PERIMETRO NIS 2: ATTENZIONE, E’ PIÙ AMPIO DI QUELLO CHE SI CREDE

 

Non c’è dubbio che nella prima fase di compliance alla direttiva NIS 2, sia davvero fondamentale capire se la propria azienda è da considerarsi soggetto essenziale o importante, e quindi direttamente tenuta a registrarsi presso la piattaforma (da attivare) dell’ACN (Agenzia per la Cybersicurezza Nazionale) ed evitare fin da subito le sanzioni previste (dall’art. 38 co. 10, 11 in combinato disposto con l’art. 7 dello schema di decreto legislativo già approvato dal Consiglio dei Ministri il 7 agosto scorso e che presto sarà pubblicato nella Gazzetta Ufficiale).

Per stabilire se un’azienda è soggetto essenziale o importante, diversi sono i criteri da considerare; i più noti sono quelli del criterio dimensionale e della tipologia del settore critico, di cui agli allegati I e II, ma spesso assunti come gli unici criteri esistenti, mentre esistono altri criteri altrettanto importanti ma poco considerati, la cui mancata analisi può portare a gravi errori.

Non entro su questi ultimi, ma vorrei catalizzare in primo luogo l’attenzione su come già l’analisi del primo criterio dimensionale avvenga spesso in modo non corretto rispetto alla norma, prendendo come indice della dimensione il numero di dipendenti e il fatturato o il patrimonio della società che tratta quel particolare settore critico, per verificare se rientri o superi i parametri della media azienda. Questa valutazione invece va svolta tenendo conto della raccomandazione 2003/361/CE, considerando il gruppo societario. Ci sono anche situazioni di società, nell’ambito di un gruppo, che non svolgono attività critica, non superano i criteri dimensionali, ma, a certe condizioni previste dallo schema di decreto legislativo, sono da considerarsi soggetti importanti o addirittura, in casi particolari, soggetti essenziali (situazioni anche ricorrenti).

Non solo, ma anche l’interpretazione del settore critico richiede particolare attenzione ed è spesso necessario effettuare sottili interpretazioni giuridiche per capire bene cosa intenda la definizione della norma.

Facciamo un esempio, semplificandolo per quanto possibile.        
Il punto 3 dell’allegato II indica come settore “Fabbricazione, produzione e distribuzione di sostanze chimiche”, che è apparso a molti come ridotto alle industrie chimiche tradizionali e ai loro distributori. In realtà, va letta con attenzione la definizione indicata nella colonna “Tipologia del soggetto”, che è questa:
“Imprese che si occupano della fabbricazione di sostanze e della distribuzione di sostanze o miscele di cui all'articolo 3, punti 9) e 14), del regolamento (CE) n. 1907/2006 del Parlamento europeo e del Consiglio e imprese che si occupano della produzione di articoli come definite all'articolo 3, punto 3), del medesimo regolamento, da sostanze o miscele.”

Che cosa si intende per sostanza?

L’art. 3, punti 9) e 14) del regolamento 2006/1907/CE sono tautologici perché richiamano il concetto di sostanza e miscela che sta rispettivamente nei punti 1) e 2) del medesimo art. 3, i quali chiariscono questi concetti. Bastano già le prime parole della definizione di sostanza come "un elemento chimico o un composto di elementi chimici, allo stato naturale o mediante procedimento di fabbricazione (…)", per capire che un fabbricante di una sostanza è qualunque azienda che produca un elemento chimico (quelli della Tavola Periodica, per intenderci, che attualmente sono 118) o un composto di elementi chimici. Se poi si combinano più sostanze che di per sé non legano come un composto, abbiamo una miscela.

Quindi, il fabbricante di sostanze o un distributore di sostanze o miscele sono soggetti della tipologia "altro settore critico" del punto 3) dell’all. II, dove rientrano moltissime aziende, sempre se soddisfino i criteri dimensionali.

Queste aziende sono da considerare almeno soggetti importanti, salvo diventare soggetti essenziali in determinati casi particolari.

Non solo, ma poi la definizione prende in esame imprese che si occupano della produzione di articoli da sostanze o miscele. L’art. 3, punto 3) del regolamento citato definisce l’articolo come l’oggetto a cui, durante la produzione, è data una forma, superficie o disegno particolare che ne determinano la sua funzione specifica in misura maggiore della sua composizione chimica.

Quindi, se da una sostanza o miscela, creo un oggetto che ha una forma (si pensi, ad esempio, all’oggetto prodotto dallo stampo in cui viene immessa della plastica o gomma), una superficie o un disegno particolare, ricado nella norma.

Questo comprende le aziende manifatturiere che producono articoli da sostanze o miscele e non sono certo poche. Come si vede, quest’ultimo ambito è più ampio della semplice fabbricazione, produzione e distribuzione di sostanze chimiche, come appare dal titolo del settore n. 3 dell’all. II, perché qui abbiamo la creazione di articoli da sostanze o miscele. Ma altri esempi si possono fare con gli altri settori indicati negli allegati I e II.

Come si vede, l’interpretazione delle norme è molto complessa; per questo motivo io e Stefano Benato, esperto di sicurezza, abbiamo organizzato il 18 settembre 2024 un webinar dedicato proprio alla NIS 2, dove intendiamo approfondire questi ed altri aspetti per aiutare le aziende a muoversi correttamente nella compliance.

Per vedere il programma e per iscriversi clicca qui::
https://www.studiumline.it/nis2

---

Like   Back to Top   Seen 237 times   Liked 0 times

Subscribe to Updates

Enter your email address to be notified of new posts

Subscribe to:
All Posts GDPR cyber security

x

Subscribe to Updates

If you enjoyed this, why not subscribe to free email updates ?

I've already subscribed / don't show me this again