Strumento 05 · NIS 2
Rientrate nell’ambito?
Di che si tratta. Un esame preliminare secondo la legge tedesca sul BSI (BSIG), con cui la Germania recepisce la direttiva NIS 2 dal 06.12.2025. Dieci dati — sede, settore, attività, dimensione, casi particolari —, da cui la classificazione come soggetto particolarmente importante o importante (§ 28 BSIG) e gli obblighi connessi. Puro calcolo, nessun modello linguistico. L’attribuzione di un’attività a un tipo di soggetto è spesso più controversa, nel singolo caso, di quanto un elenco a discesa lasci pensare.
L’impresa ha uno stabilimento in Germania.Per cloud, data center, piattaforme, DNS e servizi digitali simili conta invece lo stabilimento principale nell’UE.
Questa attività è più che marginale per l’impresa.§ 28, co. 3 BSIG: le attività trascurabili rispetto all’insieme non si considerano nell’attribuzione.
Gestiamo un impianto critico — ad esempio una centrale, una rete, un ospedale o un acquedotto oltre le soglie del regolamento sulle infrastrutture critiche.I gestori di impianti critici sono soggetti particolarmente importanti a prescindere dalla dimensione (§ 28, co. 1, n. 1 BSIG).
Siamo un’entità finanziaria ai sensi del regolamento DORA (UE) 2022/2554.Per queste entità le regole DORA su gestione dei rischi e segnalazioni prevalgono in larga parte sul BSIG.
L’impresa appartiene a un gruppo o ha imprese partner.I loro dati contano allora secondo la raccomandazione PMI 2003/361/CE — a meno che il vostro IT sia indipendente dal gruppo.
A che punto siete — facoltativo, non cambia la classificazione
Siamo registrati presso il BSI.§ 33 BSIG. La registrazione è un obbligo autonomo — non una semplice conseguenza della classificazione.
Un canale di segnalazione degli incidenti di sicurezza è predisposto e collaudato.§ 32 BSIG — 24 ore, 72 ore, un mese. Un canale cercato solo durante l’incidente non è un canale.
La direzione è formata e approva formalmente le misure di gestione dei rischi.§ 38 BSIG — approvazione, sorveglianza e formazione sono obblighi personali della direzione, non dell’IT.
Serve ancora: L’impresa ha uno stabilimento in Germania.
Appartiene a: Regolamentazione e compliance