionamento socio-economico dell’Unione Europea, ma con criteri di applicazione leggermente diversi in termini di dimensione aziendale e impatto sul mercato.

Soggetti essenziali (EE)

I soggetti essenziali sono aziende o organizzazioni che operano in settori critici per la società e che, se colpite da un attacco informatico, potrebbero generare impatti estremamente negativi. La soglia dimensionale che determina se un’organizzazione rientra in questa categoria è:

1. organizzazion di almeno 250 dipendenti
2. organizzazione con un fatturato annuo superiore a 50 milioni di euro o un bilancio di 43 milioni di euro.

I settori coperti includono:

• Energia: fornitura e gestione di elettricità, gas, petrolio, idrogeno e infrastrutture di riscaldamento e raffreddamento.
• Trasporti: servizi di trasporto aereo, ferroviario, stradale e marittimo.
• Finanza: banche, istituzioni finanziarie e infrastrutture di mercato.
• Sanità: ospedali, centri di ricerca medica, laboratori e aziende che forniscono dispositivi medici.
• Acqua: fornitura di acqua potabile e gestione delle acque reflue.
• Infrastrutture digitali: fornitori di data center, servizi cloud e di gestione ICT.
• Spazio: operatori di infrastrutture spaziali terrestri e fornitori di servizi correlati.
• Pubblica amministrazione: entità governative centrali e regionali, escluse quelle coinvolte in settori di sicurezza nazionale e difesa.

Soggetti importanti (IE)

Oltre ai soggetti essenziali, la NIS 2 include anche una seconda categoria chiamata soggetti importanti.
Queste entità, pur avendo un impatto meno critico rispetto agli EE, devono comunque rispettare i requisiti di sicurezza informatica imposti dalla direttiva.
Le aziende di questa categoria devono possedere almeno una delle seguenti caratteristiche:

1. avere almeno 50 dipendenti
2. un fatturato annuo superiore a 10 milioni di euro.

Ecco i settori coperti:

• Servizi postali: compagnie di spedizione e servizi postali.
• Gestione dei rifiuti: imprese di raccolta, trattamento e riciclaggio dei rifiuti.
• Prodotti chimici: produzione e distribuzione di sostanze chimiche.
• Alimentare: produzione, trasformazione e distribuzione di prodotti alimentari.
• Manifatturiero: aziende che producono dispositivi medici, macchinari e componenti elettronici.
• Ricerca: organizzazioni di ricerca e sviluppo tecnologico.
• Servizi digitali: fornitori di motori di ricerca, piattaforme social e marketplace online.

NIS2, differenze tra entità essenziali e importanti

Le differenze tra soggetti essenziali e importanti riguardano principalmente l’impatto che un’eventuale violazione della sicurezza potrebbe avere sulla società.
Le entità essenziali, operando in settori di alto rischio, sono soggette a un monitoraggio più rigoroso e a requisiti normativi più stringenti rispetto alle entità importanti.

Ad esempio, le entità essenziali devono implementare misure di gestione del rischio più dettagliate e garantire una capacità di risposta agli incidenti più efficiente e tempestiva.

Applicazioni speciali della NIS 2

Non tutte le aziende di piccole dimensioni sono automaticamente escluse dalla NIS 2.

Anche se la tua organizzazione non soddisfa i criteri dimensionali standard (50 o 250 dipendenti), potrebbe essere comunque soggetta alla direttiva se è l’unico fornitore di un servizio essenziale o se l’interruzione del suo servizio potrebbe avere un impatto significativo sulla sicurezza pubblica o sulla salute.
Inoltre, tutte le amministrazioni pubbliche, escluse quelle coinvolte in attività di sicurezza nazionale o di contrasto, rientrano automaticamente nel campo di applicazione della NIS 2.

L’importanza di rispettare la NIS 2

Per le organizzazioni che rientrano nei settori essenziali o importanti, la conformità alla NIS 2 non è solo una questione normativa, ma un’opportunità per rafforzare le proprie difese informatiche. Adottare misure di sicurezza avanzate come la crittografia, il controllo degli accessi e la gestione delle vulnerabilità non solo protegge le operazioni quotidiane, ma aumenta la fiducia di clienti e partner commerciali.

La NIS 2 ridefinisce il panorama della sicurezza informatica in Europa, ampliando l’ambito di applicazione a una vasta gamma di settori critici. Le organizzazioni che operano in questi settori, sia come soggetti essenziali che importanti, sono tenute a rispettare norme di sicurezza informatica rigorose per proteggere i loro sistemi e garantire la resilienza dei servizi essenziali. Affrontare queste sfide significa investire nel futuro della sicurezza digitale e contribuire alla costruzione di un ecosistema europeo più sicuro e resiliente.