NIS2 e la Legge sulla Cybersicurezza: la Sua azienda rientra nell'ambito di applicazione?
Dal 15 agosto 2026 nei Paesi Bassi è in vigore la Cyberbeveiligingswet (Legge sulla sicurezza informatica). Probabilmente Lei ha già sentito il termine NIS2 da un cliente, un fornitore o un consulente. In questo articolo troverà una breve spiegazione di cosa sia questa legge, chi vi rientra e cosa significhi per una piccola impresa che non vi rientra direttamente.
Questo articolo fornisce una spiegazione generale e non costituisce consulenza legale. Le regole attuali sono disponibili presso l'NCSC e nel testo di legge.
Di cosa si tratta?
NIS2 è una direttiva europea del 2022 (Direttiva (UE) 2022/2555) volta a rendere le organizzazioni dei settori principali più resilienti dal punto di vista digitale. Ogni paese recepisce la direttiva con una propria legge. Nei Paesi Bassi si tratta della Cyberbeveiligingswet (Cbw). La legge è in vigore dal 15 agosto 2026, senza periodo transitorio, e sostituisce la precedente Wet beveiliging netwerk- en informatiesystemen (Wbni). Secondo l'NCSC vi rientrano oltre 8.000 organizzazioni. L'NCSC è il punto di riferimento.
La mia azienda vi rientra?
Ciò dipende da due fattori: il Suo settore e le dimensioni della Sua azienda.
1. Opera in un settore previsto dalla legge?
| Allegato 1 | Allegato 2 |
|---|---|
| Energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi ICT, pubblica amministrazione, settore spaziale | Servizi postali e di corriere, gestione dei rifiuti, sostanze chimiche, prodotti alimentari, settore manifatturiero, fornitori digitali, ricerca |
Per alcuni settori valgono condizioni aggiuntive. Non ogni azienda che opera nel settore alimentare vi rientra quindi automaticamente.
2. La Sua azienda è abbastanza grande? In breve, vi rientrano le organizzazioni di medie e grandi dimensioni. Lei rientra se:
- ha 50 o più dipendenti (FTE), oppure
- ha meno di 50 dipendenti, ma il Suo fatturato annuo e il totale di bilancio superano entrambi i 10 milioni di euro.
Le imprese partner e le imprese collegate vengono conteggiate. Un'azienda con 20 dipendenti che fa parte di un gruppo di 200 può quindi comunque rientrare nella legge.
Eccezioni, indipendentemente dalle dimensioni. Alcuni tipi di organizzazioni vi rientrano sempre, per quanto piccole. Ad esempio i fornitori di servizi DNS, i registri dei domini di primo livello, i fornitori di reti e servizi pubblici di comunicazione elettronica, i prestatori di servizi fiduciari e le organizzazioni della pubblica amministrazione. Se è stato designato ai sensi della Wet weerbaarheid kritieke entiteiten (Legge sulla resilienza delle entità critiche), rientra anche nella Cyberbeveiligingswet.
Verifichi Lei stesso con l'autovalutazione
La Rijksinspectie Digitale Infrastructuur (RDI) mette a disposizione gratuitamente una autovalutazione NIS2. Lei risponde a domande sul Suo settore, le dimensioni e i servizi, e riceve un esito. Da questo risulterà anche se la Sua azienda è un'entità essenziale o importante. La differenza riguarda soprattutto la vigilanza: per le entità essenziali l'autorità di vigilanza può effettuare controlli anche di propria iniziativa, mentre per le entità importanti i controlli avvengono principalmente a posteriori. La Sua azienda fa parte di un gruppo o opera in più paesi? In tal caso può essere utile la guida sui modelli aziendali complessi dell'NCSC.
Cosa deve fare se rientra nella legge?
- Registrazione. Registra la Sua organizzazione tramite MijnNCSC.
- Obbligo di diligenza. Esegue un'analisi dei rischi e adotta misure adeguate e proporzionate. L'NCSC indica almeno dieci ambiti, tra cui la gestione degli incidenti, i backup e il ripristino, la sicurezza della catena di fornitura, la formazione, gli aggiornamenti, la gestione degli accessi, l'autenticazione a più fattori o le passkey, la crittografia e la verifica dell'efficacia delle misure adottate. Il consiglio di amministrazione approva le misure e ne supervisiona l'attuazione.
- Obbligo di segnalazione. Un incidente significativo viene segnalato tramite MijnNCSC: entro 24 ore un primo avviso, entro 72 ore una segnalazione con una prima valutazione della gravità e dell'impatto, ed entro un mese una relazione finale.
Questa segnalazione è indipendente dall'obbligo di notifica delle violazioni di dati previsto dal GDPR. Quest'ultimo vale per chiunque tratti dati personali, anche per un libero professionista, e va segnalato all'Autoriteit Persoonsgegevens (Autorità garante per la protezione dei dati personali). Un attacco in cui sono stati sottratti anche dati dei clienti potrebbe quindi dover essere segnalato a entrambe le autorità.
Non vi rientra? La catena di fornitura può comunque riguardarLa
La maggior parte delle piccole imprese non rientra nella legge. In tal caso non ha obblighi di registrazione, nessun obbligo di segnalazione all'NCSC e nessuna vigilanza diretta. Tuttavia, le organizzazioni che vi rientrano devono anche tenere conto dei rischi presso i loro fornitori e prestatori di servizi diretti. Secondo l'NCSC, la legge non impone obblighi diretti ai fornitori, ma i clienti possono comunque porre requisiti sulla loro sicurezza digitale. Questi vengono poi inseriti in un contratto o in un questionario.
Fornisce servizi a un'organizzazione più grande, ad esempio come sviluppatore web, amministratore IT o studio di consulenza amministrativa? Potrebbe ricevere domande come: utilizzate l'autenticazione a due fattori, chi ha accesso ai nostri dati, dove vengono conservati i backup e quanto velocemente segnalate un incidente?
- I requisiti devono essere proporzionati al rischio del Suo servizio. Un fornitore con accesso ai sistemi riceverà requisiti più severi rispetto al fornaio che consegna il pranzo.
- Si tratta di fornitori diretti. I fornitori dei Suoi fornitori non rientrano in questo ambito.
- La legge non prescrive un certificato. Può essere utile nella discussione, ma non costituisce una garanzia.
- Inizi per tempo: faccia un inventario delle misure già adottate e metta per iscritto gli accordi con il Suo cliente.