COMPLIANCE NIS2: DEFINIRE CORRETTAMENTE IL PERIMETRO NIS DEL TUO GRUPPO

Di recente mi sono trovato a dialogare con un responsabile IT di un importante gruppo italiano con filiali anche estere, in cui il perimetro NIS2 risultava composto da tre soggetti essenziali e uno importante.

Durante la descrizione delle attività delle società del gruppo, si è arrivati alla capogruppo che era stata qualificata come soggetto importante.

Dalla descrizione delle attività svolte e in particolare dai servizi erogati a favore delle altre società del gruppo, anche non soggetti NIS, ho sollevato dubbi sulla sua qualificazione come soggetto importante, suggerendo un approfondimento.

La risposta è stata che la qualificazione era senza dubbio corretta perché tale qualificazione era quella assegnata dalla stessa ACN, durante la fase di registrazione presso la sua piattaforma informatica.

Ora la qualificazione di un’organizzazione come soggetto NIS, salvo i casi di identificazione governativa (art. 3 commi 8 ,9 decreto NIS), deriva, per le imprese, esclusivamente dall’applicazione dei criteri previsti dall’art. 3 commi 1-5 e 10 in combinato disposto con l’art. 6 del decreto NIS.

La qualificazione ottenuta nella piattaforma dell’ACN in sede di registrazione ai sensi del successivo art. 7 comma 1, ha solo valore dichiarativo della qualificazione del soggetto NIS e si basa sui dati inseriti dal Punto di contatto e a volte, come mi è già capitato, la valutazione finale proposta, non è sempre corrispondente ai criteri normativi (si apre in questo caso una procedura ad hoc di verifica).

Quindi fare solo affidamento sulla proposta della piattaforma ACN di qualificazione come soggetto NIS, essenziale o importante, della propria organizzazione, può creare l’illusione circa la sua correttezza.

Ma quali sono le conseguenze sanzionatorie in caso di qualificazione errata?

Una specifica sanzione amministrativa pecuniaria è quella prevista dall’art. 38 commi 10, lett. a), b) e 11 del decreto NIS, che arriva fino allo 0,1% o 0,007%, rispettivamente per i soggetti essenziali e importanti, del totale del fatturato annuo su scala mondiale per l’esercizio precedente, calcolato sulla base della raccomandazione 2003/361/CE (con i minimi di cui al precedente art. 9).

Si tratta tutto sommato di una sanzione gestibile, ma il problema non è questo.

Esiste una norma poco conosciuta, che è il comma 13 dell’art. 38 del decreto, che prevede che in caso di mancata o tardiva registrazione di cui all’art. 7, sono comunque contestate tutte le violazioni previste dai precedenti commi 8, 9 (quindi le violazioni degli artt. 23, 24 e 25 rispettivamente sulla governance, sull’adozione delle misure di sicurezza e sulle notifiche degli incidenti) e si applica la sanzione per la violazione più grave aumentata fino al triplo.

Vediamo alcune possibili ipotesi:

• il soggetto non si registra e, quindi, non viene inserito nell’elenco dei soggetti NIS, anche se in realtà era un soggetto NIS;
• il soggetto si registra, ma erra nella compilazione del modulo di registrazione, e quindi non viene per questo qualificato come soggetto NIS e non viene inserito nel relativo elenco;
• il soggetto si registra ed erra nella compilazione del modulo di registrazione e sulla base dei dati inseriti, viene qualificato come importante anziché essenziale. Il soggetto allora potrebbe sentirsi legittimato ad adempiere solo agli obblighi previsti per i soggetti importanti, omettendo quelli più gravosi previsti per i soggetti essenziali.

Tutto dipende, da cosa si intende per “mancata registrazione”?

Il citato comma 13 dell’art. 38 si riferisce alla “mancata o tardiva registrazione di cui all’art. 7” con una chiara indicazione che la registrazione deve essere quella prevista dall’art. 7 del decreto NIS.

Questo articolo prevede una registrazione mediante una corretta applicazione delle norme ivi indicate (tra cui l’art. 3 del decreto NIS, sui criteri di individuazione dei soggetti NIS), che sono parte essenziale della registrazione stessa.

Questo fa pensare che in tutti e tre i casi sopra indicati, si sia di fronte a una mancata registrazione, proprio perché questa non è stata effettuata ai sensi dell’art. 7 del decreto NIS in quanto errata, con conseguente possibile applicazione della sanzione triplicata.

Quindi il primo passo per una compliance NIS2, corretta, efficace ed efficiente, inizia da un’attenta verifica dei presupposti per la qualificazione dell’organizzazione come soggetto NIS perché un errore potrebbe costare caro, di cui ci si può rendere conto solo quando è troppo tardi.

E’ indubbio però che la qualificazione di un soggetto NIS può diventare un’attività molto complessa, perché si intrecciano molteplici normative che richiedono molto studio e indubbiamente competenze giuridiche.

La soluzione che propongo ai miei clienti è quella di rilasciare un parere legale scritto che esamini tutte le società del gruppo, previa raccolta della documentazione e delle informazioni idonee, al fine di determinare l’esatto perimetro NIS 2 del gruppo, a cui si aggiunge, non di rado, anche qualche interlocuzione con l’ACN, per risolvere i casi particolari, con decisioni a favore del cliente.

---

Like   Back to Top   Seen 55 times   Liked 1 times

Subscribe to Updates

Enter your email address to be notified of new posts

Subscribe to:
All Posts GDPR cyber security

x

Subscribe to Updates

If you enjoyed this, why not subscribe to free email updates ?

I've already subscribed / don't show me this again