Soggetto importante in parole semplici

Che cos’è un soggetto importante?

I soggetti importanti (in inglese important entities) provengono da settori come i servizi postali e di corriere, la gestione dei rifiuti, la produzione e il commercio di sostanze chimiche, il comparto alimentare o le attività manifatturiere. Sono soggetti alla NIS2 in tutta la sua estensione, ma sono considerati un poco meno critici per il sistema rispetto ai soggetti essenziali. La categoria è la seconda delle due classi di soggetti e riguarda in particolare moltissime imprese di media dimensione che finora non conoscevano alcuna regolamentazione settoriale in materia di cibersicurezza.

Quali settori vi rientrano? (allegato II)

Il nucleo dei soggetti importanti è costituito dagli «altri settori critici» dell’allegato II della direttiva NIS2. Chi opera in questi settori superando le rispettive soglie — di norma le medie imprese a partire da 50 addetti oppure da 10 milioni di euro di fatturato — rientra tipicamente in questa classe:

• Servizi postali e di corriere
• Gestione dei rifiuti
• Produzione, fabbricazione e commercio di sostanze chimiche
• Produzione, trasformazione e distribuzione di alimenti
• Attività manifatturiere / fabbricazione di beni — ad esempio dispositivi medici, apparecchiature informatiche, elettronica, macchinari, autoveicoli
• Fornitori di servizi digitali — mercati online, motori di ricerca, reti sociali
• Organizzazioni di ricerca

Stessi obblighi, vigilanza diversa. L’appartenenza settoriale decide la classificazione, non l’ampiezza delle misure di sicurezza. Un produttore alimentare dell’allegato II deve adottare le stesse misure tecniche e organizzative di un fornitore di energia dell’allegato I: cambia soltanto che i controlli avvengono su evento e non in via preventiva. I settori ad alta criticità dell’allegato I portano invece di norma alla classificazione come soggetto essenziale, dove la vigilanza è proattiva e i massimali sanzionatori sono più alti.

Stessi obblighi, vigilanza diversa

Gli obblighi sostanziali — gestione del rischio, obblighi di notifica secondo la catena 24 ore/72 ore/1 mese e Governance a cura degli organi di gestione — sono in larga parte identici a quelli dei soggetti essenziali. Restano invariati anche l’obbligo di registrazione sulla piattaforma ACN e l’obbligo di formazione per la direzione. La differenza centrale sta nella vigilanza, che per i soggetti importanti è reattiva in quanto legata a un evento: dopo un incidente o in presenza di indizi concreti. Non è proattiva, con verifiche di routine annunciate in anticipo: l’autorità competente interviene solo quando esiste un elemento che faccia sospettare un’inadempienza.

Massimali sanzionatori più bassi

Anche i massimali sanzionatori sono più bassi: fino a 7.000.000 di euro o all’1,4 % del fatturato annuo mondiale, a fronte di 10.000.000 di euro o del 2 % per i soggetti essenziali. Vale in ogni caso l’importo più elevato. Nonostante la cornice più mite restano possibili sanzioni pesanti, e la direzione resta responsabile delle misure.

Da non sottovalutare

«Importante» non significa «meno obbligato». Le misure tecniche e organizzative vanno attuate integralmente: minore è soltanto la densità dei controlli. L’approccio reattivo alla vigilanza induce alcune aziende a pensare di poter rinviare le misure finché qualcuno non le verifichi. Ma chi comincia a occuparsi di documentazione, analisi dei rischi e processi di notifica solo dopo un incidente di sicurezza ha già perso la prova di una prevenzione adeguata e rischia una sanzione proprio nel momento in cui l’autorità, in relazione a quell’evento, guarda più da vicino.

Un esempio lo chiarisce. Un’azienda di smaltimento rifiuti con 90 addetti si classifica come soggetto importante e provvede alla propria registrazione sulla piattaforma ACN nella finestra annuale, aperta dal 1° gennaio al 28 febbraio, e comunica le variazioni entro 14 giorni. Adotta la stessa analisi dei rischi e lo stesso processo di notifica di un soggetto essenziale e documenta con cura le proprie misure, ma non deve attendersi audit non annunciati: le verifiche arrivano solo in relazione a un caso concreto.

I passi successivi

In concreto i soggetti importanti dovrebbero completare questi punti:

• Verificare la classificazione: confrontare settore (allegato II) e classe dimensionale: è più corretto «importante» oppure «essenziale»?
• Registrarsi sulla piattaforma ACN: la finestra è aperta ogni anno dal 1° gennaio al 28 febbraio; le variazioni vanno comunicate entro 14 giorni.
• Impostare la gestione del rischio: introdurre le misure tecniche e organizzative e documentarle in modo verificabile.
• Predisporre la catena di notifica: definire i processi per i termini di 24 ore / 72 ore / 1 mese.
• Coinvolgere la direzione: seguire la formazione: la responsabilità degli organi di gestione resta invariata.

Per approfondire: ACN — soggetti regolati dalla NIS2