NIS2 — entità essenziali e importanti

• Directive (EU) 2022/2555 — NIS2, Art. 26

Chi deve nominarlo

Fornitori DNS, registri TLD, servizi di cloud computing e data center, CDN, fornitori di servizi gestiti e di servizi di sicurezza gestiti, marketplace online, motori di ricerca e piattaforme social che non sono stabiliti nell'Unione ma offrono servizi in essa.

Soglie ed esenzioni

Generalmente entità con 50 o più dipendenti o un fatturato di €10 milioni, ma alcuni fornitori di infrastrutture digitali sono coperti indipendentemente dalle dimensioni.

Cosa deve comparire in etichetta

Non è un obbligo di etichettatura. L'entità deve essere registrata presso l'autorità dello stato membro in cui è stabilito il rappresentante.

Campi sui marketplace

Non applicabile, ma gli acquisti aziendali ora chiedono abitualmente se il fornitore è registrato NIS2.

Documentazione da tenere

Misure di gestione del rischio, procedure di gestione degli incidenti, politica di sicurezza della catena di approvvigionamento, piano di continuità aziendale e il registro di registrazione.

Norme e prove

Non applicabile, anche se possono essere imposti audit sulle entità essenziali.

Requisiti linguistici

Reportistica nella lingua accettata dal CSIRT interessato.

Da quando si applica

Preavviso entro 24 ore da un incidente significativo, notifica dell'incidente entro 72 ore e rapporto finale entro un mese.

Per quanto si conservano i documenti

Per la durata della registrazione.

Cosa succede se non sei in regola

Fino a €10 milioni o 2% del fatturato mondiale per entità essenziali, e la direzione può essere ritenuta personalmente responsabile in diversi stati membri.

Chi controlla

Autorità competenti nazionali e CSIRT.

Dove passa il confine

La reportistica NIS2 e la reportistica dell'Articolo 14 del CRA sono obblighi separati con trigger diversi: NIS2 riguarda incidenti che influenzano il tuo servizio, CRA riguarda vulnerabilità nel tuo prodotto.

Le domande che ci fanno

Siamo una piccola SaaS con clienti UE — siamo inclusi?

Solo se rientri in uno dei settori elencati e soddisfi i criteri di dimensione, o sei un fornitore di infrastrutture digitali coperto indipendentemente dalle dimensioni.