La direttiva NIS2 si applica davvero alla nostra azienda? Come possiamo verificarlo?

Queste lettere stanno arrivando a tutti ultimamente. Gli uffici legali dei committenti prendono i moduli standard e li mandano a pioggia all'intera lista fornitori. Per via dei limiti dimensionali non siete soggetti diretti alla NIS2, quindi zero obblighi di registrazione verso lo Stato. Non andate nel panico stanziando centinaia di migliaia di euro in consulenze, limitatevi a negoziare le clausole contrattuali.

Anche senza obbligo diretto, il cliente vi chiederà requisiti minimi di igiene informatica. Di solito richiedono: autenticazione a più fattori (MFA), backup isolati dalla rete, un piano base di risposta agli incidenti e formazione di sicurezza per il personale interno. Tutte cose che comunque servono per la salute dell'azienda.

Ci sono tre fonti ufficiali da verificare: 1) Gli allegati al decreto legislativo di recepimento in Italia. 2) La guida al calcolo delle dimensioni aziendali pubblicata dall'ACN. 3) Se fate capo a una holding o avete società collegate, il totale di dipendenti e fatturato a livello di gruppo (anche se siete piccoli da soli, il consolidato potrebbe farvi superare le soglie).

Gentile collega, per la continuità dei rapporti commerciali con il committente è consigliabile non ignorare la comunicazione. Sarebbe opportuno inviare una risposta formale in cui precisate che, per limiti di organico e fatturato, non rientrate tra i soggetti 'essenziali' o 'importanti', dichiarando al contempo la disponibilità a condividere le misure di sicurezza già adottate a tutela della supply chain.

I grandi gruppi adorano scaricare i propri adempimenti sulle spalle delle PMI. Vi dicono che 'rientrate nella NIS2' solo per farvi digerire i costi dei loro audit. Non siete soggetti alla direttiva. Sentite un legale e mettete in chiaro al cliente che non accetterete penali sproporzionate fuori dal quadro di legge.

Abbiamo dimensioni simili (42 persone, 8 milioni di EUR di fatturato). Ci è arrivata la stessa richiesta da un cliente del settore energia. Abbiamo speso 1.200 EUR per un parere tecnico-legale da un avvocato specializzato in diritto informatico che certificava la nostra esclusione e lo abbiamo inoltrato. Hanno chiuso la pratica e ci hanno esentato dagli audit.

Sotto i 50 dipendenti e 10 milioni di fatturato per legge la NIS2 non vi tocca direttamente, ma il vostro committente principale può imporvela come requisito contrattuale per continuare a lavorare insieme.

sono della stessa opinione poi cioè se ricevete tre risposte diverse su un argomento, la domanda è posta male.

non abbiate paura di chiedere chi non chiede paga sempre di più. cioè correggetemi se sbaglio.

Secondo me è difficile essere così netti sul lato a chi si applica nis2. Quando prendi una decisione, guarda prima quali dati hai a disposizione.

Se scrivete qui il risultato, sarà utile anche ad altri.

Lo sentiamo dire da tempo, ma da noi non è mai andata così. Quando prendete una decisione, scrivete anche lo scenario peggiore, non solo quello migliore.

Buon lavoro.

Corretto.

Se scendiamo nei dettagli: Da noi la cosa che faceva perdere più tempo era non sapere chi decidesse.

Naturalmente cambia se la vostra situazione è diversa.

Può approfondire un po'? Da noi la cosa che faceva perdere più tempo era non sapere chi decidesse.

Quando prendete una decisione, scrivete anche lo scenario peggiore, non solo quello migliore. Io seguirei questa strada.

Scusate ma questo non vale in ogni caso. Se cerchi di cambiare tutto insieme, niente si stabilizza.

Buon lavoro.

Mi farebbe piacere se scrivesse il risultato.

Ho vissuto la stessa cosa due anni fa. La risposta varia molto in base al settore, non esiste una regola generale.

La mia domanda sarà un po' da principiante, scusate. Da noi la cosa che faceva perdere più tempo era non sapere chi decidesse.

Spero che le sia utile.

salvato.