Chi deve adeguarsi alla NIS2

Il criterio di base è semplice da enunciare e complicato da applicare: rientri nel perimetro NIS2 se operi in uno dei settori elencati dalla direttiva e superi determinate soglie dimensionali, indicativamente 50 dipendenti o 10 milioni di euro di fatturato o bilancio annuo. Ci sono però eccezioni in entrambe le direzioni, ed è lì che quasi tutti sbagliano la propria autovalutazione.

Alcuni soggetti rientrano a prescindere dalla dimensione: la pubblica amministrazione, i gestori di reti pubbliche di comunicazione elettronica, i registri dei nomi a dominio di primo livello (TLD) e i fornitori di servizi DNS. Altri, pur piccoli, possono essere inclusi se sono l'unico fornitore di un servizio critico in un territorio o in una filiera, o se un'interruzione della loro attività avrebbe un impatto significativo sulla sicurezza pubblica.

Il caso che vedo più spesso non è l'azienda che rientra nel perimetro senza saperlo. È l'azienda che non rientra, ma lavora come fornitore per chi ci rientra. Un produttore metalmeccanico con 30 dipendenti che fornisce componenti a un'utility energetica non è, di per sé, un soggetto NIS2. Ma l'utility, per rispettare i propri obblighi sulla sicurezza della supply chain, gli chiederà quasi certamente di dimostrare pratiche di sicurezza adeguate, spesso con clausole contrattuali specifiche.

Chi si ferma alla domanda «rientro nel perimetro sì o no» rischia di scoprire tardi che la risposta giusta era: «non rientro, ma il mio cliente principale sì, e tra sei mesi mi chiederà un audit».