Con NIS2, "importante" non è un livello di sicurezza più leggero

Un esercizio di scoping NIS2 può concludersi con un momento di sollievo. Il team analizza il proprio settore secondo gli Allegati I e II, verifica il numero di dipendenti e il fatturato rispetto alle soglie dimensionali e conclude di essere un'entità "importante" piuttosto che "essenziale". La notizia viene diffusa come una buona notizia: siamo nel livello più leggero, quindi il programma di sicurezza può essere adattato di conseguenza. La lista dei controlli viene ridotta, il processo di gestione degli incidenti viene accantonato come fase successiva e il consiglio di amministrazione viene informato che NIS2 avrà un impatto limitato.

Questa interpretazione della parola "importante" è un errore. I livelli essenziale e importante non rappresentano versioni pesante e leggera degli stessi obblighi di sicurezza. Sono due regimi di supervisione e enforcement applicati agli stessi obblighi. Il livello in cui un team si colloca modifica il modo in cui verrà controllato, gli strumenti aggiuntivi di enforcement a disposizione dell'autorità e il limite minimo delle sanzioni nazionali. Non modifica le misure di sicurezza che l'entità deve adottare.

Gli obblighi che non cambiano con il livello

Gli obblighi sostanziali di NIS2 sono scritti per entrambi i livelli contemporaneamente. L'Articolo 21(1) della Direttiva (UE) 2022/2555 (adottata il 14 dicembre 2022) richiede agli Stati membri di garantire che le entità essenziali e importanti adottino misure tecniche, operative e organizzative appropriate e proporzionate per gestire i rischi per la sicurezza delle reti e dei sistemi informativi utilizzati per le proprie operazioni o per la fornitura dei propri servizi, e per prevenire o minimizzare l'impatto degli incidenti sui destinatari dei servizi e su altri servizi. L'elenco minimo che segue nell'Articolo 21(2), dalla valutazione dei rischi e gestione degli incidenti alla sicurezza della catena di fornitura, controllo degli accessi e utilizzo della crittografia, è un elenco unico. Non esiste un allegato più breve di misure per le entità importanti e uno più lungo per quelle essenziali.

L'obbligo di segnalazione è scritto allo stesso modo. L'Articolo 23 richiede sia alle entità essenziali che a quelle importanti di notificare gli incidenti significativi al CSIRT o all'autorità competente: un preavviso entro 24 ore dalla consapevolezza dell'incidente e una notifica dell'incidente entro 72 ore. Per i fornitori di servizi fiduciari, la seconda scadenza è di 24 ore se l'incidente significativo influisce sulla fornitura dei servizi fiduciari. Un rapporto finale deve essere presentato entro un mese dalla notifica dell'incidente; se l'incidente è ancora in corso, è necessario un rapporto di aggiornamento, seguito da un rapporto finale entro un mese dal termine dell'incidente. Il tempo non rallenta per il livello importante. Un'entità importante che tratta la preparazione alla segnalazione degli incidenti come opzionale ha letto lo stesso articolo nello stesso modo in cui un'entità essenziale è vincolata.

Quindi la prima correzione è fattuale. Se l'esercizio di scoping conclude "importante, quindi meno controlli", è stata inventata una distinzione che la direttiva non prevede. L'Articolo 21 è la fonte dell'obbligo e l'Articolo 21 non conosce il livello in cui ci si trova.

L'etichetta non è nemmeno un proxy per il lavoro che si deve svolgere

C'è un secondo errore, più silenzioso, sotto il primo: l'assunzione che "importante" corrisponda a "più piccolo", quindi un programma più leggero sia comunque proporzionato. La classificazione non funziona in questo modo. Secondo l'Articolo 3, le entità essenziali sono, in generale, entità di un tipo elencato nell'Allegato I (i settori ad alta criticità, come energia, trasporti, banche, sanità e infrastrutture digitali) che superano i limiti per le medie imprese nella Raccomandazione 2003/361/CE del 6 maggio 2003, insieme a tipi specifici che sono essenziali indipendentemente dalle dimensioni. I fornitori qualificati di servizi fiduciari, i registrar di nomi di dominio di primo livello e i provider di servizi DNS sono essenziali indipendentemente dal numero di dipendenti. Le entità importanti sono, in linea di principio, l'insieme residuale dell'Articolo 3(2): entità di un tipo riferito nell'Allegato I o II che non qualificano come essenziali. Letto insieme all'Articolo 2, questo insieme residuale non include tutte le entità dell'Allegato I o II che non sono essenziali. La regola generale copre le medie e grandi imprese; le imprese più piccole sono incluse solo attraverso vie specifiche indipendenti dalle dimensioni. Gli Stati membri possono anche identificare entità come importanti ai sensi dell'Articolo 2(2)(b) a (e), e una grande entità dell'Allegato II può essere designata essenziale ai sensi dell'Articolo 3(1)(e) o diventare essenziale attraverso l'identificazione di entità critiche ai sensi dell'Articolo 3(1)(f).

Seguendo questo ragionamento, l'etichetta si stacca dalle dimensioni. Una grande multinazionale operante in un settore specificato nell'Allegato II, ad esempio la produzione industriale di alimenti, prodotti chimici o un fornitore digitale come una piattaforma di marketplace online, può essere un'entità "importante" anche con decine di migliaia di dipendenti, perché la sola dimensione non solleva un settore dell'Allegato II al livello essenziale. Nel frattempo, un piccolo provider DNS è essenziale indipendentemente dalle dimensioni. Le misure proporzionate per quel grande produttore importante non sono modeste, perché la proporzionalità nell'Articolo 21(1) è determinata dall'esposizione al rischio dell'entità, dalle sue dimensioni, dalla probabilità e gravità degli incidenti e dallo stato dell'arte, non dal suo livello. Non si può leggere il proprio carico di lavoro dalla parola "importante". Un'azienda che lo fa probabilmente sottovaluta il lavoro necessario. Quest'ultima frase è una valutazione di tipo pratico, non una statistica.

Cosa cambia realmente con il livello

Il livello fa tre cose che vale la pena nominare perché sono reali.

Innanzitutto, definisce la postura di supervisione. L'Articolo 32, che disciplina le entità essenziali, conferisce alle autorità competenti un toolkit proattivo: audit di sicurezza regolari e mirati, ispezioni in loco, supervisione a distanza inclusi controlli casuali e scansioni di sicurezza. Un'entità essenziale può essere sottoposta a audit perché è il momento di farlo, senza che sia necessario un incidente. Gli audit mirati possono essere pagati dall'entità stessa e possono portare a enforcement; non sono una prova gratuita. L'Articolo 33, che disciplina le entità importanti, è scritto per innescare una reazione. Le sue misure di supervisione e enforcement si applicano "quando vengono fornite prove, indicazioni o informazioni che un'entità importante non rispetta apparentemente gli obblighi". L'Articolo 33 è esplicito nel definire questa supervisione come ex post. Le informazioni derivanti da un incidente o dalla sua notifica ai sensi dell'Articolo 23 possono fornire questo innesco se indicano una possibile non conformità. Lo stesso vale per una denuncia, una notizia sui media o informazioni provenienti da un'altra autorità. Un incidente, di per sé, non è una prova di non conformità.

In secondo luogo, definisce strumenti aggiuntivi di enforcement per le entità essenziali. L'Articolo 32(5) consente all'autorità, come extrema ratio, di sospendere una certificazione o autorizzazione relativa alle parti rilevanti del servizio, o di richiedere che una persona fisica che ricopre responsabilità manageriali a livello di amministratore delegato o rappresentante legale venga temporaneamente vietata dall'esercitare tali funzioni. Questi strumenti sono previsti per le entità essenziali, non per quelle importanti.

In terzo luogo, definisce il limite minimo delle sanzioni amministrative nazionali massime per violazioni degli Articoli 21 o 23. L'Articolo 34(4) richiede che le entità essenziali siano soggette a sanzioni amministrative con un massimo di almeno 10.000.000 EUR o almeno il 2% del fatturato mondiale annuo totale, a seconda di quale sia più alto. L'Articolo 34(5) imposta il limite minimo per le entità importanti a un massimo di almeno 7.000.000 EUR o almeno l'1,4% del fatturato mondiale annuo totale. Queste cifre rappresentano il livello minimo che ogni Stato membro deve prevedere come sanzione massima per tali violazioni. Non sono un tetto a livello UE, né una formula per ogni singola sanzione.

Queste tre differenze modificano il rapporto operativo con il regolatore. Nessuna di esse riduce la sicurezza che si è tenuti a implementare.

La supervisione reattiva è un motivo per essere più rigorosi, non meno

Ecco il punto che un team di scoping può trascurare. La supervisione più leggera del livello importante è facile da interpretare come una pressione minore. Operativamente, può avere l'effetto opposto. Un'entità essenziale è più probabile che incontri l'autorità in un audit programmato ai sensi dell'Articolo 32, mentre i sistemi funzionano normalmente. Questo incontro può comunque produrre rilievi e costi. Tuttavia, offre anche l'opportunità di colmare le lacune prima che si verifichi un incidente. Un'entità importante è soggetta a un'azione di supervisione ai sensi dell'Articolo 33 quando c'è un'indicazione di non conformità. Può comunque avere altre interazioni regolatorie, incluse le notifiche di incidenti ai sensi dell'Articolo 23. Il Considerando 122 della stessa direttiva afferma che le entità importanti non devono essere tenute a documentare sistematicamente la conformità alle misure di gestione del rischio informatico. Non è una licenza per non avere alcuna prova. È un motivo, come consiglio pratico piuttosto che come obbligo legale, per mantenere le decisioni di rischio, il processo di gestione degli incidenti e i log di cui si avrebbe effettivamente bisogno se il primo contatto con l'autorità fosse un'indagine piuttosto che un audit.

Quindi il livello che è supervisionato in modo più leggero è quello che deve supervisionare sé stesso. Una supervisione più leggera non significa rischio minore. È un rischio posticipato a un momento peggiore.

L'obiezione onesta

Il controargomento più forte è la parola "proporzionato" nell'Articolo 21(1). Una piccola entità importante può effettivamente, e dovrebbe, implementare un insieme più leggero di misure rispetto a un grande operatore essenziale nel settore energetico, e la direttiva lo prevede esattamente. Questo è vero. Ma notiamo cosa sta facendo il vero lavoro: le dimensioni e l'esposizione al rischio, non l'etichetta del livello. La proporzionalità ridurrebbe anche il programma di una piccola entità essenziale, e aumenterebbe quello del grande produttore dell'Allegato II nonostante il suo status di entità importante. (Una grande banca è l'esempio sbagliato qui: il Regolamento (UE) 2022/2554 (DORA) è lex specialis per le entità finanziarie coperte e sostituisce gli Articoli 21 e 23 di NIS2 e le relative disposizioni di supervisione ed enforcement, ai sensi dell'Articolo 4 e del Considerando 28 della Direttiva NIS2.) Il livello e la valutazione di proporzionalità sono assi diversi. Interpretare il livello come un shortcut per la valutazione di proporzionalità è il modo in cui una grande entità importante finisce con i controlli di una piccola entità.

La regola da mantenere

Tratta la classificazione essenziale/importante come una linea di supervisione, enforcement e sanzioni, non come una linea di ambito di sicurezza. Deriva i tuoi obblighi dall'Articolo 21 e dalla tua valutazione del rischio, dimensiona le tue misure in base alla proporzionalità rispetto a quel rischio e lascia che il livello ti dica come verrai controllato, quali strumenti aggiuntivi di enforcement esistono e il limite minimo delle sanzioni nazionali. Quando il livello è importante, interpreta la supervisione reattiva dell'Articolo 33 come un segnale per mantenere le prove di cui avresti bisogno in un'indagine, non per rimandare il lavoro.

Un caveat giurisdizionale conta in tutto questo. NIS2 è una direttiva, quindi gli obblighi operativi vincolano attraverso la legge di trasposizione di ogni Stato membro. La scadenza di trasposizione del 17 ottobre 2024 (Direttiva (UE) 2022/2555, Articolo 41) non è stata rispettata uniformemente. La Commissione europea ha avviato procedure di infrazione contro 23 Stati membri il 28 novembre 2024 e, l'8 luglio 2026, ha deferito Irlanda, Spagna, Francia e Paesi Bassi alla Corte di giustizia per non aver notificato la trasposizione completa (comunicato stampa IP/26/1499). L'architettura di classificazione principale e i criteri dimensionali derivano dalla direttiva e dalla Raccomandazione 2003/361/CE. La legge nazionale rende operativi gli obblighi e può aggiungere sovraregolamentazione; non inventa autonomamente le soglie UE. Un'azienda in uno Stato che sta ancora completando la trasposizione dovrebbe leggere l'architettura dalla direttiva e confermare i dettagli con la legge nazionale man mano che viene emanata.

Separare gli obblighi che ti seguono attraverso i livelli dagli strumenti di supervisione ed enforcement che cambiano con essi, e mappare entrambi rispetto agli articoli e alla tua legge nazionale di trasposizione, è il tipo di cross-referencing per cui ISMS Copilot è stato progettato. Il livello vale la pena di essere compreso correttamente per la tua esposizione alle sanzioni e per i tuoi rapporti con il regolatore. È la variabile sbagliata da utilizzare per definire l'entità del tuo programma di sicurezza.

Questa è un'analisi di compliance pratica, non un parere legale. Conferma la classificazione e gli obblighi della tua entità con la legge nazionale di trasposizione dello Stato membro e, ove necessario, con la tua autorità competente o un consulente legale.