La NIS2 si applica alla tua azienda? Stato, obblighi e scadenze
Rispondi a circa 20 brevi domande sulla tua attività, settore, dimensione e clienti. Scopri se sei probabilmente un soggetto essenziale o importante, cosa significa, quali scadenze si applicano e dove si trovano le tue lacune di sicurezza.
Verifica il mio stato
Non è consulenza legale
Questa è una valutazione preliminare e automatizzata basata sulle tue risposte. La NIS2 è una direttiva: ogni Stato membro la recepisce nella propria normativa nazionale, e quella normativa decide chi è coperto, come registrarsi e quali sono le scadenze. Usa il risultato per preparare un colloquio con un legale o con la tua autorità nazionale.
Questionario
Come funziona la verifica
Ambito di applicazione. La NIS2 riguarda le organizzazioni che forniscono servizi o svolgono attività nell'UE, appartengono a uno dei tipi di soggetto dell'Allegato I o II e sono almeno di medie dimensioni. Alcuni tipi sono coperti indipendentemente dalle dimensioni: prestatori di servizi fiduciari qualificati, registri di TLD, fornitori di DNS, fornitori di comunicazioni elettroniche pubbliche e organismi dell'amministrazione centrale.
Dimensione. Applichiamo le soglie della raccomandazione 2003/361/CE della Commissione: meno di 50 persone e fatturato o totale di bilancio fino a 10 milioni di euro è piccola impresa; meno di 250 persone e fatturato fino a 50 milioni di euro o totale di bilancio fino a 43 milioni di euro è media impresa; sopra questi valori è grande impresa. Fatturato e totale di bilancio sono collegati con «o», quindi un'azienda di 49 persone con 60 milioni di euro di fatturato e 50 milioni di euro di totale di bilancio è una grande impresa.
Categoria. Le grandi imprese nei settori dell'Allegato I sono soggetti essenziali; le medie imprese dell'Allegato I e le medie o grandi imprese dell'Allegato II sono soggetti importanti. I soggetti essenziali sono sottoposti a vigilanza prima e dopo gli incidenti, quelli importanti dopo l'evento. Gli obblighi sono gli stessi.
Le tue misure. Dodici verifiche seguono le dieci aree dell'art. 21, par. 2, la responsabilità della gestione (art. 20) e la notifica degli incidenti (art. 23). Sì = 2 punti, in parte = 1, no o non lo so = 0. I gruppi sono ponderati; se la governance ottiene zero punti, la fase non può superare «Iniziale».
Ogni regola, articolo e data si trova in un file di regole pubblicato (nis2-rules.v1.json). Il calcolo viene eseguito nel tuo browser; le tue risposte non vengono inviate da nessuna parte finché non richiedi il report.
Cosa non copre questo strumento
- Atti settoriali specifici che sostituiscono parti della NIS2 per alcuni soggetti, come il DORA per i soggetti finanziari.
- La direttiva CER sulla resilienza fisica dei soggetti critici, oltre a chiederti se sei stato individuato nel suo ambito.
- Estensioni nazionali: alcuni Stati membri coprono più soggetti o fissano scadenze più brevi rispetto alla direttiva.
- Aggregazione dei dati per gruppi, imprese associate e collegate: lo segnaliamo ma non lo calcoliamo.
Fonti
| Fonte | Cosa utilizziamo |
|---|---|
| Direttiva (UE) 2022/2555 (NIS2), EUR-Lex | Artt. 2, 3, 20, 21, 23, 26–28, 32–34; Allegati I e II |
| Raccomandazione 2003/361/CE della Commissione, EUR-Lex | Classi dimensionali: micro, piccola, media |
| Direttiva (UE) 2022/2557 (CER), EUR-Lex | Soggetti critici |
| Regolamento (UE) 2022/2554 (DORA), EUR-Lex | Lex specialis per il settore finanziario |
FAQ
La NIS2 si applica alla mia azienda?
È probabile che si applichi se fornisci servizi o svolgi attività nell'UE, la tua organizzazione corrisponde a uno dei tipi di soggetto dell'Allegato I o II della direttiva, e sei almeno di medie dimensioni (50 o più persone, oppure più di 10 milioni di euro sia di fatturato che di totale di bilancio). Alcuni tipi sono coperti indipendentemente dalle dimensioni. La verifica qui sopra ti guida attraverso questi test in circa cinque minuti.
Qual è la differenza tra soggetti essenziali e importanti?
Gli obblighi sono gli stessi: misure di gestione del rischio, responsabilità della gestione e notifica degli incidenti. La differenza è la vigilanza e le sanzioni. I soggetti essenziali sono sottoposti a vigilanza proattiva (ex ante ed ex post) e affrontano sanzioni massime di almeno 10 milioni di euro o il 2% del fatturato mondiale; i soggetti importanti sono sottoposti a vigilanza successiva (ex post) e affrontano sanzioni massime di almeno 7 milioni di euro o l'1,4%.
Quali sono le sanzioni NIS2?
La direttiva fissa massimi minimi: per i soggetti essenziali almeno 10 milioni di euro o il 2% del fatturato totale annuo a livello mondiale, se superiore; per i soggetti importanti almeno 7 milioni di euro o l'1,4%. Gli Stati membri fissano le sanzioni esatte nella normativa nazionale e possono fissare importi più elevati. Anche la dirigenza può essere ritenuta personalmente responsabile.
Cosa devo notificare e quando?
Per un incidente significativo: un preallarme entro 24 ore dal momento in cui ne si è venuti a conoscenza, una notifica dell'incidente entro 72 ore e una relazione finale non oltre un mese dopo la notifica. Le notifiche vanno al tuo CSIRT nazionale o all'autorità competente.
Sono un fornitore di software. La NIS2 mi riguarda se i miei clienti sono soggetti regolamentati?
Anche se tu stesso non rientri nell'ambito di applicazione, i tuoi clienti regolamentati devono gestire la sicurezza della catena di fornitura ai sensi dell'art. 21, par. 2, lett. d. Aspettati questionari di sicurezza, audit e clausole contrattuali. I fornitori di servizi gestiti, i fornitori di servizi di sicurezza gestiti e i fornitori cloud rientrano direttamente nell'ambito se sono almeno di medie dimensioni.
La legge NIS2 del mio paese si applica già?
Il termine di recepimento era il 17 ottobre 2024, ma gli Stati membri hanno adottato le proprie leggi in momenti diversi. Il risultato mostra l'autorità nazionale per i paesi che monitoriamo; mostriamo lo stato di recepimento solo dopo che una persona lo ha verificato rispetto alla fonte ufficiale, con la data di quella verifica.
Questa è consulenza legale?
No. È una valutazione preliminare e automatizzata basata sulle tue risposte e sulla versione delle regole mostrata nella pagina. La normativa nazionale decide; confermare il risultato con un legale o con la tua autorità nazionale.
YuSMP può aiutare con una valutazione delle lacune?
Sì. Mappiamo le tue misure attuali sull'art. 21, eseguiamo penetration test e audit di sicurezza, prepariamo evidenze per SOC 2 e ISO 27001 e costruiamo pratiche di sviluppo sicuro. Usa il modulo sotto il tuo risultato.
Servizi e settori
Penetration test e audit di sicurezza
Verifica se le tue misure funzionano, con un report che puoi mostrare a clienti e revisori.
Preparazione a SOC 2 e ISO 27001
Politiche, controlli ed evidenze che coprono anche la maggior parte dell'art. 21.
Cloud e DevOps
Logging, backup, ripristino e accesso a più fattori nel tuo cloud.
Consulenza sulla conformità GDPR
Gli incidenti relativi ai dati personali e gli incidenti NIS2 spesso si sovrappongono.
Conformità all'EU AI Act
Quando il tuo prodotto include funzionalità di IA.