Le modalità di applicazione della direttiva NIS2 dipendono dalla categoria in cui rientra un’organizzazione. Secondo la NIS2 le organizzazioni possono essere considerate come essenziali o importanti.
Tale categorizzazione dipende dal settore (definiti «ad alta criticità» oppure «critici») in cui rientra l’organizzazione.
ALTA CRITICITÀ
CRITICI
Grandi organizzazioni:
Occupano oltre 250 persone, hanno un fatturato annuo superiore ai 50 milioni di EUR o un totale di bilancio annuo superiore ai 43 milioni di EUR e prestano i loro servizi e/o svolgono la loro attività nell’UE.
Medie organizzazioni:
Occupano oltre 50 e fino a 250 persone, hanno un fatturato annuo non superiore ai 50 milioni di EUR o un totale di bilancio annuo non superiore ai 43 milioni di EUR e prestano i loro servizi e/o svolgono la loro attività nell’UE.
N. B.
Ci sono poi alcune eccezioni ai requisiti dimensionali (ad es. fornitori di reti di comunicazione elettroniche pubbliche o di servizi di comunicazione elettronica accessibili al pubblico, enti pubblici, fornitori unici in uno Stato di servizi essenziali per il mantenimento di attività sociali o economiche fondamentali, etc. – art. 2 NIS2).
Soggetti essenziali e importanti devono segnalare al proprio CSIRT o, se opportuno, alla propria autorità competente, gli «incidenti significativi», cioè quegli eventi che:
In tali casi, i soggetti interessati trasmettano al CSIRT o, se opportuno, all’autorità competente:
Saranno possibili notifiche su base volontaria, oltre ai casi obbligatori, anche da parte di soggetti non rientranti nell’applicazione della direttiva.
La sottoposizione alla vigilanza varia a seconda della qualifica di soggetti essenziali o importanti: nel primo caso può avvenire anche a prescindere da violazioni, nel secondo caso è ex post.
Misure di vigilanza
A seconda dei soggetti essenziali o importanti, misure anche preventive, oppure successive a seguito di prova del mancato rispetto degli obblighi della Direttiva da parte di un soggetto importante.
Ricomprendono ispezioni sul posto, vigilanza a distanza, compresi controlli casuali, audit di sicurezza, scansioni di sicurezza, richieste di informazioni e di accesso ai dati/documenti, possibilità per le autorità competenti di imporre istruzioni, prescrizioni e obblighi.
Nel caso di soggetti essenziali, in caso di mancato rispetto di tali prescrizioni, si prevede la possibilità di sospensioni temporanee di certificazioni o autorizzazioni, anche relativi a una parte o alla totalità dei servizi o delle attività pertinenti svolti dal soggetto essenziale, oltre che di vietare temporaneamente a qualsiasi persona che svolga funzioni dirigenziali a livello di amministratore delegato o rappresentante legale in tale soggetto essenziale di svolgere funzioni dirigenziali in tale soggetto.
Per le violazioni delle misure in materia di gestione dei rischi di cybersicurezza o gli obblighi di segnalazione:
In caso di violazioni comportanti violazione di dati personali ai sensi del GDPR, è previsto un meccanismo di comunicazione tra autorità e di «gestione» del potere sanzionatorio.
Privacy Policy | Cookie Policy | Condizioni generali GRF Studio | Condizioni generali GRF Media
Questo sito è protetto da Google reCAPTCHA v3, Privacy Policy e Terms of Service di Google.
