La direttiva NIS2 riguarda le organizzazioni di medie e grandi dimensioni in 18 settori, suddivisi in due allegati. 

I soggetti essenziali sono generalmente organizzazioni appartenenti ai settori dell’Allegato I, tra cui energia, trasporti, sanità, settore bancario e infrastrutture digitali, con almeno 250 dipendenti o un fatturato annuo superiore a 50 milioni di euro, unitamente a un totale di bilancio superiore a 43 milioni di euro. Gli enti importanti sono generalmente organizzazioni dei settori di cui all’Allegato I o all’Allegato II, tra cui l’industria manifatturiera, l’industria chimica, la produzione alimentare, i servizi postali e la ricerca, con almeno 50 dipendenti o un fatturato annuo superiore a 10 milioni di euro, unitamente a un totale di bilancio superiore a 10 milioni di euro. 

Alcune organizzazioni sono sempre classificate come entità essenziali indipendentemente dalle dimensioni, tra cui i fornitori qualificati di servizi di fiducia, i fornitori di servizi DNS e le entità identificate come infrastrutture critiche ai sensi della direttiva sulla resilienza delle entità critiche (direttiva (UE) 2022/2557). Anche le società non UE che forniscono servizi all’interno dell’UE possono rientrare nel campo di applicazione a seconda delle loro attività e della normativa nazionale di recepimento applicabile.

La NIS2 stabilisce i livelli massimi delle ammende che gli Stati membri devono applicare. Gli enti essenziali sono soggetti ad ammende fino a 10 milioni di euro o al 2% del fatturato annuo globale, a seconda di quale sia l’importo più elevato. Gli enti importanti sono soggetti ad ammende fino a 7 milioni di euro o all’1,4% del fatturato annuo globale, a seconda di quale sia l’importo più elevato. Oltre alle ammende, le autorità competenti possono emanare istruzioni vincolanti, ordinare audit di sicurezza a spese dell’entità, sospendere certificazioni o autorizzazioni e vietare temporaneamente ai dirigenti di ricoprire funzioni di gestione. Gli organi di gestione sono personalmente responsabili delle violazioni ai sensi dell’articolo 20. La direttiva richiede che le sanzioni siano efficaci, proporzionate e dissuasive; l’intensità e la priorità dell’applicazione variano a seconda dello Stato membro.

L’articolo 21 impone alle organizzazioni soggette alla direttiva di attuare misure tecniche, operative e organizzative adeguate e proporzionate, basate su un approccio che copra tutti i rischi, inclusi attacchi informatici, minacce fisiche, errori umani e rischi ambientali. In pratica ciò significa un SGSI (Sistema di Gestione della Sicurezza delle Informazioni) documentato con valutazioni periodiche dei rischi; sicurezza della rete, controlli di accesso e gestione delle risorse; processi di identificazione e correzione delle vulnerabilità; procedure di backup e ripristino; pianificazione della continuità operativa allineata alla gestione degli incidenti di sicurezza; formazione obbligatoria in materia di sicurezza informatica per la dirigenza e il personale; e politiche relative alla crittografia e all’autenticazione a più fattori. Le misure devono derivare da una valutazione dei rischi documentata. L’articolo 23 richiede la segnalazione degli incidenti significativi in tre fasi: allerta precoce entro 24 ore dalla presa di conoscenza dell’incidente, notifica entro 72 ore con una valutazione iniziale della gravità e dell’impatto, e una relazione finale entro un mese che copra la causa principale e le misure correttive.

La NIS2 richiede esplicitamente alle organizzazioni di integrare i requisiti di sicurezza informatica nei rapporti con i fornitori qualora questi ultimi possano influire sulla sicurezza delle informazioni. Ciò si applica ai fornitori con accesso al sistema, ruoli di hosting o manutenzione, diritti di accesso remoto o funzioni critiche di erogazione dei servizi. Le organizzazioni devono identificare i fornitori rilevanti, effettuare valutazioni di sicurezza strutturate, integrare clausole di sicurezza informatica nei contratti e monitorare i fornitori su base continuativa. Gli attacchi alla catena di approvvigionamento sono specificatamente identificati nel preambolo della NIS2 come ad alto rischio, poiché le vulnerabilità presso i partner esterni possono propagarsi rapidamente attraverso sistemi interconnessi. L’obbligo si estende sia ai fornitori direttamente contrattualizzati sia ai subappaltatori chiave, laddove sussista un rischio per la sicurezza.

La NIS2 è una direttiva: gli obblighi fondamentali sono uniformi, ma la legislazione nazionale di ciascuno Stato membro disciplina il portale di registrazione specifico, l’autorità di vigilanza e le procedure di audit applicabili in quel paese. Per i gruppi internazionali, ogni entità giuridica richiede una valutazione separata dell’ambito di applicazione. Lo Stato di origine della sede principale di un’entità determina in genere quale autorità nazionale abbia giurisdizione, sebbene le attività secondarie in altri Stati membri possano comportare ulteriori requisiti locali. Le procedure di registrazione e le scadenze differiscono già in modo significativo: la scadenza della Germania era il 6 marzo 2026; i requisiti del Belgio sono in vigore dall’ottobre 2024; e, a giugno 2026, alcuni Stati membri stanno ancora completando il recepimento. Le organizzazioni che operano in tutta l’UE necessitano di un processo strutturato per monitorare quali obblighi e scadenze si applicano in ciascuna giurisdizione.

Gli strumenti ISMS autonomi gestiscono i processi di sicurezza delle informazioni, ma sono scollegati dai dati dei fornitori, dai flussi di lavoro di due diligence e dalla rendicontazione normativa. L’osapiens HUB per NIS2 fa parte della suite di soluzioni Supplier Intelligence: i dati relativi a fornitori ed entità raccolti per la CSDDD o altre attività di due diligence sulla catena di fornitura vengono riutilizzati direttamente per le valutazioni dei rischi di terze parti previste dalla NIS2, e lo stato di conformità alla NIS2 viene visualizzato nel Reporting Cockpit insieme ad altri obblighi normativi. Non è necessario un questionario separato per i fornitori per le organizzazioni che raccolgono già i dati dei fornitori su osapiens HUB. 

Per le aziende che gestiscono la NIS2 insieme al CSDDD, lo stesso profilo fornitore copre entrambi gli obblighi normativi senza dover eseguire processi di raccolta dati paralleli.