Non sappiamo se siamo soggetti alla NIS2
Verificate l'applicabilità NIS2 sulle pagine ACN dedicate e registrate un esito motivato: non decidetelo per intuizione.
Il problema
La domanda sembra chiedere un sì o un no, ma una risposta data a intuito è fragile. La NIS2 riguarda l'organizzazione e i servizi che eroga: non basta guardare un prodotto, un reparto o ciò che fa un concorrente. Serve una verifica ordinata, basata sulle informazioni dell'azienda e sulle indicazioni ufficiali.
Come capire se ti riguarda
- Non avete una decisione scritta su applicabilità, registrazione o prossimi controlli?
- IT, direzione e consulenti stanno usando criteri diversi per rispondere alla stessa domanda?
- Non avete raccolto in un punto unico attività, servizi e rapporti con altre società del gruppo?
Se una di queste risposte è sì, non concludete né in un senso né nell'altro: fate una verifica tracciabile.
Come risolverlo
- Raccogliete i fatti dell'organizzazione. Descrivete identità giuridica, attività e servizi effettivamente erogati, sedi, società collegate e dipendenze rilevanti. Non è ancora una classificazione: è la base per poterla fare. Responsabile: direzione, con amministrazione e responsabili dei servizi. Evidenza: scheda organizzativa datata, fonti interne e responsabili che l'hanno confermata.
- Verificate sulle pagine ACN. Consultate le pagine ACN dedicate a *Normativa NIS* e *Categorizzazione*, insieme alla documentazione applicabile, e confrontatele con i fatti raccolti. Evitate scorciatoie fondate sul solo settore dichiarato o su racconti di terzi. Responsabile: direzione, con il supporto del referente interno e, se necessario, di un professionista competente. Evidenza: elenco delle fonti consultate, data della verifica e ragionamento seguito.
- Decidete e riesaminate. Formalizzate l'esito, le azioni conseguenti e quando ripetere il controllo: un cambiamento nei servizi o nell'organizzazione può rendere la vecchia risposta insufficiente. Responsabile: direzione. Evidenza: verbale o decisione approvata, piano di azione e data del riesame.
Come evitare che si ripeta
Tenete la domanda dentro i cambiamenti ordinari: nuovi servizi, acquisizioni, rapporti con fornitori e modifiche organizzative. Il punto non è produrre un faldone, ma sapere sempre su quali fatti è stata presa la decisione e quando va rivalutata.
Quando chiedere aiuto e a chi
Chiedete supporto a un professionista con competenze normative e organizzative quando i fatti non sono chiari o la lettura delle indicazioni ACN lascia più interpretazioni possibili. La decisione resta della direzione: chi la prende deve poter mostrare il percorso seguito.
Dal libro
«La sicurezza non è roba dell'IT. È organizzazione.» — *NIS2. La carta che guida*, capitolo 1.
Fonti ufficiali
Schede collegate
Abbiamo un incidente: cosa fare e cosa notificare
Attivate ruoli, contenete l'incidente, annotate le decisioni e valutate subito la notifica tramite il Portale ACN.
Non sappiamo da dove cominciare: i primi 90 giorni
Nei primi 90 giorni date mandato, capite i servizi, scegliete poche priorità e provatele: senza rincorrere ogni cosa insieme.
Non sappiamo quanto ci costa un fermo
Misurate l'impatto di un'interruzione partendo dal servizio: clienti, ricavi, obblighi, reputazione, tempo tollerabile e dati persi.