In breve. Le amministrazioni di questa categoria rientrano nella NIS2 come soggetti importanti a prescindere dalle dimensioni.
Quali attività sono comprese
- Regioni e Province autonome
- Città metropolitane
- Comuni oltre 100.000 abitanti
- Comuni capoluogo di regione
- ASL
- Altri soggetti pubblici elencati
Essenziale o importante: dipende dalla dimensione
| Dimensione | Qualifica |
|---|---|
| Grande impresa | Importante |
| Media impresa | Importante |
| Piccola o micro impresa | Importante |
Nota. Possibile individuazione come essenziali da parte dell'Autorità.
Dimensione calcolata secondo la Raccomandazione 2003/361/CE, a livello di gruppo. Non sei sicuro? Fai la verifica ambito.
Cosa comporta
- Soggetto importante: 37 misure e 87 requisiti di base, incidenti significativi IS-1, IS-2 e IS-3, controlli ex post, sanzione massima 7 milioni di euro o 1,4% del fatturato mondiale.
- Soggetto essenziale: 43 misure e 116 requisiti, anche IS-4, ispezioni preventive, sanzione massima 10 milioni di euro o 2% del fatturato mondiale.
- Per tutti: registrazione sul portale ACN, punto di contatto e referente CSIRT, aggiornamento annuale, notifica degli incidenti e responsabilità del vertice.
Priorità pratiche nel settore
Regioni, città metropolitane, grandi comuni e ASL sono soggetti importanti a prescindere dalle dimensioni, con possibile individuazione come essenziali da parte dell'Autorità. Le priorità tipiche sono governance, fornitori esterni (spesso numerosi) e continuità dei servizi ai cittadini.
Misure da guardare per prime
- GV.RR-02: Organizzazione e ruoli di sicurezza
- GV.SC-07: Valutazione del rischio fornitori
- ID.IM-04: Business continuity, disaster recovery e crisi
- PR.AT-01: Formazione e consapevolezza del personale
Domande frequenti
Chi opera nel settore «PA regionali, locali e altri enti» rientra nella NIS2?
Sì, a prescindere dalle dimensioni: le amministrazioni di questa categoria sono soggetti importanti.
Come si calcola la dimensione?
Con la Raccomandazione 2003/361/CE: un'impresa è almeno media da 50 dipendenti, oppure se supera sia 10 milioni di fatturato sia 10 milioni di bilancio; è grande da 250 dipendenti, oppure se supera sia 50 milioni di fatturato sia 43 milioni di bilancio. Si sommano le quote di imprese associate e collegate.
Cosa bisogna fare se si rientra?
Registrarsi sul portale ACN tra il 1° gennaio e il 28 febbraio, designare punto di contatto e referente CSIRT, attuare le misure di sicurezza di base (37 per gli importanti, 43 per gli essenziali), notificare gli incidenti significativi, aggiornare ogni anno le informazioni e categorizzare attività e servizi.
Sintesi della tabella ACN 'Dettaglio ambiti di applicazione' e degli Allegati del D.Lgs. 138/2024. Le priorità pratiche sono indicazioni editoriali. La qualifica la stabilisce ACN.