Quali sono i criteri per determinare se un’entità è considerata “essenziale” o “importante” ai sensi della Direttiva NIS2?

La Direttiva NIS2 stabilisce due principali categorie di entità: entità essenziali e entità importanti. La classificazione si basa sul settore di appartenenza dell’entità, sulla dimensione e sul potenziale impatto dei servizi essenziali forniti sulla società.

• Entità essenziali: Sono soggette a un regime di supervisione più rigoroso rispetto alle entità importanti. Queste entità affrontano audit più frequenti e stringenti, sanzioni potenzialmente più elevate per la non conformità e un’aspettativa più alta di adottare misure di cybersecurity proattive.
• Entità importanti: Anche se devono comunque rispettare gli obblighi previsti dalla NIS2, sono soggette a un regime di supervisione più leggero rispetto alle entità essenziali. Hanno maggiore flessibilità su come implementare le misure di cybersecurity e affrontano sanzioni potenzialmente inferiori in caso di non conformità.

🔴 NIS2: sei conforme? Non rischiare sanzioni o vulnerabilità. Adegua subito la tua azienda con il supporto dei nostri esperti.

Criteri per le Entità Essenziali:

La Direttiva NIS2 definisce le entità essenziali sulla base dei seguenti criteri:

• Settore: L’entità opera in un settore considerato di “elevata criticità”. L’Allegato I della Direttiva NIS2 elenca questi settori, tra cui energia, trasporti, banche, sanità, acqua potabile, acque reflue, infrastrutture digitali, pubblica amministrazione e spazio. All’interno di ciascun settore, l’allegato specifica ulteriori sottosettori e tipi di entità.
• Dimensioni: L’entità supera la soglia dimensionale per le imprese di medie dimensioni, rientrando quindi tra le grandi aziende.
• Designazioni specifiche: L’entità rientra nelle seguenti designazioni specifiche:
  • Fornitori qualificati di servizi fiduciari e registri di nomi di dominio di primo livello, così come i fornitori di servizi DNS, indipendentemente dalle loro dimensioni.
  • Entità di pubblica amministrazione come indicato nell’Articolo 2, Paragrafo 2(f)(i).
  • Entità identificate come “critiche” ai sensi della Direttiva (UE) 2022/2557, come indicato nell’Articolo 2, Paragrafo 3.
  • Entità precedentemente identificate dagli Stati membri come operatori di servizi essenziali ai sensi della Direttiva (UE) 2016/1148 o della legislazione nazionale, se previsto dallo Stato membro.
• Identificazione da parte dello Stato membro: Inoltre, gli Stati membri hanno l’autorità di designare altre entità indicate negli Allegati I o II come essenziali in base ai criteri indicati nell’Articolo 2, Paragrafo 2(b) a (e). Questi criteri riguardano:
  • Il ruolo dell’entità come unico fornitore di un servizio essenziale per il mantenimento delle attività economiche o sociali critiche in uno Stato membro.
  • L’impatto potenziale sulla sicurezza pubblica, la sicurezza nazionale o la salute pubblica in caso di interruzione del servizio.
  • La capacità di causare un rischio sistemico significativo, in particolare con implicazioni transfrontaliere, in caso di interruzione del servizio.

Criteri per le Entità Importanti:

Le entità importanti sono definite come segue:

• Settore e dimensioni: L’entità appartiene a un settore elencato negli Allegati I o II, ma non soddisfa i criteri per essere classificata come entità essenziale. Ciò include tipicamente entità di dimensioni medie o inferiori che operano nei settori specificati.
• Identificazione da parte dello Stato membro: Analogamente alle entità essenziali, gli Stati membri possono designare entità elencate negli Allegati I o II come importanti in base ai criteri specificati nell’Articolo 2, Paragrafo 2(b) a (e).

Punti chiave:

• La classificazione di un’entità come essenziale o importante ai sensi della NIS2 dipende da una combinazione di fattori, con il settore di appartenenza, le dimensioni e il potenziale impatto sociale che giocano ruoli cruciali.
• Le entità essenziali sono soggette a un ambiente normativo più rigoroso, con obblighi di cybersecurity più stringenti e potenziali sanzioni più elevate in caso di non conformità.
• Gli Stati membri mantengono un certo grado di flessibilità nel designare specifiche entità come essenziali o importanti in base al contesto nazionale e alle valutazioni del rischio.

🚀 Con ISGroup, hai la certezza di un’implementazione NIS2 totalmente conforme e allineata alle normative. Affida a noi ogni fase del processo, dalla valutazione alla messa in opera.