La NIS2 si applica alle micro imprese (meno di 10 dipendenti)?
Di norma no, ma ci sono eccezioni. Le micro imprese sono escluse per default dal criterio dimensionale (art. 3 c.1). Restano in scope a prescindere dalla dimensione: registrar/registry di TLD, fornitori DNS, IXP, fornitori di servizi fiduciari qualificati eIDAS, fornitori di reti/servizi di comunicazione elettronica pubblicamente disponibili, alcune PA. Verifica anche se sei fornitore critico ICT di un ente NIS2 (l'effetto domino contrattuale è reale).
Mio cliente NIS2 mi chiede di certificarmi ISO 27001. E' obbligatorio per la supply chain?
L'ISO 27001 non è esplicitamente richiesta dal D.Lgs. 138/2024, ma è una scelta diffusa per dimostrare l'adeguatezza delle misure dell'art. 24. Ti puoi conformare anche con altre evidenze (qualifica ACN per cloud, SOC 2 Type II, audit indipendenti, gap analysis documentata). La leva contrattuale è del cliente: se in gara è specificata ISO 27001 e tu non l'hai, perdi la gara. Per i fornitori critici è di fatto un investimento di posizionamento competitivo.
Quali sono le sanzioni reali della NIS2 in Italia?
Per i soggetti essenziali: amministrative pecuniarie fino a 10 milioni di euro o 2% del fatturato globale dell'esercizio precedente, il maggiore dei due (art. 38 c.1 D.Lgs. 138/2024). Per i soggetti importanti: fino a 7 milioni o 1,4% del fatturato globale (art. 38 c.2). Si aggiungono responsabilità del management (sospensione temporanea dirigenti per soggetti essenziali, art. 38 c.5) e segnalazioni a CONSOB/Banca d'Italia per società quotate o regolate.
Devo registrarmi sulla piattaforma ACN anche se ritengo di non essere in scope?
No, la registrazione è solo per i soggetti che si autoclassificano in scope. Tuttavia se l'ACN ti contatta per chiarimenti (es. perché segnalato da un cliente come fornitore critico, o perché il tuo settore è ambiguo), è interesse tuo rispondere documentando l'autovalutazione. Conserva quindi la traccia del ragionamento di esclusione (questo wizard può servire come traccia preliminare, integrata da analisi puntuale).
La NIS2 sostituisce il GDPR?
No, sono complementari. GDPR copre il trattamento dati personali (qualunque ente che tratti dati personali UE), NIS2 copre la cybersicurezza dei sistemi e servizi (settori specifici). Si toccano sui breach di dati personali, dove vale la doppia notifica: al Garante Privacy ex GDPR e all'ACN ex NIS2 se l'ente è in scope NIS2 e l'incidente è significativo cyber. I template di notifica e i tempi sono diversi.
Sono uno studio professionale (commercialista, avvocato): rientro in NIS2?
Generalmente no: gli studi professionali non sono in elenco fra i settori NIS2 (Allegato I né II). Restano in scope GDPR per il trattamento dati clienti. Eccezione: se gestisci infrastrutture IT critiche per clienti NIS2 (es. cloud privato, gestione tramite terze parti), potresti ricadere come fornitore critico ICT, ma solo se l'attività di MSP è strutturata e principale.
Sono manifattura piccola (40 dipendenti, 8M EUR fatturato): sono in scope?
No, sei sotto soglia su entrambi i criteri (dipendenti < 50 E fatturato < 10M). La NIS2 applica la doppia esclusione PMI: per essere in scope serve superare uno dei due. Restano due caveat: (1) se sei fornitore critico ICT per un ente NIS2 più grande, subirai obblighi contrattuali; (2) se cresci sopra soglia (50 dipendenti o 10M EUR), il giorno dell'esercizio successivo sei in scope. Imposta un alert sui KPI dimensionali.
Quanto tempo ci vuole per adeguarsi alla NIS2 da zero?
Stima realistica per una PMI medio-grande senza maturità cyber pregressa: 9-18 mesi di lavoro distribuito. Quick wins nei primi 30 giorni (registrazione ACN, designazione referente, MFA su admin). Misure di base nei 3 mesi (risk assessment, politica di sicurezza, BC/DR). Misure avanzate nei 6-12 mesi (supply chain, vulnerability management, training strutturato). Operatività regime nei 12-18 mesi (audit, miglioramento continuo, certificazioni).
Quali certificazioni o qualificazioni dimostrano la conformità NIS2?
Non esiste una certificazione NIS2 ufficiale. Le evidenze tipiche: ISO 27001 (sistema di gestione sicurezza informazioni), ISO 22301 (continuità operativa), SOC 2 Type II (controlli di servizio), qualifica ACN per servizi cloud (per fornitori PA), Cybersecurity Maturity Assessment di ENISA. Per i soggetti essenziali è in arrivo (decreti attuativi) un'eventuale schema di certificazione cyber europeo (EUCC, EUCS) che potrà essere richiesto su determinate categorie di prodotto/servizio.
Posso fare l'autovalutazione da solo o devo per forza coinvolgere un consulente?
Per i casi semplici puoi farla da solo, soprattutto se le risposte ai primi tre criteri (settore, dipendenti, fatturato) sono chiaramente fuori scope. Per i casi borderline (subfornitura critica, settore ambiguo, transizione dimensionale, cross-border) il rischio di errore di scoping è significativo: la sanzione di non aver registrato un soggetto in scope è amministrativa, ma l'esposizione reputazionale è alta. In quei casi un parere qualificato di consulente cyber con esperienza NIS2 italiano vale 1-2 giorni di lavoro.