Come la Direttiva NIS2 definisce le entità “essenziali” e “importanti”, e come ciò influisce sui loro obblighi di segnalazione?

La Direttiva NIS2 stabilisce un sistema a due livelli per classificare le entità rientranti nel suo ambito: entità essenziali ed entità importanti. Questa classificazione, basata sull’importanza percepita dell’entità e sul potenziale impatto sui servizi essenziali e sulla società, influenza direttamente i loro obblighi in materia di cibersicurezza, inclusa la segnalazione degli incidenti.

🔴 NIS2: sei conforme? Non rischiare sanzioni o vulnerabilità. Adegua subito la tua azienda con il supporto dei nostri esperti.

Entità Essenziali

• Definizione: La Direttiva NIS2 fornisce una definizione multifaccettata di “entità essenziali”, che comprende diverse categorie:
• Entità elencate nell’Allegato I che superano la soglia dimensionale per le medie imprese come definito nella Raccomandazione 2003/361/CE. L’Allegato I include settori considerati di “alta criticità”, come energia, trasporti, bancario, sanità e infrastrutture digitali.
• Specifiche entità indipendentemente dalla dimensione, tra cui fornitori qualificati di servizi fiduciari, registri di nomi di dominio di primo livello, fornitori di servizi DNS e fornitori di reti pubbliche di comunicazione elettronica o di servizi di comunicazione elettronica accessibili al pubblico.
• Entità dell’amministrazione pubblica del governo centrale come definite dalla legge nazionale di ciascuno Stato membro.
• Qualsiasi altra entità elencata negli Allegati I o II (che includono “altri settori critici”) che uno Stato membro identifica come essenziale basandosi su criteri delineati nell’Articolo 2(2)(b-e). Questi criteri considerano se un’interruzione dei servizi dell’entità potrebbe:
  • Influire significativamente sulla sicurezza pubblica, sulla sicurezza nazionale o sulla salute pubblica.
  • Portare a un rischio sistemico significativo, in particolare in settori con potenziale impatto transfrontaliero.
  • Avere un impatto significativo su attività sociali o economiche critiche a livello nazionale o regionale a causa dell’importanza particolare dell’entità in quel settore o area di servizio.
• Entità designate come “critiche” ai sensi della Direttiva (UE) 2022/2557.
• Entità identificate come operatori di servizi essenziali da uno Stato membro prima del 16 gennaio 2023, ai sensi della Direttiva (UE) 2016/1148 o della legge nazionale.
• Obblighi di Segnalazione: Le entità essenziali sono soggette a un regime di supervisione più rigoroso e sono obbligate a soddisfare tutti i requisiti di segnalazione degli incidenti delineati nella Direttiva NIS2. Ciò include:
• Allerta Preliminare: Fornire un’allerta al CSIRT o all’autorità competente entro 24 ore dal momento in cui vengono a conoscenza di un incidente significativo.
• Notifica dell’Incidente: Inviare una notifica più dettagliata entro 72 ore.
• Rapporto Finale: Fornire un rapporto completo entro un mese dalla notifica dell’incidente.

Entità Importanti

• Definizione: La Direttiva NIS2 definisce le “entità importanti” come quelle appartenenti ai settori elencati negli Allegati I o II che non sono classificate come entità essenziali. Questa categoria include entità identificate dagli Stati membri come importanti basandosi sui criteri dell’Articolo 2(2)(b-e) menzionati in precedenza.
• Obblighi di Segnalazione: Sebbene le entità importanti siano soggette ai requisiti di segnalazione degli incidenti della Direttiva NIS2, esse sono sottoposte a un regime di supervisione meno stringente rispetto alle entità essenziali. Inoltre, il livello delle sanzioni amministrative per violazioni degli obblighi di segnalazione è inferiore rispetto a quello previsto per le entità essenziali.

Impatto della Classificazione

La classificazione di un’entità come “essenziale” o “importante” ha implicazioni significative per i suoi obblighi di cibersicurezza ai sensi della Direttiva NIS2:

• Misure di Supervisione: Le entità essenziali sono soggette a misure di supervisione più rigorose e proattive da parte delle autorità competenti rispetto alle entità importanti. Questo include audit regolari, ispezioni in loco e richieste di informazioni.
• Applicazione delle Sanzioni: La Direttiva NIS2 stabilisce un quadro per le sanzioni in caso di non conformità. Mentre entrambe le categorie possono essere penalizzate per violazioni, le entità essenziali affrontano sanzioni amministrative più elevate, riflettendo il loro maggiore potenziale impatto sulla società e sull’economia.
• Responsabilità: La direttiva enfatizza la responsabilità individuale nelle posizioni dirigenziali di alto livello sia nelle entità essenziali che in quelle importanti, assicurando che vi sia responsabilità a livello organizzativo per le misure di cibersicurezza adottate.

In sostanza, il sistema a due livelli della Direttiva NIS2 riconosce i diversi livelli di rischio e potenziale impatto associati alle varie entità operanti nei settori critici. Classificando le entità come “essenziali” o “importanti”, la direttiva applica un approccio proporzionato agli obblighi di cibersicurezza, garantendo che quelle con un potenziale impatto maggiore siano tenute a standard più elevati.

🚀 Con ISGroup, hai la certezza di un’implementazione NIS2 totalmente conforme e allineata alle normative. Affida a noi ogni fase del processo, dalla valutazione alla messa in opera.