NIS2 e PMI: dentro, fuori o fornitori di chi è dentro

«La NIS2 riguarda anche noi?» Se lo chiedono molte piccole e medie imprese italiane, spesso dopo la lettera di un cliente che chiede di firmare clausole di sicurezza o di compilare un questionario. La risposta dipende da tre cose: cosa fate, quanto siete grandi (contando il gruppo) e per chi lavorate.

Questa guida è pensata per chi non ha un ufficio legale né un responsabile della sicurezza: in pochi passi capite se siete dentro, fuori o «fornitori di chi è dentro», e cosa fare in ciascun caso.

Tre situazioni possibili

Le piccole imprese: di regola fuori

Per le attività degli allegati I e II la NIS2 si applica solo a chi supera i limiti della piccola impresa (art. 3, c. 2). È piccola l'impresa con meno di 50 dipendenti e con un fatturato oppure un totale di bilancio fino a 10 milioni di euro. Quindi un'officina meccanica con 35 dipendenti e 12 milioni di fatturato, ma 7 milioni di bilancio, è ancora piccola e resta fuori.

Ci sono però quattro modi in cui anche una piccola impresa entra:

1. Fa un'attività che è sempre dentro: telecomunicazioni al pubblico, servizi fiduciari (come PEC e firma digitale), servizi DNS, registrazione di domini (art. 3, c. 5).
2. Fa parte di un gruppo che, sommando i numeri delle imprese collegate e la quota delle associate, supera le soglie (art. 3, c. 4).
3. Gestisce l'informatica o la sicurezza di una società del suo gruppo che è soggetto NIS in Italia (art. 3, c. 10).
4. Viene individuata dall'ACN con una PEC, per esempio perché è l'unico fornitore nazionale di un servizio essenziale o un anello critico della catena di fornitura di altri soggetti NIS (art. 3, c. 9).

Se nessuno di questi casi vi riguarda e non avete ricevuto una PEC dall'ACN, oggi siete fuori. I dettagli su soglie e gruppi sono in a chi si applica la NIS2.

Le medie imprese: spesso dentro

È media l'impresa che non è piccola e ha meno di 250 dipendenti, con un fatturato fino a 50 milioni oppure un totale di bilancio fino a 43 milioni. In pratica: da 50 dipendenti in su, oppure sotto i 50 ma con fatturato e bilancio entrambi oltre 10 milioni.

Una media impresa che svolge un'attività degli allegati I o II è un soggetto importante (art. 6, c. 3). Molte PMI italiane ci rientrano, perché gli allegati comprendono settori che non si associano subito alla sicurezza informatica:

• la meccanica strumentale (fabbricazione di macchinari, codice NACE C28), come i costruttori di macchine per l'imballaggio o di macchine utensili;
• l'elettronica e le apparecchiature elettriche (C26 e C27), gli autoveicoli e gli altri mezzi di trasporto (C29 e C30), i dispositivi medici;
• l'alimentare industriale e la distribuzione all'ingrosso;
• la chimica, che per l'ACN comprende anche i produttori di articoli secondo il regolamento REACH: una lettura molto ampia e discussa;
• corrieri, gestione dei rifiuti, strutture sanitarie private;
• le aziende informatiche che gestiscono sistemi dei clienti come servizio continuativo, e chi offre servizi cloud.

Ricordate che conta anche un'attività svolta in piccola parte, e che conta ciò che fate davvero, non il codice ATECO (con l'eccezione delle voci definite da un codice NACE, come le fabbricazioni da C26 a C30).

Cosa significa essere «importanti»

Per una media impresa gli obblighi sono gli stessi dei soggetti essenziali, ma in versione più leggera:

• le misure di sicurezza di base sono 37 con 87 requisiti, contro le 43 con 116 degli essenziali;
• le misure devono essere proporzionate anche alle dimensioni dell'azienda (art. 24, c. 1);
• l'ACN può fare verifiche e ispezioni solo se ha elementi che fanno pensare a una violazione, e non può imporre audit periodici (artt. 36 e 37);
• le sanzioni hanno un massimo più basso: fino a 7 milioni di euro o all'1,4% del fatturato mondiale, se superiore. Il minimo previsto dalla legge resta però alto: lo spieghiamo in le sanzioni.

Registrazione, punto di contatto, referente CSIRT, notifica degli incidenti, formazione degli amministratori e categorizzazione valgono allo stesso modo per tutti.

Se lavorate per aziende che sono dentro

È il caso più frequente per le piccole imprese: siete fuori, ma un cliente importante è soggetto NIS2. Essere fornitori non basta per entrare (FAQ ACN AMB.GE.6). Il vostro cliente, però, deve gestire la sicurezza della sua catena di fornitura: valutare il rischio che portate, mettere requisiti di sicurezza nel contratto e controllare periodicamente che li rispettiate. Può anche indicarvi all'ACN come «fornitore rilevante».

In pratica vi arriveranno clausole contrattuali, questionari e richieste di documenti. Conviene prepararsi in modo proporzionato, con poche cose fatte bene:

• autenticazione a più fattori sugli accessi ai sistemi del cliente e sulla posta;
• backup regolari con una copia non raggiungibile dalla rete;
• aggiornamenti di sicurezza fatti con regolarità;
• l'elenco di chi, da voi, ha accesso a sistemi e dati del cliente;
• un contatto e una procedura per avvisare subito il cliente se succede qualcosa che lo riguarda;
• poche regole di sicurezza scritte, che il personale conosce.

Se siete un'azienda informatica, il discorso è più ampio: lo trovate in NIS2 e fornitori.

Cinque idee sbagliate

• «Serve una certificazione». No: la NIS2 non prevede un certificato. Servono le misure e le prove di averle adottate.
• «Siamo piccoli, non ci controlleranno». Per gli importanti le ispezioni scattano solo con elementi che fanno pensare a una violazione, ma dopo un incidente significativo l'ACN può imporre un audit mirato (art. 37, c. 3). E chi non si registra si vede contestare tutte le violazioni, con la sanzione più grave aumentata fino al triplo (art. 38, c. 13).
• «Ci pensa il fornitore IT». Il fornitore fa buona parte del lavoro tecnico, ma la legge rende responsabili gli amministratori dell'azienda (art. 23).
• «Abbiamo già il GDPR». Aiuta, ma è un'altra legge, con un altro scopo: protegge i dati personali, non la continuità dei servizi.
• «Aspettiamo la revisione europea». La proposta di modifica della direttiva non è legge e, anche se passasse così com'è, per una media impresa non cambierebbe lo status di soggetto importante.

Da dove partire

1. Calcolate la dimensione con i dati dell'ultimo esercizio chiuso, gruppo compreso.
2. Elencate le attività che svolgete davvero e confrontatele con gli allegati.
3. Se siete dentro, preparate la registrazione e guardate le scadenze che vi riguardano.
4. Se siete fornitori, chiedete ai clienti NIS2 quali requisiti metteranno nei contratti e preparate le prove.

Pilot è pensato per le PMI: vi fa le domande giuste per capire se siete dentro e, se lo siete, vi accompagna in otto tappe fino allo scadenzario dei documenti. Iniziate gratis.

Domande frequenti